В мире информационной безопасности наблюдается тревожная эволюция социальной инженерии. Атаки, при которых злоумышленники манипулируют людьми, заставляя их вручную выполнять вредоносные команды в системных утилитах, перестали быть единичными случаями и превратились в стандартизированную, высокодоходную тактику начального доступа. Эксперты исследовательского подразделения Insikt Group компании Recorded Future выявили и отследили пять различных кластеров активности, использующих методологию, известную как ClickFix. Эта тактика, активно наблюдаемая с 2024 года, представляет собой серьёзную угрозу, поскольку обходит традиционные средства защиты, полагаясь на человеческий фактор и легитимные системные инструменты.
Описание
Суть метода ClickFix заключается в том, чтобы заманить жертву на поддельную веб-страницу, имитирующую необходимое действие: проверку личности (например, через reCAPTCHA), обновление программного обеспечения или решение системной ошибки. Вместо автоматической загрузки вредоносного файла страница с помощью фонового JavaScript помещает в буфер обмена жертвы зашифрованную команду или дает инструкции скопировать её вручную. Затем пользователя просят вставить и выполнить эту команду в доверенных системных утилитах, таких как диалоговое окно "Выполнить" (Win+R) или PowerShell в Windows, либо Терминал в macOS. Этот подход, известный как "жизнь за счет земли" (Living-off-the-Land, LotL), позволяет вредоносным скриптам выполняться непосредственно в памяти, минуя защиту браузера и многие средства контроля на конечных точках.
Аналитики Insikt Group, используя набор данных Recorded Future для анализа HTML-контента, который позволяет систематически отслеживать встроенные веб-артефакты, обнаружили пять активных кластеров, различающихся по тематике приманок и инфраструктуре, но следующих единой методике. Кластеры нацелены на самые разные секторы: от бухгалтерского учета и туризма до недвижимости и юридических услуг, что свидетельствует об адаптивности и широком распространении тактики.
Первый кластер, активный с января 2026 года, использует приманки, имитирующие популярное бухгалтерское программное обеспечение Intuit QuickBooks. Учитывая, что кампания совпадает с налоговым сезоном в США, эксперты с умеренной уверенностью полагают, что это было рассчитанное воздействие на организации, занятые финансовой отчетностью. Второй кластер, действующий с февраля 2026 года, выдаёт себя за туристический сервис Booking.com, предлагая жертвам пройти поддельную проверку reCAPTCHA. Третий, самый долгоживущий кластер, отслеживаемый с мая 2024 года, маскируется под платформу для маркетинга Birdeye. Четвертый кластер примечателен использованием логики определения операционной системы для выбора целевой платформы и предоставления жертвам индивидуальных инструкций для Windows или macOS. Пятый кластер эксплуатирует тему оптимизации системы, предлагая пользователям macOS выполнить команды для "очистки временных файлов", которые на самом деле ведут к загрузке вредоносного ПО.
Несмотря на визуальное разнообразие, техническое исполнение всех кластеров следует стандартизированной четырехэтапной схеме. Сначала жертва вводит или вставляет сильно закодированную строку. Затем она выполняется с помощью легитимного системного интерпретатора (PowerShell, bash, zsh). Это инициирует удаленный запрос к инфраструктуре, контролируемой злоумышленниками, для загрузки второго этапа. Наконец, загруженный контент выполняется непосредственно в памяти, что минимизирует артефакты на диске. Конечной полезной нагрузкой в наблюдаемых кампаниях часто становятся трояны удаленного доступа (RAT), такие как NetSupport RAT, или инфостилеры (похитители информации), включая Lumma Stealer и Odyssey Stealer. Методология оказалась настолько успешной, что её взяли на вооружение не только киберпреступники, но и группы, связанные с продвинутыми постоянными угрозами (APT).
Последствия успешной атаки по схеме ClickFix могут быть тяжелыми для организаций. Поскольку начальный доступ часто приводит к установке RAT, злоумышленники получают полный контроль над зараженной системой, что открывает путь к краже конфиденциальных данных, шпионажу, движению по сети и последующим разрушительным атакам, таким как развертывание программ-вымогателей. Для бизнеса это означает риск финансовых потерь, операционных простоев, репутационного ущерба и нарушения нормативных требований.
Ожидается, что методология ClickFix останется одним из основных векторов начального доступа и в 2026 году. Эксперты прогнозируют, что приманки станут технически более адаптивными, возможно, включая более изощренное определение характеристик браузера для целевой доставки полезной нагрузки. Учитывая, что злоумышленники уже документируют в своем коде методы обхода статического анализа, можно ожидать и дальнейшего совершенствования методов обфускации. В свете этой угрозы специалистам по безопасности рекомендуется сместить акцент с простого блокирования индикаторов компрометации на агрессивное укрепление поведенческой защиты. Ключевые меры включают в себя отключение диалогового окна "Выполнить" через групповые политики в корпоративных средах, внедрение ограниченного режима языка PowerShell (Constrained Language Mode) и использование политик контроля приложений для ограничения выполнения неподписанных скриптов. Не менее важным остается постоянное обучение пользователей, которые должны с подозрением относиться к любым инструкциям, требующим копирования и выполнения непонятных команд в системных утилитах.
Индикаторы компрометации
