Wprowadzenie do problemu / definicja
ClickFix to technika socjotechniczna, w której ofiara jest nakłaniana do wykonania pozornie bezpiecznej czynności mającej rzekomo rozwiązać problem, potwierdzić tożsamość lub odblokować dostęp do treści. W najnowszym wariancie mechanizm ten został przeniesiony do przeglądarki, a jego celem stali się przede wszystkim użytkownicy usług kryptowalutowych.
To istotna zmiana, ponieważ atak nie musi już opierać się na klasycznym uruchomieniu skryptu w systemie operacyjnym. Zamiast tego złośliwe działania mogą zostać osadzone bezpośrednio w sesji przeglądarkowej, gdzie użytkownik loguje się do giełd, portfeli i aplikacji Web3.
W skrócie
- Nowa kampania ClickFix celuje w osoby zainteresowane kryptowalutami.
- Ofiary są nakłaniane do wklejenia kodu JavaScript do paska adresu lub uruchomienia go przez menedżera userscriptów.
- Złośliwy kod pobiera kolejne komponenty z legalnych usług chmurowych.
- Głównym celem ataku jest manipulacja sesją przeglądarki i podmiana adresów portfeli kryptowalutowych.
- Model działania utrudnia wykrywanie, ponieważ nie zawsze obejmuje tradycyjne malware instalowane w systemie.
Kontekst / historia
ClickFix od dłuższego czasu uchodzi za skuteczną metodę dostarczania zagrożeń przy użyciu socjotechniki. W poprzednich kampaniach technika ta była powiązana z fałszywymi CAPTCHA, komunikatami o błędach, stronami podszywającymi się pod aktualizacje oraz przejętymi witrynami nakłaniającymi użytkownika do uruchomienia polecenia.
Nowa odsłona kampanii pokazuje jednak dojrzewanie tego modelu. Atakujący ograniczają zależność od klasycznych infekcji systemowych i przesuwają ciężar operacji do warstwy przeglądarkowej. To szczególnie niebezpieczne w środowisku kryptowalut, gdzie większość działań o wysokiej wartości odbywa się właśnie w aktywnej sesji przeglądarki.
Jednocześnie kampania wpisuje się w szerszy trend nadużywania legalnych usług internetowych do hostowania elementów ataku. Taka infrastruktura bywa trudniejsza do zablokowania, ponieważ ruch do popularnych usług chmurowych nie zawsze wzbudza podejrzenia.
Analiza techniczna
Przynęta wykorzystywana w kampanii zwykle odwołuje się do rzekomego wycieku, błędu bezpieczeństwa lub okazji związanej z usługami kryptowalutowymi. Komunikat jest skonstruowany tak, aby wzbudzić pilność i przekonać odbiorcę, że szybkie działanie może przynieść korzyść albo uchronić go przed stratą.
Kluczowy etap ataku polega na nakłonieniu ofiary do samodzielnego uruchomienia złośliwego kodu w przeglądarce. Może to nastąpić poprzez wklejenie JavaScript do paska adresu albo przez instalację skryptu użytkownika w narzędziu takim jak Tampermonkey. Drugi wariant jest szczególnie groźny, ponieważ może utrzymywać działanie skryptu także w kolejnych sesjach i na wielu odwiedzanych stronach.
Po uruchomieniu loadera pobierany jest kolejny etap z publicznie dostępnych zasobów chmurowych, między innymi z arkuszy udostępnionych online. Takie podejście daje operatorom kampanii elastyczność: mogą aktualizować zawartość bez konieczności wymiany pierwszego etapu oraz ukrywać fragmenty kodu w sposób utrudniający prostą analizę.
Końcowy komponent działa jak web skimmer skoncentrowany na procesach transakcyjnych. Może przechwytywać lub modyfikować dane widoczne w sesji przeglądarki, ingerować w żądania i odpowiedzi aplikacji webowych oraz wpływać na informacje prezentowane użytkownikowi podczas wykonywania transakcji.
Najbardziej niebezpieczną funkcją jest podmiana adresów portfeli kryptowalutowych. W praktyce użytkownik może sądzić, że kopiuje poprawny adres odbiorcy, podczas gdy skrypt zastępuje go adresem kontrolowanym przez napastnika. Badacze zwracają też uwagę na stosowanie rotacyjnych adresów Bitcoin, co utrudnia szybkie mapowanie całej infrastruktury finansowej wykorzystywanej w kampanii.
Konsekwencje / ryzyko
Najbardziej bezpośrednim skutkiem takiego ataku jest utrata środków wskutek wykonania transakcji na podstawie zmanipulowanego adresu portfela. Problem polega na tym, że ofiara często korzysta z legalnej usługi i sama zatwierdza przelew, nie zauważając, że dane zostały zmienione po drodze.
Ryzyko wykracza jednak poza pojedyncze przypadki kradzieży kryptowalut. Ten model pokazuje, że przeglądarka staje się pełnoprawnym polem operacyjnym dla cyberprzestępców. Podobne techniki mogą w przyszłości zostać zaadaptowane do ataków na systemy płatnicze, panele administracyjne, aplikacje SaaS i środowiska B2B.
Dla organizacji dodatkowym wyzwaniem jest detekcja. Aktywność nie musi obejmować klasycznego pliku wykonywalnego, droppera czy oczywistego procesu potomnego. To oznacza, że część tradycyjnych mechanizmów ochrony może nie zauważyć zagrożenia, jeśli nie monitorują zachowania samej przeglądarki i modyfikacji sesji użytkownika.
Rekomendacje
Firmy oraz użytkownicy indywidualni powinni potraktować ten wariant ClickFix jako przykład browser-based attack, który wymaga innego spojrzenia na ochronę stacji roboczej i transakcji online.
- Należy bezwzględnie unikać wykonywania instrukcji wymagających wklejania kodu do paska adresu, konsoli deweloperskiej, terminala lub menedżerów skryptów.
- W środowiskach firmowych warto ograniczyć możliwość instalowania rozszerzeń przeglądarkowych i stosować politykę allowlist.
- Zespoły bezpieczeństwa powinny monitorować nietypowe użycie usług chmurowych jako źródła kodu wykonywanego w sesji przeglądarki.
- Wskazane jest wdrożenie rozwiązań wykrywających manipulacje schowkiem, wstrzykiwanie skryptów i anomalie w procesach transakcyjnych.
- Użytkownicy kryptowalut powinni każdorazowo weryfikować adres odbiorcy przed zatwierdzeniem transferu, najlepiej niezależnie od samej operacji kopiuj-wklej.
- W środowiskach podwyższonego ryzyka warto stosować listy zaufanych adresów, dodatkową autoryzację i procedury potwierdzania poza głównym kanałem sesji.
Podsumowanie
Najnowsza kampania ClickFix pokazuje wyraźną zmianę taktyki: zamiast koncentrować się wyłącznie na infekcji systemu, napastnicy próbują przejąć kontrolę nad logiką sesji bezpośrednio w przeglądarce. Połączenie socjotechniki, legalnej infrastruktury chmurowej i skryptów uruchamianych w kontekście stron finansowych tworzy skuteczny model ataku na użytkowników kryptowalut.
Dla obrońców najważniejszy wniosek jest prosty: granica między phishingiem, malware i oszustwem transakcyjnym coraz częściej zaciera się w warstwie przeglądarkowej. To właśnie tam należy dziś wzmacniać widoczność, polityki bezpieczeństwa i edukację użytkowników.
Źródła
- Cisco Talos: ClickFix moves into the browser: Cryptocurrency theft with Google-hosted C2 — https://blog.talosintelligence.com/clickfix-moves-into-the-browser/
- Infosecurity Magazine: ClickFix Browser Attack Targets Cryptocurrency Users — https://www.infosecurity-magazine.com/news/clickfix-browser-cryptocurrency/
- Cisco Talos: ClearFake WebDAV infection chain delivers Amatera stealer, ZigCryptoStealer, and NetSupport Manager — https://blog.talosintelligence.com/clearfake-webdav-infection-chain/
- Proofpoint: Security Brief: ClickFix social engineering technique floods threat landscape — https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape
- U.S. Department of Health & Human Services: ClickFix Attacks Sector Alert — https://www.hhs.gov/sites/default/files/clickfix-attacks-sector-alert-tlpclear.pdf