Et ClickFix-angrep vises på third-party.com, et domene som mange utviklerveiledninger bruker som plassholder. Nettstedet viser Windows-brukere en falsk sikkerhetskontroll og forsøker å overtale dem til å kjøre en PowerShell-kommando.
Falsk verifiseringsside retter seg mot Windows-brukere
Sikkerhetsselskapet Manifold fant siden mens det gjennomgikk offentlige AI-ferdigheter og utviklerdokumentasjon. BleepingComputer bekreftet senere at den etterligner en Cloudflare-verifiseringsside.
Når en besøkende klikker på verifiseringsboksen, kopierer siden en kommando til Windows-utklippstavlen. Deretter ber den den besøkende om å lime inn og kjøre kommandoen. Hvis kommandoen kjøres, forsøker den å laste ned og starte et PowerShell-skript.
Siden oppfører seg annerledes for besøkende som bruker macOS eller Linux. Ifølge Manifold ser disse besøkende en melding om at operativsystemet ikke støttes, i stedet for de ondsinnede instruksjonene.
Under BleepingComputers testing kunne skriptets nedlastingsdomene ikke lenger slås opp. Derfor ble ikke angrepskjeden fullført. En tidligere analyse knyttet domenet til en stor ZIP-nedlasting, men forskerne kunne ikke fastslå hva den endelige nyttelasten gjorde.
Referanser i dokumentasjon skaper eksponering
Utviklere har brukt third-party.com i eksempler i flere år. Det forekommer i dokumentasjon og kodeeksempler som en plassholder for et eksternt nettsted eller en tjeneste.
Hvem som helst kan imidlertid registrere og kontrollere dette domenet. Dette skiller seg fra domener som example.com, som er reservert for dokumentasjon.
Som et resultat kan noen som følger et kopiert eksempel eller åpner plassholderadressen, havne på den aktive ClickFix-angrepssiden. Referansene i utviklerdokumentasjonen betyr ikke at disse prosjektene har blitt kompromittert.
Forskere har ikke bekreftet at noen utviklere kjørte den ondsinnede kommandoen etter å ha fulgt en slik referanse. De har heller ikke fastslått når eller hvordan kontrollen over domenet endret seg. Domenet går tilbake til 1996, og det finnes ingen bevis for at den opprinnelige registreringen hadde et ondsinnet formål.
0 responses to “Plassholderdomene for utviklere brukes til ClickFix-angrepsside”