Falske Cloudflare-sjekker lokker Windows-brukere til å kjøre skadevare

En sikkerhetssjekk på en nettside kan se rutinemessig ut. Faren oppstår når den ber deg lime inn og kjøre en kommando på din egen PC. Det er kjernen i ClickFix: Angriperen får brukeren til å utføre steget som setter angrepet i gang. To rapporterte tilfeller bruker falske Cloudflare-sjekker, men de er ikke dokumentert som én og samme kampanje. 315

Kaprede nettsteder leverer Psychedelic

Ifølge Arctic Wolf Labs har angripere lagt inn innrammede elementer, såkalte iframes, på legitime ukrainske bedriftsnettsteder. De viser en falsk Cloudflare-sjekk på ukrainsk. Når en besøkende samhandler med siden, kopieres en msiexec-kommando til utklippstavlen. Brukeren blir deretter bedt om å lime den inn i Windows-dialogen Kjør. Utføres kommandoen, henter den et MSI-installasjonsprogram som brukes til å levere skadevaren Psychedelic. Å se siden er ikke det samme som å installere skadevaren – brukeren må kjøre kommandoen. 313

Psychedelic er laget for å hente ut passord fra nettlesere, kontotoken som brukes til innlogging, og data fra kryptolommebøker. Skadevaren kan også opprette en planlagt oppgave for å bli værende på maskinen og kontakte angripernes styringsinfrastruktur for flere oppgaver. Ved mistanke om at kommandoen er kjørt, bør man derfor undersøke både mulig datatyveri og om skadevaren fortsatt er aktiv. 313

Arctic Wolf Labs oppgir ofre i 32 land i Europa, Amerika og Asia-Stillehavsregionen, selv om lokkesiden er på ukrainsk. Tallet beskriver geografisk spredning, ikke antallet infiserte enheter. De tilgjengelige opplysningene gir ikke grunnlag for et pålitelig infeksjonstall. Forskerne beskriver også et trafikkpanel med russisk profilering, men det er ikke nok til å fastslå hvem angriperne er, hvor de befinner seg eller hvilken trusselgruppe de tilhører. 31

third-party.com: Et eksempelnavn ble en levende lokkeside

Domenet third-party.com er brukt som plassholder i utviklerdokumentasjon og kodeeksempler. BleepingComputer rapporterte at Windows-besøkende ble vist en falsk Cloudflare-sjekk som forsøkte å få dem til å kjøre en PowerShell-kommando. Andre besøkende har fått se en harmløs lokkeside. Dermed kan en lenke som opprinnelig bare skulle illustrere et eksempel, føre lesere til en aktiv angrepsside – og ulikt innhold for ulike besøkende kan gjøre den vanskeligere å oppdage. 54

Dette er ikke dokumentert som en del av Psychedelic-kampanjen. third-party.com-lokkesiden bruker en PowerShell-instruksjon, mens den ukrainske kampanjen bruker msiexec til å hente et installasjonsprogram. Kildene påviser verken felles operatører eller samme skadevare. Et besøk på domenet viser heller ikke i seg selv at noen kjørte kommandoen. 531

ClickFix kan gi mer enn et engangstyveri

I en annen ClickFix-kjede fant Blackpoint Cyber to skadevarekomponenter levert sammen: RemotePanel, som gir vedvarende fjerntilgang, og BoundSiphon, som retter seg mot innloggingsopplysninger og kryptodata. Funnet viser hvorfor et ClickFix-tilfelle ikke nødvendigvis kan avskrives som et avsluttet passordtyveri. Det dokumenterer derimot ingen forbindelse til Psychedelic eller third-party.com. 19

Dette bør sikkerhetsteam prioritere

• Gjør faresignalet tydelig: En CAPTCHA eller sikkerhetssjekk som ber deg lime inn en kommando i Windows Kjør eller PowerShell, er ikke en normal verifisering. 1540
• Finn ut om kommandoen ble kjørt: Undersøk uventede msiexec-nedlastinger og PowerShell-starter etter nettleserbesøk. Skill mellom å ha sett lokkesiden og å ha utført instruksjonen. 315
• Kartlegg følgene: Ved mistenkt Psychedelic-kjøring, undersøk passord, kontotoken, kryptolommebokdata og tegn til at skadevaren fortsatt er aktiv. Ved andre ClickFix-tilfeller bør også mulig fjerntilgang vurderes. 319
• Fjern inngangspunktene: Kontroller berørte nettsteder for innsprøytet innhold, og erstatt levende plassholderdomener i dokumentasjon og tester med eksempler dere selv kontrollerer. 315