Более 350 сайтов на одной из самых распространённых систем управления контентом заражены в ходе новой волны атак ClickFix. Большинство взломанных ресурсов остаются опасными прямо сейчас: посторонний код с них не удалён. Сторонние вставки появляются на обычных страницах, которые ничем не отличаются от остальных, поэтому заметить подмену без специальной проверки почти невозможно. Техника ClickFix строится на обмане: человека убеждают, что он выполняет безобидное действие, хотя на деле запускает вредоносную программу. Основная цель кампании - кража данных у посетителей. Расчёт сделан на пользователей Windows, где нужные злоумышленникам инструменты доступны по умолчанию.
Описание
Схема выглядит так. Посетитель попадает на заражённый сайт. Там всплывает блок с кнопкой проверки: она будто бы подтверждает, что перед нами живой человек, а не робот. После нажатия в буфер обмена незаметно попадает команда для PowerShell, встроенной в Windows оболочки командной строки. Затем жертву просят открыть её и вставить скопированный текст. Со стороны это похоже на стандартную проверку подлинности. Пользователь вставляет строку, нажимает ввод и тем самым даёт злоумышленнику доступ к своему компьютеру. Отдельная опасность в том, что человек не получает предупреждений от браузера: он действует сам, по своей воле.
Ключевая особенность кампании - использование доверенного сервиса доставки открытого кода. Вредоносные файлы размещают в публичных репозиториях на GitHub, а раздают через jsDelivr, одну из крупнейших сетей доставки контента (CDN). Такой посредник ежедневно обслуживает миллионы легитимных библиотек. Из-за этого ссылки на него проходят почти все фильтры репутации доменов и корпоративные списки разрешённых адресов без досмотра. Заодно атакующие экономят на собственной инфраструктуре: чужие серверы держат нагрузку и не привлекают внимания служб безопасности.
По данным анализа, загрузка построена в несколько этапов. Сначала скрипт подключает временный сетевой диск к инфраструктуре атакующих. Связь идёт через протокол WebDAV - способ работы с удалённым хранилищем файлов по обычному веб-соединению. Затем с этого диска считывается исполняемый файл Windows, замаскированный под текстовый документ. Он сохраняется в скрытой системной папке кэша, куда пользователи обычно не заглядывают. Имя файла состоит из случайного набора символов, поэтому найти его поиском по знакомым названиям не получится. Подключение внешнего хранилища редко вызывает вопросы у защитных средств: трафик идёт по защищённому каналу и выглядит как обычная рабочая операция.
Завершающий этап - запуск основной вредоносной программы. Она приходит с отдельных управляющих серверов и по устройству напоминает инструменты, которые используют для кражи сведений. Цели стандартные: сохранённые в браузерах логины и пароли, файлы сессий, позволяющие войти в аккаунт без пароля, и ключи криптовалютных кошельков. Для бизнеса это обернётся утечкой корпоративных учётных данных и последующими попытками войти во внутренние системы. Для частных пользователей - потерей доступа к почте, банковским приложениям и цифровым активам.
Отдельная сложность для защитных средств состоит в легитимном источнике загрузки. Пользователь вводит команду сам, поэтому защита видит обычное действие системы, а не проникновение извне. Обнаружить атаку можно лишь по цепочке событий: открытие страницы, копирование строки, запуск консоли. Пока эти шаги не свяжут в единую картину, вредоносная программа успеет собрать данные и отправить их на сервер злоумышленников.
Масштаб проблемы усиливает то, что заражённые сайты продолжают работать в обычном режиме. Владельцы ресурсов часто не знают о посторонних вставках: код добавляют в уже существующие файлы, и внешне страницы выглядят как прежде. Атакующие быстро обновляют инфраструктуру, поэтому часть признаков заражения пока не попадает в публичные базы и сервисы блокировки ссылок. Поставщикам защитных решений стоит обновить свои правила обнаружения, иначе блокировки будут срабатывать с задержкой. Ресурсы на популярной CMS привлекают злоумышленников ещё и потому, что такие сайты часто не обновляют годами.
Защита от подобных схем требует внимания на нескольких уровнях. Владельцам сайтов стоит регулярно обновлять систему управления контентом и её дополнения, проверять файлы на посторонние вставки и ограничивать права на изменение содержимого. Сотрудникам - не выполнять команды, которые предлагают скопировать и вставить в системную консоль, независимо от того, кто отправил инструкцию. Организациям - ограничивать запуск служебных утилит на рабочих машинах и следить за обращениями к внешним хранилищам. Пользователям - включить двухфакторную аутентификацию и держать крупные суммы в отдельном кошельке, не связанном с повседневными операциями.
Расчёт атакующих на доверенные сервисы понятен: популярные площадки годами накапливают репутацию, которой можно пользоваться бесплатно. Кампании на базе ClickFix появляются всё чаще, а их авторы быстро меняют домены и хранилища. Пока крупные посредники остаются удобным каналом доставки, число заражённых сайтов будет расти. Устойчивый ответ здесь один - проверять не только адрес источника, но и то, что именно предлагают запустить.
Индикаторы компрометации
