ClickFix yayılıyor: sahte doğrulama ekranı tek komutla bilgisayarı teslim alıyor
Saldırı yöntemi basit: ele geçirilmiş bir site, sahte bir doğrulama kutusu ve kullanıcının kendi eliyle yapıştırdığı tek satır komut. Windows ve Mac fark etmiyor.
Bir süre önce nadir görülen ClickFix saldırısı artık yaygınlaştı. Yöntem basit olduğu için yayılıyor: saldırganın ihtiyacı olan tek şey ele geçirilmiş bir web sitesi, sahte bir doğrulama kutusu ve kullanıcının kendi eliyle çalıştıracağı tek satır komut. Windows, macOS ve Linux fark etmiyor.
Nasıl işliyor
Ziyaret ettiğiniz sitede karşınıza bir doğrulama ekranı çıkıyor. Görüntüsü tanıdık, ama sizden istediği şey farklı: kutucuk işaretlemenizi ya da resim seçmenizi değil, bir komutu kopyalayıp Çalıştır penceresine, Terminal'e ya da PowerShell'e yapıştırmanızı istiyor.
Yapıştırıp Enter'a bastığınızda kötü amaçlı yazılımı kendi elinizle kuruyorsunuz. Saldırının bütün zekası burada: hiçbir güvenlik açığı kullanılmıyor, kullanıcı ikna ediliyor.
Ayırt etmenin tek kuralı
Gerçek bir doğrulama ekranı sizden hiçbir zaman Çalıştır, Terminal, Komut İstemi ya da PowerShell açmanızı ve komut yapıştırmanızı istemez. İstiyorsa doğrulama değildir.
Saldırganlar aciliyet duygusuyla çalışıyor; düşünmeye fırsat bırakmamak yöntemin parçası.
Siteler nasıl ele geçiriliyor
Kampanyaların bir kısmı reklam ağları üzerinden yürüyor. Bir kısmı ise doğrudan sitelere sızıyor: mayıs ayında 700'den fazla eğitim ve teknoloji sitesi bu şekilde kullanıldı.
Yöntem şuydu: bilinen bir SQL enjeksiyon açığından yönetici API anahtarı çalınıyor, sonra sitenin yazılarına ve sayfalarına sessizce JavaScript ekleniyor. Ziyaretçi siteye güveniyor, çünkü site gerçekten o site.
Site sahipleri için çıkarılacak ders, kendi sunucunuzun güncel olması yetmiyor; yönetici anahtarlarının nerede durduğu ve kimin eline geçebileceği de aynı derecede önemli.
Kaynaklar: Ars Technica, Malwarebytes.
