Nep-Cloudflarecheck laat Windows-gebruikers zelf malware starten

Een website vraagt je te bevestigen dat je een mens bent. Maar in plaats van een gewone controle moet je een commando kopiëren en in Windows uitvoeren. Dat is de kern van ClickFix: de aanvaller verpakt een gevaarlijke handeling als een routineuze beveiligingsstap en laat de bezoeker die zelf uitvoeren. Twee recent gemelde vallen doen zich voor als een controle van Cloudflare. Ze lijken op elkaar, maar er is geen bewijs dat ze dezelfde daders of malware hebben. 315

Gekraakte websites verspreiden Psychedelic

Volgens Arctic Wolf Labs hebben aanvallers op legitieme websites van Oekraïense bedrijven een iframe geplaatst: ingesloten inhoud die een Oekraïenstalige, nagemaakte Cloudflarecheck toont. Bij interactie zet de pagina een msiexec-commando op het klembord en instrueert zij de bezoeker dat in Uitvoeren van Windows te plakken. Wie het commando uitvoert, haalt daarmee een MSI-installatiebestand op dat Psychedelic Stealer aflevert. Alleen de pagina openen is dus niet hetzelfde als de malware installeren. 313

Psychedelic is gemaakt om browserwachtwoorden, accounttokens en gegevens van cryptowallets te stelen. De berichtgeving beschrijft ook een geplande Windows-taak waarmee de malware actief kan blijven, en contact met infrastructuur voor verdere instructies. Bij vermoedelijke uitvoering moet een onderzoek daarom zowel mogelijke gegevensdiefstal als blijvende aanwezigheid op het apparaat omvatten. 313

Arctic Wolf Labs meldt slachtoffers in 32 landen, verspreid over Europa, Noord- en Zuid-Amerika en de regio Azië-Pacific. Dat zegt iets over het geografische bereik, niet over het aantal besmette apparaten: daarvoor bieden de beschikbare berichten geen betrouwbaar totaal. De onderzoekers noemen ook een verkeerspaneel met Russische branding. Dat is een aanwijzing over de operatie, maar geen bewijs voor de identiteit of locatie van de daders, laat staan voor betrokkenheid van een specifieke groep. 31

third-party.com: een voorbeeldadres wordt een val

Het domein third-party.com wordt in ontwikkelaarsdocumentatie en codevoorbeelden gebruikt als aanduiding voor een externe website. BleepingComputer meldde dat Windows-bezoekers er een nagemaakte Cloudflarecheck te zien kregen die hen een PowerShell-commando wilde laten uitvoeren. Andere bezoekers kregen een onschuldige afleidingspagina voorgeschoteld. Een voorbeeldverwijzing kan zo onverwacht naar een actieve val leiden, terwijl het verschil tussen bezoekers de val moeilijker herkenbaar maakt. 54

Dit is een afzonderlijke ClickFix-zaak. De gemelde instructie gebruikt PowerShell, niet de msiexec-installatieketen van de Oekraïense campagne. De aangehaalde onderzoeken tonen geen gezamenlijke daders of gedeelde malware aan. Ook hier bewijst een bezoek aan de pagina niet dat iemand het commando heeft uitgevoerd. 531

ClickFix kan meer zijn dan eenmalige gegevensdiefstal

Blackpoint Cyber vond in nóg een andere ClickFix-keten twee samen afgeleverde malwarecomponenten: RemotePanel, voor blijvende toegang op afstand, en BoundSiphon, dat inloggegevens en cryptogegevens buitmaakt. Die combinatie laat zien waarom een ClickFix-incident niet automatisch afgedaan kan worden als eenmalige wachtwoorddiefstal. Blackpoints bevindingen leggen geen verband met Psychedelic of third-party.com. 19

Wat beveiligingsteams kunnen doen

• Maak de waarschuwing concreet. Een CAPTCHA of beveiligingscheck die vraagt een commando in Windows Uitvoeren of PowerShell te plakken, is een alarmsignaal, geen normale verificatiestap. 1540
• Onderzoek of het commando is uitgevoerd. Controleer na een verdacht websitebezoek op onverwachte msiexec-downloads en PowerShell-starts. Stel vast of de gebruiker de instructie daadwerkelijk heeft gevolgd. 315
• Breng de gevolgen in kaart. Kijk bij vermoedelijke Psychedelic-besmetting naar blootgestelde browserwachtwoorden, accounttokens en walletgegevens, en controleer of de malware actief blijft. Houd bij andere ClickFix-payloads ook rekening met toegang op afstand. 319
• Pak de bron aan. Controleer getroffen websites op ingesloten kwaadaardige inhoud. Vervang in documentatie en tests verwijzingen naar onbeheerde, bestaande voorbeeld­domeinen door voorbeelden die onder eigen controle staan. 315