Уебсайтовете на повече от 100 автокъщи бяха открити със зловреден код на ClickFix, след като домейн на трета страна беше компрометиран при атака по веригата за доставки.
Като част от компрометирането участник в заплахата е заразил LES Automotive, услуга за споделено видео, уникална за търговските представителства, така че уебсайтовете, използващи услугата, да показват на посетителите си уебстраница ClickFix.
Атаката ClickFix разчита на зловреден код в уебстраницата, който показва подкана на потребителя с искане да поправи грешка или да изпълни повторно предизвикателство (reCAPTCHA), за да докаже, че е човек.
Когато потребителят щракне върху подкана, злонамерената команда се копира в клипборда, а освен това потребителят е инструктиран да извърши клавишни комбинации, които отварят подкана Windows Run, да постави копираната команда в подкана и да я изпълни.
Техниката на социалното инженерство се използва от няколко години, но започна да набира популярност сред киберпрестъпниците и APT през миналата година, като през последните няколко месеца се наблюдава рязък скок в приемането ѝ.
През октомври 2024 г. HHS предупреди за рускоговорящи киберпрестъпници, които използват техниката ClickFix в своите атаки поне от април 2024 г. насам.
ClickFix е била използвана за разпространение на устройства за кражба на информация и други видове зловреден софтуер сред потребители в различни сектори. Неотдавна Microsoft предупреди за широко разпространена кампания, насочена към хотелиерската индустрия.
Както предупреди изследователят в областта на сигурността Ранди Макин, посетителите на уебсайтовете на повече от 100 автокъщи, използващи LES Automotive, са били обект на кампания ClickFix, разпространяваща зловредния софтуер SectopRAT.
Атаката е използвала фалшивия вариант reCAPTCHA на ClickFix, като е разчитала на команди PowerShell за разполагане на полезен товар на машината на жертвата и в крайна сметка за заразяване с троянски кон за отдалечен достъп.
Кодът на JavaScript, предназначен за копиране на зловредния код в клипборда, открива McEoin, съдържа поне един коментар на руски език. Той отбелязва, че на потребителите често се подава доброкачествена версия на скрипта, което предполага, че инжектирането вероятно е извършено динамично.
