Wprowadzenie do problemu / definicja
ClickFix to technika socjotechniczna, w której atakujący nakłaniają ofiarę do samodzielnego wykonania złośliwej akcji, najczęściej przez skopiowanie i uruchomienie polecenia lub wklejenie kodu w przeglądarce. Najnowsze kampanie pokazują jednak, że ten model ataku wyraźnie ewoluuje i coraz częściej łączy manipulację użytkownikiem z nadużyciem legalnych usług oraz zaufanych komponentów.
W praktyce oznacza to, że cyberprzestępcy nie muszą już polegać wyłącznie na klasycznych downloaderach czy prostych stealerach. Zamiast tego wykorzystują przeglądarkę, rozszerzenia, usługi chmurowe oraz publicznie dostępne mechanizmy komunikacji do utrzymania trwałości, ukrycia aktywności i dalszego rozwijania kompromitacji w środowisku ofiary.
W skrócie
- Dwie niedawno opisane kampanie oparte na ClickFix i ClearFake pokazują rosnącą dojrzałość tego typu operacji.
- W jednym scenariuszu atak koncentrował się na przejęciu sesji przeglądarki i kradzieży kryptowalut z użyciem złośliwego kodu oraz rozszerzenia Tampermonkey.
- W drugim przypadku ofiary były nakłaniane do uruchomienia polecenia pobierającego złośliwą bibliotekę DLL przez WebDAV.
- Łańcuch infekcji prowadził do instalacji infostealera, reverse proxy oraz narzędzia zdalnego dostępu.
- Wspólnym mianownikiem obu kampanii jest wykorzystywanie legalnych usług i zaufanej infrastruktury do utrudnienia wykrycia.
Kontekst / historia
ClickFix stał się w ostatnich latach jedną z bardziej skutecznych metod uzyskiwania początkowego dostępu. Zamiast opierać się wyłącznie na exploitach, operatorzy przenoszą część łańcucha infekcji na użytkownika, który sam wykonuje działania omijające standardowe zabezpieczenia. To podejście dobrze wpisuje się w obecny krajobraz zagrożeń, w którym filtrowanie poczty, sandboxing i systemy EDR utrudniają klasyczne dostarczenie malware.
Opisana kampania wymierzona w przeglądarkę miała rozpocząć się już w październiku 2025 roku, a do marca 2026 roku rozwinęła się w kierunku kompromitacji komponentów opartych na usługach Google. Z kolei drugi łańcuch ataku został powiązany z analizą incydentu z kwietnia 2026 roku, gdy badacze wykryli podejrzaną bibliotekę DLL uruchamianą z wykorzystaniem WebDAV. Ustalenia wskazują, że nie był to odosobniony incydent, lecz element szerszej operacji ukierunkowanej na kradzież kryptowalut i poświadczeń.
Analiza techniczna
Pierwsza kampania odchodzi od klasycznego scenariusza ClickFix, w którym użytkownik uruchamia komendę PowerShell lub skrypt systemowy. W tym wariancie ofiara była nakłaniana do wklejenia złośliwego fragmentu kodu bezpośrednio do sesji przeglądarki Chrome. W bardziej rozwiniętej odsłonie operatorzy skupili się na użyciu legalnego rozszerzenia Tampermonkey, które pozwala załadować skrypt i zapewnić trwałość w obrębie odwiedzanej witryny oraz kolejnych sesji przeglądarki.
Kluczowym elementem tej operacji było wykorzystanie zaufanej infrastruktury. Złośliwe skrypty dostarczano z dokumentów i arkuszy hostowanych w usługach Google, między innymi z użyciem Google Visualization API oraz Google Sheets. Dzięki temu ruch związany z kampanią mógł wyglądać jak zwykła komunikacja z legalnymi usługami chmurowymi, co znacząco utrudnia wykrywanie oparte na reputacji domen czy prostych regułach sieciowych.
Druga kampania wykorzystywała wariant ClearFake. Ofiara trafiała na przejętą stronę internetową, gdzie prezentowano fałszywy mechanizm CAPTCHA stylizowany na usługę Google. Interfejs instruował użytkownika, aby wkleił i uruchomił polecenie w oknie Uruchamianie systemu Windows. Efektem było pobranie zamaskowanej biblioteki DLL przez WebDAV, a następnie uruchomienie ładunku Amatera.
Amatera pełnił rolę infostealera zdolnego do pozyskiwania danych związanych z kryptowalutami, poświadczeń, informacji z przeglądarek oraz wrażliwych plików. W zależności od przebiegu infekcji możliwe było także wdrożenie modułu kradzieży kryptowalut, reverse proxy lub instalacja NetSupport Manager, co zapewniało napastnikom nieautoryzowany zdalny dostęp do systemu. Taki zestaw funkcji sugeruje, że celem nie była wyłącznie szybka monetyzacja, ale również utrzymanie pozycji w środowisku i możliwość dalszego wykorzystania kompromitacji.
Technicznie istotne jest to, że obie kampanie przesuwają aktywność do obszarów często słabiej monitorowanych kontekstowo, takich jak sesje przeglądarki, rozszerzenia, legalne usługi SaaS, publiczne endpointy oraz dopuszczone komponenty. W praktyce sprawia to, że tradycyjne mechanizmy bezpieczeństwa skoncentrowane na blokowaniu złośliwych plików i domen mogą nie zareagować wystarczająco wcześnie.
Konsekwencje / ryzyko
Najważniejszym ryzykiem jest obejście klasycznego modelu ochrony endpointów poprzez zaangażowanie użytkownika w łańcuch infekcji. Jeżeli pracownik sam wkleja kod do przeglądarki, uruchamia polecenie w oknie systemowym lub instaluje pozornie nieszkodliwy komponent, część zabezpieczeń może uznać taką aktywność za działanie autoryzowane.
W środowisku korporacyjnym skutki mogą być wielowymiarowe. Na poziomie użytkownika oznacza to utratę poświadczeń, danych przeglądarki, tokenów sesyjnych i informacji finansowych. Na poziomie organizacji może prowadzić do trwałej obecności napastnika, tunelowania ruchu przez reverse proxy, dalszego przemieszczania się po sieci oraz przygotowania gruntu pod kolejne etapy ataku, w tym działania brokerskie lub ransomware. Dodatkowym problemem jest nadużycie legalnych usług chmurowych, przez co ruch generowany przez malware miesza się z normalną aktywnością biznesową.
Rekomendacje
Organizacje powinny traktować przeglądarkę jako zarządzane środowisko wykonawcze, a nie wyłącznie narzędzie do przeglądania stron WWW. W praktyce oznacza to ograniczenie możliwości instalowania rozszerzeń, kontrolę użycia narzędzi developerskich oraz wdrożenie polityk dostępu opartych na rolach użytkowników.
- Zablokować lub ściśle nadzorować możliwość instalacji i używania rozszerzeń takich jak menedżery skryptów.
- Monitorować nietypowe użycie WebDAV, uruchamianie bibliotek DLL z lokalizacji sieciowych oraz procesy inicjowane przez ręcznie wklejane polecenia.
- Rozszerzyć telemetrię o aktywność w przeglądarkach, w tym manipulacje sesją, nietypowe skrypty użytkownika i zmiany w konfiguracji rozszerzeń.
- Wdrożyć reguły detekcyjne dla fałszywych CAPTCHA i wzorców ClickFix, zwłaszcza komunikatów nakazujących wklejenie kodu do paska adresu, terminala, PowerShell lub okna Uruchamianie.
- Aktualizować listy IoC oraz korelować je z ruchem do zaufanych usług chmurowych, ponieważ sama reputacja domeny nie jest już wystarczającym wskaźnikiem bezpieczeństwa.
- Szkolić użytkowników, że legalny proces weryfikacji, wsparcia technicznego czy zgłoszenia błędu nie wymaga ręcznego wklejania kodu do przeglądarki ani uruchamiania poleceń systemowych.
Z perspektywy zespołów SOC i blue team szczególnie ważne staje się budowanie detekcji behawioralnej. W przypadku takich kampanii większą wartość niż pojedynczy wskaźnik kompromitacji mają sekwencje działań, takie jak otwarcie podejrzanej strony, ręczne wykonanie polecenia, uruchomienie biblioteki z udziałem WebDAV, instalacja nietypowego narzędzia zdalnego dostępu oraz komunikacja z usługami chmurowymi w niestandardowym kontekście.
Podsumowanie
Nowe kampanie ClickFix potwierdzają, że socjotechnika pozostaje jednym z najskuteczniejszych wektorów ataku, a jej połączenie z legalnymi usługami znacząco zwiększa skuteczność i utrudnia wykrycie. Atakujący nie tylko kradną dane i kryptowaluty, ale coraz częściej dążą do trwałości, zdalnej kontroli oraz głębszej kompromitacji środowiska.
Dla obrońców oznacza to konieczność przesunięcia uwagi z prostego blokowania znanych artefaktów na kontrolę zachowań użytkownika, zarządzanie przeglądarką i analizę nadużyć zaufanej infrastruktury. To właśnie te obszary będą miały kluczowe znaczenie w wykrywaniu kolejnych generacji kampanii ClickFix.
Źródła
- https://www.darkreading.com/endpoint-security/clickfix-campaigns-legitimate-services-persistent-access
- https://blog.talosintelligence.com/
- https://blog.talosintelligence.com/
- https://blog.talosintelligence.com/
- https://www.netsupportsoftware.com/product/netsupport-manager/