Fałszywe strony z opiniami Zillow instalują NetSupport RAT metodą ClickFix

EfficientIP Research Labs opisało kampanię ClickFix, w której fałszywe strony z opiniami o mieszkaniach, podszywające się pod Zillow, instalowały na komputerach z Windows program NetSupport RAT. Strona pokazywała rzekomą weryfikację, a po kliknięciu Continue kopiowała do schowka polecenie PowerShell i prowadziła odwiedzającego przez Win+R, Ctrl+V, Enter. Skrypt z adresu zapisanego jako liczba 1495423691 (89.34.90.203) ukrywał okno PowerShell, pobierał środowisko Pythona i archiwum ZIP, rozpakowywał NetSupport do AppData i dodawał skrót do folderu Autostart. Pierwsze domeny wykryto w sierpniu 2026 roku. Były świeżo rejestrowane, krótkotrwałe i miały losowe końcówki liczbowe, np. apartments-review8509831[.]sbs.

Kogo dotyczy

Najbardziej narażone są osoby szukające mieszkania na wynajem oraz każdy, kto przegląda ogłoszenia na służbowym laptopie. Po uruchomieniu NetSupport atakujący ma dostęp do wszystkich plików zalogowanego użytkownika. Według Karima Hossena, CISO EfficientIP, linki trafiały najpewniej wprost do ofiar e-mailem, SMS-em lub przez komunikator, od fałszywego wynajmującego albo pośrednika.