Falešné kontroly Cloudflare lákají uživatele Windows ke spuštění malwaru

Stránka, která vypadá jako běžná bezpečnostní kontrola, může místo ověření návštěvníka nabídnout návod k instalaci malwaru. Právě na tom stojí technika ClickFix: útočníci přesvědčí člověka, aby na svém počítači sám spustil připravený příkaz. Dva popsané případy zneužívají podobu kontroly Cloudflare, ale dostupná zjištění je nespojují se stejnými útočníky ani stejným malwarem. 315

Napadené ukrajinské weby: jak se instaluje Psychedelic

Podle Arctic Wolf Labs útočníci vložili do legitimních webů ukrajinských firem prvky iframe, které zobrazují falešné ověření Cloudflare v ukrajinštině. Po interakci stránka zkopíruje do schránky příkaz msiexec a vyzve návštěvníka, aby jej vložil do dialogu Spustit ve Windows. Pokud příkaz spustí, stáhne instalační balíček MSI používaný k doručení malwaru Psychedelic Stealer. Samotné zobrazení stránky tedy neznamená instalaci; rozhodující je spuštění příkazu. 313

Psychedelic se zaměřuje na hesla uložená v prohlížeči, přístupové tokeny k účtům a data kryptoměnových peněženek. Popsané schopnosti zahrnují také udržení přítomnosti v systému pomocí naplánované úlohy a komunikaci s řídicí infrastrukturou pro další pokyny. Při podezření na spuštění proto nestačí prověřit jen možné odcizení dat: je třeba zjistit i to, zda malware v počítači nezůstal aktivní. 313

Arctic Wolf Labs uvádí oběti ve 32 zemích Evropy, Ameriky a asijsko-pacifické oblasti, přestože návnada je v ukrajinštině. Tento údaj popisuje geografický dosah, nikoli spolehlivý počet infikovaných zařízení. Výzkumníci zmiňují také panel pro sledování návštěvnosti s ruským označením. Je to vodítko k podobě operace, samo o sobě však neurčuje totožnost ani polohu útočníků a nestačí k přiřazení konkrétní skupině. 31

Proč je third-party.com jiný případ

Doména third-party.com se používá jako zástupný příklad ve vývojářské dokumentaci a ukázkách kódu. BleepingComputer zjistil, že návštěvníkům používajícím Windows zobrazovala falešné ověření Cloudflare a snažila se je přimět ke spuštění příkazu PowerShellu. Jiným návštěvníkům se mohla ukázat neškodně vypadající stránka. Odkaz, který měl v dokumentaci sloužit jen jako příklad, tak může člověka zavést na živou návnadu; rozdílný obsah pro různé návštěvníky navíc ztěžuje její odhalení. 54

Na rozdíl od ukrajinské kampaně s příkazem msiexec zde popsané instrukce využívají PowerShell. Z uvedených zjištění neplyne společný provozovatel ani totožný škodlivý program. Ani návštěva domény sama o sobě nedokazuje, že člověk příkaz vykonal. 531

ClickFix nemusí skončit krádeží hesel

Blackpoint Cyber popsala další, oddělený řetězec ClickFix, který společně doručoval dva škodlivé nástroje: RemotePanel pro trvalý vzdálený přístup a BoundSiphon pro krádež přihlašovacích údajů a kryptoměnových dat. Ukazuje to, že po úspěšném oklamání uživatele může následovat nejen jednorázový únik dat, ale i pokračující přístup k počítači. Zjištění Blackpoint Cyber neprokazují vazbu na Psychedelic ani na third-party.com. 19

Na co se zaměřit při obraně

• Nepovažovat příkaz za ověření: Údajná CAPTCHA, která žádá vložení příkazu do dialogu Spustit nebo PowerShellu, je varovný signál, nikoli běžný bezpečnostní krok. 1540
• Prověřit, co se skutečně spustilo: Po návštěvě podezřelé stránky hledat nečekané spuštění msiexec, stahování instalačních balíčků nebo spuštění PowerShellu. Klíčové je zjistit, zda uživatel příkaz ze schránky vykonal. 315
• Vyšetřit možné následky: U Psychedelicu posoudit vystavení hesel, tokenů a dat peněženek a zkontrolovat přetrvávání malwaru. U jiných nákladů doručených přes ClickFix prověřit také možnost vzdáleného přístupu. 319
• Omezit cesty k návnadě: Kontrolovat weby na vložený škodlivý obsah a v dokumentaci či testech nahradit živé zástupné domény příklady pod vlastní kontrolou. 315