Atacurile ClickFix: Cum poți instala singur un virus printr-un CAPTCHA fals
Specialiștii Directoratului Național de Securitate Cibernetică (DNSC) au explicat vineri că atacurile de tip ClickFix nu se bazează pe spargerea directă a calculatorului și nici pe exploatarea unei vulnerabilități a sistemului. În schimb, infractorii cibernetici încearcă să convingă victima să execute chiar ea comanda care permite infectarea dispozitivului.
Utilizatorul ajunge pe un site compromis sau pe o pagină creată special de atacatori. Pe ecran apare o fereastră care seamănă cu o verificare CAPTCHA, sistemul folosit de site-uri pentru a confirma că vizitatorul este o persoană și nu un program automat.
În loc să îi ceară să selecteze anumite imagini sau să bifeze căsuța „Nu sunt robot”, pagina falsă îl anunță că trebuie să urmeze mai mulți pași pentru finalizarea verificării. Instrucțiunile pot părea tehnice și credibile, mai ales pentru o persoană care dorește să acceseze rapid pagina.
„Un CAPTCHA autentic nu îi va cere niciodată utilizatorului să deschidă aplicații ale sistemului de operare și să introducă ori să ruleze comenzi”, subliniază experții în securitate cibernetică.
Atacul începe cu o comandă ascunsă
În momentul în care utilizatorul apasă butonul afișat pe pagina falsă, site-ul poate copia automat o comandă în memoria temporară a calculatorului, cunoscută drept clipboard. Aceasta este zona în care sunt păstrate pentru scurt timp textele sau fișierele copiate înainte de a fi lipite în altă parte.
Victima nu vede neapărat conținutul copiat și poate crede că a apăsat doar un buton obișnuit al verificării. În realitate, în memoria calculatorului a fost introdusă o comandă pregătită de atacatori.
Utilizatorul este convins să deschidă fereastra Run
În etapa următoare, mesajul de pe ecran îi cere utilizatorului să apese simultan tastele Windows și R. Această combinație deschide fereastra Run, o funcție legitimă a sistemului Windows care permite pornirea rapidă a unor programe sau executarea unor comenzi.
Simpla deschidere a ferestrei nu reprezintă un pericol. Problema apare atunci când victima urmează următoarele instrucțiuni și lipește în acea fereastră comanda copiată anterior de site.
Atacatorii pot cere și deschiderea PowerShell sau Terminal, instrumente legitime, folosite pentru administrarea calculatorului prin comenzi scrise. Ele devin periculoase însă atunci când utilizatorii execută instrucțiuni primite de la persoane necunoscute sau de pe site-uri nesigure.
Apăsarea tastei Enter pornește atacul
După ce comanda este lipită, utilizatorului i se cere să apese Enter, de regulă sub pretextul finalizării verificării. În acel moment, calculatorul începe să execute instrucțiunea transmisă de atacatori.
Comanda poate instala programe informatice periculoase (malware), care permit infractorilor să fure parole, date personale, informații bancare sau fișiere. În unele cazuri, aceștia pot prelua controlul asupra calculatorului și îl pot folosi pentru alte activități ilegale.
Iar utilizatorul poate să nu observe imediat infectarea, deoarece pagina falsă îi poate afișa un mesaj potrivit căruia verificarea a fost finalizată sau problema a fost rezolvată.
Atacatorii profită de graba utilizatorilor
Spre deosebire de atacurile care profită de o breșă de securitate a unui program, ClickFix se bazează în principal pe manipularea utilizatorului. Metodă este cunoscută drept inginerie socială și presupune folosirea unor mesaje convingătoare pentru a determina victima să facă o acțiune riscantă.
Atacatorii mizează pe faptul că persoana vrea să închidă rapid o eroare, să acceseze un site sau să demonstreze că nu este robot. Instrucțiunile sunt prezentate ca fiind urgente și necesare, astfel încât utilizatorul să le urmeze fără să verifice ce comandă execută.
DNSC recomandă ca nicio comandă cerută de un site, de un e-mail sau de un mesaj primit online să nu fie rulată înainte de verificarea legitimității solicitării.