+7(4812)70-00-47По всему миру растёт число инцидентов, связанных с атаками типа ClickFix — новой разновидностью социальной инженерии, при которой злоумышленники заставляют жертву саму запустить вредоносный код на своём устройстве.
Суть атаки
Атака начинается с того, что пользователь попадает на скомпрометированный или поддельный сайт. Там ему показывают тревожное уведомление: например, о «некорректном отображении страницы», «критической ошибке браузера» или «необходимости срочного обновления». На экране появляется кнопка — «Исправить», «Проверить» или «Обновить».
Главный подвох: при отображении этого уведомления вредоносный скрипт автоматически копируется в буфер обмена, даже если пользователь не нажимает на кнопку. Далее его просят «вставить и выполнить» этот код — например, в командной строке или PowerShell. Как только пользователь следует инструкции, вредонос запускается и устанавливается на устройство. Поскольку действия инициированы самим пользователем, многие антивирусы не распознают угрозу на этом этапе.
Пример сценария атаки
Представим типичную ситуацию:
Пользователь просматривает веб-страницу, и внезапно появляется сообщение:
«Ошибка отображения контента! Возможно, проблема вызвана последним обновлением браузера. Чтобы исправить — выполните следующие шаги»:
- Нажмите кнопку «Fix it!»;
- Кликните правой кнопкой по значку Windows;
- Выберите Windows PowerShell (от имени администратора);
- Вставьте скопированный код и нажмите Enter.
На самом деле, при нажатии «Fix it!» в буфер обмена уже загружается вредоносный скрипт. После его выполнения устанавливается соединение с сервером управления и контроля (C2), с которого загружается дополнительная полезная нагрузка. Эта нагрузка может, например, модифицировать системный файл hosts, перенаправляя трафик жертвы на фишинговые ресурсы.
В данном случае решения Dr.Web обнаруживают и блокируют вредонос на этапе его активации благодаря системе превентивной защиты.
Другие формы маскировки
Злоумышленники часто маскируют атаку под капчу — стандартную проверку «на человечность». Пользователь, думая, что просто подтверждает, что он не робот, нажимает на элемент интерфейса, и в фоне — без его ведома — в буфер обмена копируется вредоносный код. Затем появляются инструкции по его запуску. Такая тактика повышает доверие жертвы и значительно увеличивает вероятность успеха атаки.
Почему ClickFix трудно обнаружить?
На первом этапе атака выглядит абсолютно легитимной: пользователь сам копирует, вставляет и запускает команды — как будто выполняет обычную техническую задачу. Антивирусные решения в этот момент не видят угрозы, потому что никакого вредоносного поведения ещё не проявлено.
Обнаружение происходит лишь после запуска — когда скрипт пытается установить соединение с C2-сервером, внедриться в системные процессы или модифицировать критические файлы. Это уже постэксплуатационная стадия, когда злоумышленник, как правило, успевает получить удалённый доступ к устройству.
К этому моменту основная полезная нагрузка уже доставлена и может маскироваться под легитимные процессы. Атакующий получает возможность:
- повышать привилегии в системе,
- собирать конфиденциальные данные,
- перемещаться по внутренней сети,
- пытаться отключить или обойти антивирусную защиту.
Кроме того, вредоносный код часто обфусцирован или зашифрован, что дополнительно затрудняет его выявление традиционными средствами защиты.
Почему важно действовать заранее?
Эта угроза подчёркивает важность проактивной защиты, а не только реакции на уже запущенный вредонос. Для эффективного противодействия ClickFix рекомендуется:
- Анализировать содержимое буфера обмена, особенно если в браузере появляются подозрительные инструкции с командами PowerShell или CMD;
- Мониторить сетевой трафик на предмет необычных подключений к внешним серверам;
- Обучать пользователей распознавать признаки социальной инженерии — на основе реальных примеров и сценариев атак.
Только комплексный подход, сочетающий технические меры и осведомлённость пользователей, способен остановить ClickFix на раннем этапе — до того, как злоумышленник получит контроль над системой.
