ClickFix wchodzi do głównego nurtu, przejęte strony podsuwają fałszywe CAPTCHA

ClickFix przestał być egzotyczną techniką i stał się powszechnym sposobem infekowania komputerów z Windows i macOS. Niezależny badacz Kevin Beaumont zauważył w czwartek, że Reddit zapełnia się wpisami osób zainfekowanych tą metodą, a legalne strony są przejmowane, żeby wyświetlać fałszywe okna CAPTCHA. Według Ars Technica technikę przejęli niemal wszyscy dystrybutorzy złośliwego oprogramowania, w tym grupy wspierane przez Kreml.

Schemat jest prosty. Na przejętej stronie pojawia się obrazek CAPTCHA, często podszywający się pod Cloudflare. Po kliknięciu użytkownik widzi linijkę tekstu, zwykle zamaskowaną tak, żeby ukryć złośliwe polecenie. Dostaje instrukcję, żeby skopiować ją do okna Uruchom w Windows, do PowerShella albo do terminala macOS i nacisnąć Enter.

Dla właściciela strony najważniejsze jest to, że cały atak opiera się na przejętych legalnych witrynach. Odwiedzający wykonują polecenie, bo pochodzi ze strony, z której korzystają od lat, a sama instrukcja nie wygląda dziwniej niż to, czego internet wymaga od nich od dekady.