ClickFix je sociálně-inženýrský útok, který uživatele přesvědčí (nejčastěji), aby si „opravil“ údajný problém tím, že sám spustí škodlivý příkaz.
Často jde o falešnou CAPTCHA, falešnou chybu webu, update, modrou obrazovku, bezpečnostní hlášku nebo stránku tvářící se jako Cloudflare/Google/Microsoft/GitHub apod. Pro pokračování vyžaduje aktivitu uživatele, případně jde o řešení nějakého problému, který uživatel řeší.
Uživatel má otevřít Run/Spustit, PowerShell, Terminal, Příkazový řádek nebo podobný nástroj a vložit tam něco ze schránky. MITRE to eviduje jako techniku T1204.004 – Malicious Copy and Paste, tedy zneužití toho, že uživatel zkopíruje a spustí kód sám.
Prostě: Když vám web či účet na sociálních sítích tvrdí, že pro ověření člověka, opravu chyby, aktualizaci nebo otevření dokumentu máte stisknout Win+R/otevřít Terminal/PowerShell a něco vložit, je to téměř jistě útok.
Proč je ClickFix nebezpečný
ClickFix je nebezpečný hlavně proto, že nevypadá jako klasické stažení viru. Uživatel má pocit, že jen plní technický postup: ověřuje CAPTCHA, opravuje chybu, odemyká dokument, aktualizuje přehrávač, řeší problém s webem, bude mít rychlejší Interne …
Ve skutečnosti ale spouští příkaz, který může stáhnout malware, spustit infostealer, otevřít vzdálený přístup (a tím do počítače pozvat zloděje), nainstalovat loader nebo připravit cestu k dalšímu útoku. Microsoft popisuje, že ClickFix běžně vede k infostealerům, RAT nástrojům, loaderům a někdy i pokročilejším formám perzistence, tedy zavirování si počítače.
Druhý problém je, že část bezpečnostních ochran může selhat, protože uživatel provede akci sám. Neotevře „podezřelý EXE“ z přílohy, ale spustí příkaz přes legitimní systémový nástroj. MITRE výslovně upozorňuje, že donucení uživatele ke spuštění příkazu může pomoci obejít e-mailové filtry, sandboxy a některé obrany proti škodlivým staženým souborům.
Třetí problém? Útok je snadno přizpůsobitelný. Objevuje se přes phishing, škodlivé reklamy, kompromitované weby, HTML přílohy, falešné CAPTCHA stránky, falešné aktualizace nebo falešné chyby aplikací. Proofpoint uvádí zneužívání značek a služeb jako Microsoft Word, Google Chrome, GitHub nebo běžný podnikový software, přičemž výsledkem byly mimo jiné Lumma Stealer, DarkGate, AsyncRAT, NetSupport či DanaBot.
Jak útok typicky probíhá
Uživatel narazí na návnadu – může to být odkaz v e-mailu, reklama ve vyhledávání, škodlivá reklama na běžném webu, kompromitovaný WordPress, falešný web s návody, falešný instalační web, falešný dokument, příspěvek na sociální sítí nebo odkaz v notifikaci. Microsoft uvádí jako hlavní vstupy phishing, malvertising a kompromitované weby. Proofpoint nalezl ClickFix i v GitHub notifikacích, falešných bezpečnostních upozorněních a falešných aktualizacích.
Stránka vyvolá pocit běžné technické rutiny
- „Ověřte, že nejste robot.“
- „Stránka se nenačetla, opravte problém.“
- „Dokument nelze otevřít.“
- „Chybí bezpečnostní aktualizace.“
- „Došlo k chybě prohlížeče.“
- „Cloudflare ověření selhalo.“
- „Je potřeba spustit opravu.“
- „Windows/Mac potřebuje dokončit ověření.“
Do schránky se dostane škodlivý příkaz. Někdy stránka příkaz zobrazí a uživatel ho zkopíruje ručně. Často ale stránka po kliknutí na tlačítko sama uloží příkaz do schránky a pak uživateli jen řekne, aby otevřel Run/PowerShell/Terminal a vložil obsah schránky. Red Canary popisuje typický průběh: tlačítko „Verify/Fix“ skrytě zkopíruje obfuskovaný příkaz do schránky a stránka zobrazí „ověřovací kroky“.
Uživatel často ani nevidí celý příkaz. Ve schránce může být dlouhý zakódovaný řetězec, který se tváří jako technická rutina. Příkaz prostě neověříte – většina lidí nemá šanci poznat, co dělá.
Uživatel příkaz spustí. Na Windows bývá typický scénář Win+R → Ctrl+V → Enter. Jinde to může být PowerShell, Windows Terminal, CMD, Terminal na macOS, bash/zsh na Linuxu nebo i adresní řádek Průzkumníka ve variantách typu FileFix. A nejde tedy jen o Windows, v ohrožení je i MacOS či Linuxy. ClickFix jde využít i pro spuštění javascriptu v prohlížeči a tím například pro krádež účtu na sociální síti.
Stáhne se nebo se spustí další malware. Po spuštění příkazu se typicky stáhne další skript, loader nebo malware, často s využitím legitimních systémových nástrojů. Microsoft uvádí, že payloady bývají často spouštěné „fileless“, tedy bez klasického EXE souboru uloženého na disk, a mohou běžet přes legitimní systémové komponenty.
Možné následky:
- krádež hesel z prohlížeče,
- krádež cookies a session tokenů,
- krádež kryptopeněženek,
- vzdálený přístup do počítače,
- instalace dalšího malwaru,
- vypnutí nebo obcházení bezpečnostních nástrojů,
- šíření po (firemní) síti,
- pozdější ransomware.
Shrnutí?
ClickFix poznáte jednoduše: jakmile vás web, CAPTCHA, dokument nebo „oprava“ nutí otevřít systémový nástroj a vložit tam příkaz, zastavte se. To není běžné ověření ani normální aktualizace. Je to pokus přimět vás, abyste útok spustili vlastní rukou.
Tipy týkající se Bezpečného Internetu
