Поддельная проверка Cloudflare: как ClickFix заставляет запускать вредоносные команды

Страница с привычной просьбой «подтвердить, что вы человек» может оказаться не проверкой, а инструкцией по запуску вредоносной программы. Так работает ClickFix: злоумышленники убеждают посетителя сайта самостоятельно скопировать и выполнить команду. Исследователи описали два случая с поддельными страницами Cloudflare — на взломанных сайтах украинских компаний и на домене third-party.com. Сходство приёма не означает, что за ними стоят одни и те же люди или используется один и тот же вредоносный код. 315

Как через украинские сайты распространяют Psychedelic

По данным Arctic Wolf Labs, злоумышленники встроили в настоящие сайты украинских компаний элементы iframe, которые показывают поддельную проверку Cloudflare на украинском языке. При взаимодействии со страницей в буфер обмена попадает команда msiexec. Посетителю предлагают вставить её в окно Windows «Выполнить». Если он запускает команду, та загружает установочный MSI-файл, через который доставляется Psychedelic Stealer. Само открытие страницы не равнозначно установке вредоносной программы: решающий шаг — выполнение команды. 313

Psychedelic предназначен для кражи сохранённых в браузере паролей, токенов учётных записей и данных криптовалютных кошельков. Также описаны закрепление в системе через запланированную задачу и связь с управляющей инфраструктурой для получения дальнейших заданий. Поэтому после предполагаемого запуска важно выяснить не только то, какие данные могли быть раскрыты, но и продолжает ли программа работать. 313

Что известно о масштабе и организаторах

Arctic Wolf Labs сообщает о пострадавших в 32 странах Европы, Америки и Азиатско-Тихоокеанского региона, хотя страница-приманка написана по-украински. Это показатель географического охвата, а не число заражённых устройств: имеющиеся данные не позволяют надёжно оценить общее количество заражений. Исследователи также обнаружили панель управления трафиком с российским брендингом. Но оформление панели само по себе не доказывает, кто управляет атакой, где находятся эти люди и принадлежат ли они к конкретной группировке. 31

Почему third-party.com — отдельный случай

third-party.com часто встречается в документации и примерах кода как условный адрес стороннего сайта. BleepingComputer сообщил, что посетителям с Windows этот домен показывал поддельную проверку Cloudflare с предложением выполнить команду PowerShell; другим посетителям отображалась безвредная страница-отвлекающий манёвр. В результате ссылка, задуманная как пример, может привести читателя на действующую страницу-приманку, а различия в отображении мешают заметить её при проверке. 54

Этот случай нельзя считать продолжением атаки с Psychedelic: здесь речь идёт о команде PowerShell, а не о цепочке установки через msiexec. Приведённые исследования не устанавливают общих организаторов или одинаковую вредоносную нагрузку. Посещение домена также не доказывает, что пользователь выполнил команду. 531

Что показывают RemotePanel и BoundSiphon

Blackpoint Cyber обнаружила ещё одну цепочку ClickFix, в которой вместе доставлялись RemotePanel и BoundSiphon. Первый компонент обеспечивает устойчивый удалённый доступ к системе, второй нацелен на учётные данные и криптовалютную информацию. Это показывает, почему расследование ClickFix нельзя ограничивать проверкой на разовую кражу паролей: за выполнением команды может последовать длительный доступ к компьютеру. При этом выводы Blackpoint не устанавливают связи этой цепочки ни с Psychedelic, ни с third-party.com. 19

На что обратить внимание службе безопасности

• Предупредить пользователей: настоящая проверка на сайте не должна требовать вставить команду в окно «Выполнить» или PowerShell. Такая инструкция — повод остановиться, а не продолжать «проверку». 1540
• Проверить факт выполнения: после посещения подозрительной страницы искать неожиданные запуски PowerShell и команды msiexec, загружающие установщики. Важно установить, выполнил ли пользователь предложенную команду, а не делать вывод только по факту посещения сайта. 315
• Оценить последствия: при подозрении на запуск Psychedelic проверить риск раскрытия браузерных паролей, токенов и данных кошельков, а также наличие закрепления в системе. Если обнаружена другая нагрузка ClickFix, проверить и возможность удалённого доступа. 319
• Убрать источники риска: искать внедрённый код на затронутых сайтах, а в документации и тестах заменять действующие сторонние домены контролируемыми примерами. 315