Фальшива перевірка Cloudflare: як ClickFix підштовхує користувачів Windows запускати шкідливі команди

Сторінка виглядає як звичайна перевірка Cloudflare, але замість підтвердження, що відвідувач — людина, просить вставити команду у Windows. Це прийом ClickFix: зловмисники маскують запуск шкідливого коду під дію, необхідну для продовження перегляду сайту. Важлива межа ризику — самого відкриття сторінки недостатньо для встановлення шкідливої програми: користувач має виконати запропоновану команду. 154031

Що відбувається на зламаних українських сайтах

За даними Arctic Wolf Labs, зловмисники додали на справжні сайти українських компаній вбудовані елементи сторінки — iframe, які показують українськомовну підробку перевірки Cloudflare. Після взаємодії зі сторінкою команда msiexec потрапляє до буфера обміну. Відвідувачу пропонують вставити її у вікно «Виконати» Windows. Якщо він це зробить, команда завантажить інсталятор MSI, через який доставляють Psychedelic Stealer. 313

Psychedelic призначений для викрадення паролів із браузерів, токенів облікових записів і даних криптовалютних гаманців. Дослідники також описують закріплення в системі через заплановане завдання та зв’язок із сервером керування для отримання подальших завдань. Тому після ймовірного запуску варто перевіряти не лише можливий витік даних, а й те, чи залишається програма активною. 313

Arctic Wolf Labs повідомляє про жертв у 32 країнах Європи, Америки та Азійсько-Тихоокеанського регіону, хоча приманка написана українською. Це географія зафіксованої активності, а не кількість заражених пристроїв: надійної загальної цифри заражень у доступних повідомленнях немає. Дослідники також згадують панель керування трафіком із російськомовним оформленням. Саме по собі оформлення не доводить, хто стоїть за кампанією, де перебувають її оператори або до якого угруповання вони належать. 31

Чому third-party.com — окрема історія

Домен third-party.com часто трапляється в документації та прикладах коду як умовна адреса стороннього сайту. За повідомленням BleepingComputer, відвідувачам із Windows він показував підроблену перевірку Cloudflare із закликом запустити команду PowerShell. Іншим відвідувачам могла показуватися нешкідлива сторінка-приманка. Отже, посилання, задумане як приклад, може привести на реальну шкідливу сторінку, а різний вміст для різних відвідувачів ускладнює її виявлення. 54

Цю історію не слід змішувати з кампанією Psychedelic. Для third-party.com повідомляють про команду PowerShell, тоді як на зламаних українських сайтах описано ланцюг встановлення через msiexec. Наведені джерела не підтверджують спільних операторів або однакового шкідливого програмного забезпечення. Сам візит на домен також не доводить, що відвідувач виконав команду. 531

ClickFix може означати не лише крадіжку даних

В іншому ланцюгу ClickFix компанія Blackpoint Cyber виявила два компоненти, які доставляли разом: RemotePanel для тривалого віддаленого доступу та BoundSiphon для викрадення облікових даних і криптовалютних даних. Це показує, чому після ClickFix-інциденту не варто обмежувати перевірку лише можливим одноразовим витоком паролів. Водночас висновки Blackpoint Cyber не встановлюють зв’язку з Psychedelic або third-party.com. 19

На що звернути увагу користувачам і командам безпеки

• Не виконуйте команди за вказівкою CAPTCHA. Прохання вставити щось у «Виконати» або PowerShell — ознака пастки, а не звичайна перевірка відвідувача. 1540
• З’ясовуйте, чи була команда запущена. Після відвідування підозрілої сторінки перевіряйте неочікувані запуски PowerShell і завантаження через msiexec; відкриття сторінки та виконання команди — різні події. 315
• Оцінюйте можливі наслідки. За підозри на запуск Psychedelic перевіряйте паролі браузерів, токени, дані гаманців і ознаки закріплення в системі. Для інших ClickFix-ланцюгів враховуйте також ризик тривалого віддаленого доступу. 319
• Прибирайте приманки з джерела. Перевіряйте скомпрометовані сайти на вставлений сторонній вміст, а в документації та тестах замінюйте сторонні домени-заглушки на контрольовані приклади. 315