Компания CrowdStrike опубликовала разбор атак ClickFix - метода социальной инженерии, при котором злоумышленники убеждают пользователей самостоятельно запускать вредоносные команды под видом решения технической проблемы.
По данным CrowdStrike, атака может начинаться с посещения скомпрометированного сайта, на котором отображается поддельная ошибка, CAPTCHA или уведомление о проблеме с приложением. Пользователю предлагают скопировать команду, открыть системную утилиту, например Windows Run или PowerShell, вставить её и выполнить. В результате вместо устранения несуществующей ошибки пользователь запускает цепочку вредоносных действий.
После выполнения команды злоумышленники могут загрузить вредоносное ПО, похитить учётные данные, закрепиться в системе и получить возможность дальнейшего продвижения по инфраструктуре организации.
CrowdStrike отмечает, что эффективность ClickFix связана с использованием привычных пользователям сценариев и легитимных системных инструментов. В отличие от атак, основанных на запуске подозрительных файлов или вложений, здесь ключевое действие выполняет сам пользователь. Это затрудняет обнаружение угроз средствами, ориентированными преимущественно на вредоносные файлы.
В качестве примеров CrowdStrike приводит кампании, в которых злоумышленники маскировались под сервисы видеоконференций и использовали поддельные CAPTCHA. В одном из выявленных сценариев команда, запущенная под видом исправления ошибки при подключении к онлайн-встрече, инициировала цепочку заражения с использованием PowerShell и VBScript. В другом случае для распространения вредоносных команд использовались скомпрометированные украинские сайты.
Для защиты от подобных атак CrowdStrike рекомендует применять многоуровневый подход: контролировать подозрительную активность в браузере, выявлять и блокировать опасное выполнение команд на конечных устройствах, отслеживать компрометацию учётных записей и связывать события безопасности из разных источников. В статье компания также описывает возможности платформы Falcon для выявления и пресечения атак на разных этапах.
Главный вывод: ClickFix использует доверие пользователя к привычным инструкциям и системным инструментам. Поэтому одной блокировки вредоносных сайтов недостаточно - организациям важно контролировать не только переходы по ссылкам, но и действия, которые выполняются после посещения веб-страницы.
Для консультации:
📞 +7 (708) 978-54-14
✉️ info@syssoft-group.kz
Источник: официальный сайт CrowdStrike