Тактика ClickFix перестала быть одноразовым трюком с командой в терминале. Поддельная проверка Cloudflare по-прежнему просит вставить строку в консоль, но цепочка теперь доходит до удалённого управления, бокового движения и закрепления в домене. В зоне риска оказались те, кто ищет рабочие сервисы через поиск: правовые базы, профессиональные сети, корпоративные порталы. Последствие для сети - не разовый запуск скрипта, а рабочая точка опоры внутри периметра. Дальше активность идёт по знакомой логике: разведка, закрепление, доступ к соседним узлам.
Описание
Один сценарий начинается с рекламного объявления в Bing по запросу о правовой базе Westlaw. Клик ведёт на похожий адрес, оттуда - на поддельную страницу входа, где предлагают подтвердить, что запрос отправил человек. Вторая кампания копирует интерфейс LinkedIn и продвигается через отравление поисковой выдачи. Механика одна: нажатие на кнопку проверки оставляет в буфере обмена вызов PowerShell, который скачивает архив или сценарий. Пользователь видит обычную капчу и не замечает подмены.
По данным Huntress, часть цепочек доходит до финала без браузерных уловок на последнем шаге. Приходит MSI-пакет, который разворачивает средство удалённого доступа DuskDesk на Node.js. Установщик кладёт среду исполнения и стартовый сценарий в профиль пользователя, прописывает автозапуск и уводит соединение по TCP на внешний адрес через нестандартный порт. Конфигурация хранится отдельным файлом, полезная нагрузка поднимается вторым сценарием. В сумме это устойчивый канал управления, а не разовая команда.
Ещё один инцидент держался на обратном SSH-туннеле. Архив распаковывался в служебную папку, а сценарий PowerShell открывал соединение наружу. Такой канал обходит входящие правила: трафик уходит с рабочей станции сам, снаружи никто не стучится. Для периметра это выглядит как исходящая сессия, каких в крупной сети бывает много.
Закрепление в этих цепочках почти всегда строится на двух опорах: задача в планировщике и ключ автозапуска в реестре. Имя задачи подобрано так, чтобы имитировать системный компонент и не бросаться в глаза при беглом просмотре списка. Сама по себе такая пара не улика, но рядом с исходящим туннелем картина складывается.
Самая необычная цепочка прятала исполняемые файлы в пикселях PNG-изображений. Загрузчик маскировался под системный компонент экрана блокировки, рядом лежала подменная библиотека. После извлечения нагрузка закреплялась привычным способом: задача в планировщике и ключ автозапуска. Смысл приёма в том, что картинка не похожа на исполняемый файл, и проверки, ориентированные на расширения, её не останавливают.
Что именно связывает цепочки между собой, не установлено. В одних случаях финал - удалённый доступ, в других - туннель, в третьих - загрузчик с картинками. Общий у них только первый шаг: поддельная проверка и команда из буфера обмена. Число пострадавших организаций в публикации не названо, как и сроки активности. Не подтверждено и то, что за всеми кампаниями стоит одна группа.
Для защиты важно запретить пользователям вставлять команды из браузера в Run, PowerShell или терминал. На endpoint стоит блокировать запуск из Temp и пользовательских каталогов, ограничить выполнение неподписанных файлов и контролировать распаковку архивов. В журналах ищите цепочку «браузер вызвал cmd.exe или PowerShell», закодированные команды, обход политики выполнения, новые задачи и ключи Run, а также неожиданные SSH-туннели. Хеши и домены быстро устаревают, поэтому детект лучше строить на последовательности действий.
Индикаторы компрометации
