Domena third-party.com z dokumentacji programistów podsuwa atak ClickFix

Domena third-party.com, używana w dokumentacji i przykładach kodu jako zastępczy adres zewnętrznego serwisu, wyświetla fałszywą weryfikację Cloudflare i nakłania użytkowników Windows do uruchomienia polecenia PowerShell. Adres, z którego pobierany był ładunek, w chwili testów BleepingComputer już nie działał.

W przeciwieństwie do example.com, example.net i example.org, zarezerwowanych przez IANA do dokumentacji, third-party.com jest zwykłą zarejestrowaną domeną, której treść kontroluje jej właściciel. Po kliknięciu pola „Verify you are human” strona kopiuje polecenie do schowka i każe nacisnąć Windows+R, wkleić je przez Ctrl+V i zatwierdzić Enterem. Polecenie składa adres elxxvvx[.]xyz/f, pobiera z niego skrypt PowerShell i go uruchamia. Ta technika nosi nazwę ClickFix.

Kogo dotyczy

Użytkowników Windows, którzy otworzą third-party.com, na przykład z odnośnika w dokumentacji albo w przykładowym kodzie. Manifold Security wykryła problem, przeglądając publiczne umiejętności AI i dokumentację serwerów MCP, które odwołują się do tej domeny.