Booking.com ClickFix-angreb bruger falsk blå skærm til at spre malware

Cyberkriminelle har iværksat en vildledende malwarekampagne, der misbruger et velkendt rejsebrand. Booking.com ClickFix-angrebet kombinerer phishing-mails med et falsk Windows-systemnedbrud for at presse ofre til manuelt at køre skadelige kommandoer.

Metoden bygger på social manipulation frem for tekniske sårbarheder. Angriberne udnytter menneskelig adfærd for at omgå sikkerhedskontroller.

Hvordan Booking.com ClickFix-angrebet starter

Angrebet begynder med en phishing-mail, der fremstår som sendt fra Booking.com. Beskeden advarer typisk om en annulleret reservation eller uventede opkrævninger.

Mailen opfordrer modtageren til at gennemgå sagen via et link. Linket fører til et falsk websted, der tæt efterligner den rigtige bookingsplatform.

Falske fejl og Blue Screen of Death-tricket

Efter at offeret har interageret med det falske websted, vises et indlæsningsproblem eller en verifikationsprompt. Herefter skifter siden til en fuldskærms­efterligning af Windows’ Blue Screen of Death.

Den falske blå skærm hævder, at systemet har ramt en kritisk fejl. Brugeren instrueres i at følge trin for at gendanne normal drift.

Situationen skaber hastværk og panik, som angriberne udnytter til at få brugeren til at følge instruktionerne.

Hvordan malwaren installeres

Den falske blå skærm beder offeret om at åbne Kør-dialogen i Windows og indsætte en kommando. Angriberne har allerede placeret kommandoen i udklipsholderen.

Når brugeren kører kommandoen, starter den et skjult script. Scriptet downloader yderligere ondsindede komponenter fra en ekstern server.

Da brugeren selv udfører kommandoen manuelt, undgår angrebet mange traditionelle sikkerhedsværktøjer.

Hvad malwaren gør

Efter installation forbinder malwaren sig til en ekstern kontrolserver. Den indsamler systemoplysninger og giver angriberne mulighed for at køre fjernkommandoer.

Malwaren kan også deaktivere sikkerhedsbeskyttelse og etablere persistensmekanismer. Disse tiltag hjælper angriberne med at bevare langvarig adgang til systemet.

Kampagnen fokuserer på diskretion frem for øjeblikkelig skade.

Hvem angrebet retter sig mod

Booking.com ClickFix-angrebet retter sig primært mod virksomheder og enkeltpersoner i hotel- og rejsebranchen. Hoteller, ejendomsadministratorer og rejserelateret personale er særligt udsatte.

Angriberne timinger kampagnen til perioder med høj rejseaktivitet. Det øger sandsynligheden for, at modtagerne opfatter beskederne som legitime.

Hvorfor ClickFix-teknikken virker

ClickFix-angreb udnytter tillid og tidspres. Ofre ser et velkendt brand og reagerer hurtigt for at undgå økonomiske tab.

Det falske systemnedbrud forstærker illusionen af et reelt teknisk problem. Brugere følger instruktionerne uden at stille spørgsmålstegn ved kilden.

Denne tilgang flytter ansvaret for eksekvering fra malware til brugerens egne handlinger.

Hvordan risikoen kan reduceres

Brugere bør håndtere uventede bookingadvarsler med forsigtighed. Verifikation af reservationer direkte via officielle websteder reducerer risikoen.

Organisationer bør begrænse brugen af scriptværktøjer, hvor det er muligt. Overvågning af usædvanlig kommandoeksekvering kan også afsløre kompromittering tidligt.

Sikkerhedsbevidsthedstræning er fortsat afgørende i kampen mod social manipulation.

Konklusion

Booking.com ClickFix-angrebet viser, hvordan angribere kombinerer phishing, brandmisbrug og falske systemfejl for at sprede malware. Ved at få brugere til selv at udføre kommandoer omgår kampagnen mange traditionelle forsvar.

I takt med at social manipulation bliver mere sofistikeret, må både brugere og organisationer forblive årvågne. At genkende vildledende adfærd er lige så vigtigt som tekniske sikkerhedsforanstaltninger.