ClickFix — co to jest?
ClickFix to technika socjotechniczna, w której atakujący podszywają się pod zaufane interfejsy (np. captcha Cloudflare, błąd systemu Windows) i nakłaniają użytkownika do samodzielnego uruchomienia złośliwego kodu przez np. schowek systemowy.
Kluczowy element: użytkownik sam wykonuje złośliwą komendę — co znacząco utrudnia wykrycie przez tradycyjne rozwiązania bezpieczeństwa.
Nowy wariant: Cloudflare + WebDAV + Electron
W opisywanym przypadku łańcuch ataku wygląda następująco:
- Użytkownik trafia na fałszywą stronę z "weryfikacją captcha Cloudflare"
- Strona prosi o naciśnięcie Win+R i wklejenie komendy ze schowka
- Komenda montuje ukryty zasób WebDAV (
net use) i uruchamia stamtąd skrypt PowerShell - Skrypt instaluje aplikację Electron, w której
app.asarzawiera złośliwą logikę
Dlaczego Electron?
Aplikacje Electron są trudniejsze do analizy:
app.asarto archiwum, które wymaga specjalnych narzędzi do rozpakowania- Kod JS w archiwum może być zaciemniony (obfuscated)
- Wiele programów antywirusowych nie skanuje zawartości
.asar - Aplikacja ma dostęp do Node.js API — może wykonywać operacje na systemie plików, uruchamiać procesy, komunikować się z C2
Wskaźniki kompromitacji (IoC)
Przy analizie warto szukać:
- Nieoczekiwanych operacji
net usew logach systemowych - Uruchamiania aplikacji Electron z nieznanych lokalizacji
- Połączeń do adresów WebDAV nie należących do organizacji
- Zmian w harmonogramie zadań Windows (persistence)
Wnioski
ClickFix jako technika jest szczególnie groźna, bo omija wiele tradycyjnych zabezpieczeń. Kluczowa obrona to świadomość użytkowników — żadna legalna weryfikacja captcha nie prosi o uruchamianie komend w terminalu.