ClickFix מבריחה קוד דרך מטמון הדפדפן כדי לעקוף את מגבלת תיבת ההרצה של Windows

וריאנט חדש של טכניקת ClickFix מסתיר את הקוד הזדוני במטמון הדפדפן ולא בפקודה עצמה. לפי הדיווח, מיקרוסופט תיעדה אותו, והוא מקשה על זיהוי כי הפקודה שהקורבן מדביק קצרה ותמימה למראה.

הפרטים

אתר שנפרץ גורם לדפדפן לשמור במטמון סקריפט VBScript בהסוואה של קובץ PNG. לאחר מכן הקורבן מתבקש, לרוב במסווה של בדיקת CAPTCHA, להדביק פקודה בחלון ההרצה (Win+R). הפקודה קצרה מספיק כדי לעמוד במגבלת האורך של החלון, והיא מפעילה את הקובץ שכבר יושב בדיסק.

הסקריפט אוסף מידע על המערכת דרך WMI, מוריד קוד PowerShell משרת מרוחק וטוען רכיבי .NET לתוך תהליכים לגיטימיים, למשל timeout.exe, לצורך גניבת אישורי גישה. הטכניקה של הברחה דרך המטמון תועדה כבר קודם, בין היתר בידי Expel.

נקודות לשים לב

• הדרכת משתמשים נשארת ההגנה המרכזית: אתר לעולם לא צריך לבקש מהמשתמש להריץ קוד, גם לא כחלק מ-CAPTCHA.
• חפש שינויים ב-RunMRU ברישום, ותהליכי בן מסוג wscript או powershell שנוצרים אחרי שימוש בחלון ההרצה.
• הפעל script-block logging ל-PowerShell ושקול בקרת אפליקציות שמגבילה הרצת VBScript.
• מיקרוסופט ממליצה להפעיל הגנת רשת ואינטרנט מבוססת ענן.
• אין כאן פגיעות בקוד שאפשר לתקן בעדכון; זו הנדסה חברתית, ולכן ההגנה היא בקרות והדרכה.

מקורות: The Hacker News