تیم Cisco Talos اخیراً دو کمپین جدید را شناسایی کرده است که از متد ClickFix برای فریب کاربران و ترغیب آن‌ها به کپی و اجرای کدهای مخرب روی سیستم‌هایشان استفاده می‌کنند. در این حملات، عامل تهدید با بهره‌گیری از سرویس‌های مورد اعتماد و تجربه‌های آشنای آنلاین، فعالیت‌های مخرب خود را پنهان می‌کند تا شناسایی آن‌ها برای سیستم‌های امنیتی دشوارتر شود.
کمپین اول: هدف قرار دادن معامله‌گران ارزهای دیجیتال
این کمپین که از اکتبر ۲۰۲۵ فعال شده است، معامله‌گران Cryptocurrency را با استفاده از گزارش‌های امنیتی جعلی هدف قرار می‌دهد. قربانیان ترغیب می‌شوند تا یک قطعه کد JavaScript را در مرورگر Chrome خود Paste کنند. این کد سپس دستورات اصلی حمله را از یک Google Spreadsheet عمومی فراخوانی می‌کند. این بدافزار قادر است آدرس‌های واریز ارز دیجیتال را تغییر داده و پاداش‌های جعلی نمایش دهد؛ تا کنون سرقت حداقل ۱۰,۰۰۰ دلار بیت‌کوین به ۴۹ آدرس مختلف ردیابی شده است.
کمپین دوم: استفاده از اعلان‌های جعلی تایید هویت
کمپین دوم که در آوریل ۲۰۲۶ مشاهده شده، از اعلان‌های جعلی تایید هویت گوگل (Google verification prompts) در وب‌سایت‌های هک شده استفاده می‌کند. این مسیر منجر به نصب بدافزار Amatera می‌شود که یک Information Stealer است و قابلیت‌های زیر را دارد:
- سرقت اعتبارنامه‌ها (Credentials) و کلیدهای ارز دیجیتال
- غیرفعال کردن نرم‌افزارهای امنیتی
- استخراج اطلاعات حساس از سیستم
توصیه‌های امنیتی
شرکت Cisco به سازمان‌ها توصیه می‌کند برای مقابله با این تهدیدات اقدامات زیر را انجام دهند:
- تقویت کنترل‌های مرورگر (Browser Controls)
- مانیتورینگ درخواست‌های اپلیکیشن‌ها
- آموزش کاربران در این زمینه که فرآیندهای تایید هویت قانونی هرگز نیازمند اجرای دستی دستورات توسط کاربر نیستند.
