Platshållardomän för utvecklare används för ClickFix-attacksida

En ClickFix-attack visas på third-party.com, en domän som många utvecklarguider använder som platshållare. Webbplatsen visar Windows-användare en falsk säkerhetskontroll och försöker övertala dem att köra ett PowerShell-kommando.

Falsk verifieringssida riktar sig mot Windows-användare

Säkerhetsföretaget Manifold hittade sidan när det granskade offentliga AI-färdigheter och utvecklardokumentation. BleepingComputer bekräftade senare att den imiterar en Cloudflare-verifieringssida.

När en besökare klickar på verifieringsrutan kopierar sidan ett kommando till Windows urklipp. Den uppmanar sedan besökaren att klistra in och köra kommandot. Om kommandot körs försöker det ladda ner och starta ett PowerShell-skript.

Sidan beter sig annorlunda för besökare som använder macOS eller Linux. Enligt Manifold ser dessa besökare ett meddelande om att operativsystemet inte stöds i stället för de skadliga instruktionerna.

Under BleepingComputers tester gick det inte längre att slå upp skriptets nedladdningsdomän. Därför slutfördes inte attackkedjan. En tidigare analys kopplade domänen till en stor ZIP-nedladdning, men forskarna kunde inte fastställa vad dess slutliga nyttolast gjorde.

Referenser i dokumentation skapar exponering

Utvecklare har använt third-party.com i exempel i flera år. Den förekommer i dokumentation och kodexempel som en platshållare för en extern webbplats eller tjänst.

Vem som helst kan dock registrera och kontrollera denna domän. Det skiljer sig från domäner som example.com, som är reserverade för dokumentation.

Som ett resultat kan någon som följer ett kopierat exempel eller öppnar platshållaradressen hamna på den aktiva ClickFix-attacksidan. Referenserna i utvecklardokumentationen innebär inte att dessa projekt har utsatts för intrång.

Forskare har inte bekräftat att någon utvecklare körde det skadliga kommandot efter att ha följt en sådan referens. De har inte heller fastställt när eller hur kontrollen över domänen ändrades. Domänen går tillbaka till 1996, och det finns inga bevis för att den ursprungliga registreringen hade ett skadligt syfte.