Semakan Cloudflare palsu memperdaya pengguna Windows menjalankan perisian hasad

Semakan keselamatan di laman web biasanya meminta kita mengesahkan identiti, bukan membuka alat Windows dan menjalankan arahan. Itulah helah ClickFix: halaman yang kelihatan seperti semakan Cloudflare memujuk pengunjung melakukan sendiri langkah yang boleh memasang perisian hasad. Dua kes yang dilaporkan menggunakan helah ini, tetapi persamaan cara memperdaya mangsa tidak membuktikan kedua-duanya dikendalikan pihak yang sama. 31515

Dari laman Ukraine ke pemasang Psychedelic

Menurut Arctic Wolf Labs, penyerang menyisipkan iframe—kandungan yang dipaparkan di dalam halaman web—pada laman perniagaan Ukraine yang sah. Sisipan itu memaparkan semakan Cloudflare palsu dalam bahasa Ukraine. Apabila pengunjung berinteraksi dengannya, halaman tersebut menyalin arahan msiexec ke papan klip dan menyuruh pengunjung menampalnya ke dalam kotak Run Windows. Jika dijalankan, arahan itu mendapatkan pemasang MSI yang digunakan untuk menghantar perisian pencuri maklumat Psychedelic. Sekadar melihat halaman tersebut tidak sama dengan menjalankan arahan atau memasang perisian hasad. 313

Psychedelic direka untuk mencuri kata laluan yang tersimpan dalam pelayar, token akaun dan data dompet mata wang kripto. Laporan tentangnya turut menerangkan keupayaan untuk terus aktif melalui tugasan berjadual dan menghubungi pelayan kawalan penyerang bagi menerima arahan lanjut. Jika arahan itu dipercayai telah dijalankan, siasatan perlu meliputi kemungkinan data terdedah dan sama ada perisian hasad masih aktif. 313

Arctic Wolf Labs melaporkan mangsa di 32 negara merentasi Eropah, benua Amerika dan Asia Pasifik, walaupun umpannya berbahasa Ukraine. Angka itu menunjukkan jangkauan geografi, bukan jumlah peranti yang dijangkiti; laporan yang tersedia tidak memberikan jumlah jangkitan yang boleh dipastikan. Arctic Wolf juga menyebut panel pengurusan trafik berjenama Rusia. Penjenamaan itu ialah petunjuk, bukan bukti muktamad tentang identiti atau lokasi pengendali, mahupun kaitan dengan kumpulan ancaman tertentu. 31

Mengapa third-party.com ialah kes berasingan

third-party.com kerap digunakan sebagai alamat contoh dalam dokumentasi pembangun dan contoh kod. BleepingComputer melaporkan bahawa domain tersebut memaparkan semakan Cloudflare palsu kepada pengunjung Windows dan cuba memujuk mereka menjalankan arahan PowerShell. Pengunjung lain pula diperlihatkan halaman umpan yang tidak berbahaya. Ini bermakna pautan yang asalnya dimaksudkan sebagai contoh boleh membawa pembaca ke halaman berisiko, sementara paparan yang berbeza mengikut pengunjung boleh menyukarkan pengesanan. 54

Kes ini tidak wajar digabungkan dengan siasatan Psychedelic: arahan yang dilaporkan melibatkan PowerShell, bukannya rantaian pemasangan msiexec dalam kempen di laman Ukraine. Laporan yang dipetik juga tidak menetapkan bahawa kedua-duanya menggunakan pengendali atau perisian hasad yang sama. Lawatan ke domain itu sahaja bukan bukti bahawa pengunjung telah menjalankan arahan. 531

ClickFix tidak semestinya berakhir dengan kecurian data

Dalam satu lagi rantaian ClickFix, Blackpoint Cyber mengenal pasti dua komponen yang dihantar bersama: RemotePanel, platform akses jauh yang boleh kekal aktif, dan BoundSiphon, yang menyasarkan kelayakan log masuk serta data mata wang kripto. Penemuan ini menunjukkan mengapa kejadian ClickFix tidak boleh disiasat seolah-olah risikonya terhad kepada kecurian kata laluan sekali sahaja; akses berterusan juga mungkin menjadi kesannya. Namun, penemuan Blackpoint tidak membuktikan kaitan dengan Psychedelic atau third-party.com. 19

Langkah yang patut diutamakan

• Kenali tanda amaran: Semakan CAPTCHA atau keselamatan yang meminta pengguna menampal arahan ke dalam kotak Run atau PowerShell bukan langkah pengesahan yang patut diikuti. 1540
• Pastikan sama ada arahan benar-benar dijalankan: Selepas lawatan ke halaman mencurigakan, semak muat turun melalui msiexec atau pelancaran PowerShell yang tidak dijangka. Bezakan antara pengguna yang hanya melihat halaman dengan pengguna yang menjalankan arahan daripada papan klip. 315
• Siasat kesannya: Jika Psychedelic disyaki telah dijalankan, nilai pendedahan kata laluan pelayar, token akaun dan data dompet, serta periksa sama ada perisian hasad masih aktif. Jika muatan ClickFix lain terlibat, siasat juga kemungkinan akses jauh yang berterusan. 319
• Kurangkan pendedahan di punca: Periksa laman web terjejas untuk kandungan yang disisipkan. Dalam dokumentasi dan ujian pula, gantikan domain contoh yang benar-benar boleh dilawati dengan contoh terkawal agar pembaca tidak diarahkan ke laman pihak ketiga yang kandungannya boleh berubah. 315