Когда проверка безопасности становится угрозой

CAPTCHA давно стала привычной частью работы в интернете. Чтобы подтвердить, что пользователь не робот, достаточно выбрать изображения с пешеходными переходами, ввести символы или поставить галочку.

Однако злоумышленники научились использовать доверие к таким проверкам.

Вместо стандартного задания пользователь видит сообщение о необходимости пройти дополнительную проверку. Ему предлагают открыть системное окно Windows, вставить заранее скопированную команду и нажать Enter.

На первый взгляд это выглядит как техническая процедура. В действительности пользователь самостоятельно запускает команду злоумышленника на своём устройстве.

Так работает ClickFix (Fake CAPTCHA) — метод социальной инженерии, при котором человек становится непосредственным участником выполнения вредоносного кода.

Что такое ClickFix и как работает атака

ClickFix — это техника социальной инженерии, основанная на обмане пользователя и использовании штатных инструментов операционной системы.

В отличие от традиционных фишинговых атак, на первоначальном этапе злоумышленнику необязательно отправлять заражённый файл или использовать уязвимость программного обеспечения.

Вместо этого он создаёт поддельную страницу проверки, которая может имитировать:

• CAPTCHA или проверку Cloudflare;
• уведомление об обновлении Windows;
• сообщение об ошибке браузера;
• системное предупреждение о необходимости дополнительной проверки.

Главная задача — убедить пользователя самостоятельно выполнить команду через встроенные инструменты Windows, например PowerShell.

Особенность ClickFix заключается в том, что атака начинается с действий легитимного пользователя. Это затрудняет обнаружение угрозы средствами защиты, ориентированными преимущественно на анализ файлов.

Как развивается атака ClickFix

Несмотря на различия в оформлении поддельных страниц, большинство атак строится по схожему сценарию.

1. Перенаправление пользователя на поддельную страницу

Пользователь попадает на вредоносную страницу через фишинговое письмо, рекламное объявление, скомпрометированный сайт или поисковую выдачу, изменённую с помощью SEO poisoning.

Страница выглядит как обычная проверка безопасности и не вызывает подозрений.

2. Подмена содержимого буфера обмена

Скрипт на странице помещает в буфер обмена заранее подготовленную команду злоумышленника.

При этом пользователь может не видеть содержимое команды. Вместо неё отображается инструкция с последовательностью действий для прохождения проверки.

3. Запуск команды через Windows

Пользователю предлагают открыть окно «Выполнить» с помощью Win + R, вставить содержимое буфера обмена и нажать Enter.

Именно здесь происходит ключевой этап атаки: команда передаётся из браузера на выполнение операционной системе.

4. Выполнение вредоносного кода

Вставленная команда может использовать PowerShell, mshta или другие штатные инструменты Windows для загрузки и запуска следующего этапа атаки.

В результате злоумышленник может получить возможность похитить учётные данные, установить вредоносное ПО или развить атаку внутри корпоративной инфраструктуры.

Некоторые сценарии предусматривают выполнение кода непосредственно в памяти, что дополнительно усложняет обнаружение традиционными средствами файлового анализа.

Основные разновидности ClickFix

Злоумышленники используют несколько вариантов атаки, которые отличаются способом запуска вредоносной команды.

ClickFix через окно «Выполнить»

Пользователь открывает Win + R и выполняет команду. В системе могут появляться характерные цепочки процессов с участием explorer.exe, conhost.exe, PowerShell или mshta.

FileFix

Вместо окна «Выполнить» злоумышленник предлагает открыть Проводник Windows и вставить команду в адресную строку. Такой сценарий может оставлять следы в активности процессов и параметрах реестра, включая TypedPaths.

TerminalFix

Пользователю предлагают открыть PowerShell или терминал и самостоятельно вставить команду. Такой вариант может оставлять меньше характерных признаков передачи выполнения между процессами.

DownloadFix

Сценарий строится вокруг имитации ошибки загрузки файла. Пользователю предлагают средство исправления проблемы, которое в действительности служит способом доставки вредоносного содержимого.

Во всех случаях злоумышленник использует один принцип: убеждает человека выполнить действие, которое система воспринимает как легитимную пользовательскую активность.

Почему традиционные средства защиты могут пропустить ClickFix

Многие механизмы киберзащиты ориентированы на обнаружение вредоносных файлов, подозрительных вложений и известных сигнатур.

Но при ClickFix первоначальный этап атаки может происходить без загрузки файла.

Кроме того, для выполнения команд используются стандартные компоненты Windows, которые сами по себе не являются вредоносными.

Например, запуск PowerShell не обязательно свидетельствует об атаке: этот инструмент регулярно используется системными администраторами для автоматизации задач.

Поэтому ключевым фактором обнаружения ClickFix становится анализ поведения процессов и последовательности событий.

Специалистам по информационной безопасности важно понимать:

• какой процесс инициировал выполнение команды;
• какие дочерние процессы были запущены;
• какие аргументы командной строки использовались;
• происходили ли обращения к подозрительным внешним доменам;
• соответствует ли активность обычным сценариям работы пользователя.

Для такого анализа необходимы централизованный сбор событий, мониторинг конечных устройств и корреляция данных из нескольких источников.

Как ManageEngine Log360 помогает обнаруживать ClickFix

ManageEngine Log360 — SIEM-платформа для централизованного мониторинга событий безопасности, корреляции данных и выявления потенциальных угроз в корпоративной IT-инфраструктуре.

Для обнаружения ClickFix решение использует правила, ориентированные на характерные цепочки процессов и подозрительную активность системных инструментов.

В частности, предусмотрены следующие сценарии обнаружения.

ClickFix Hidden Window Execution from Run Dialog

Выявление подозрительной цепочки процессов, при которой explorer.exe запускает скрытый процесс conhost.exe через механизм окна «Выполнить».

ClickFix Script Host Execution from Run Dialog

Обнаружение активности интерпретаторов и системных инструментов, включая mshta, запускаемых в характерной последовательности после использования окна «Выполнить».

ClickFix mshta DNS Query to External Domain

Мониторинг DNS-запросов, инициированных mshta, к внешним доменам, которые могут использоваться для получения вредоносного содержимого.

ClickFix FileFix PowerShell Execution from File Explorer

Выявление признаков сценария FileFix, при котором после взаимодействия пользователя с Проводником Windows происходит подозрительный запуск PowerShell.

Такие правила позволяют специалистам по безопасности обращать внимание не только на отдельные события, но и на взаимосвязи между ними.

При наличии необходимых источников телеметрии Log360 помогает выявлять подозрительные действия и ускорять расследование инцидентов.

Как организациям снизить риск ClickFix

Защита от подобных атак требует сочетания технических и организационных мер.

Повышение осведомлённости сотрудников. Пользователи должны знать, что легитимная CAPTCHA не требует запуска команд через PowerShell, терминал или окно «Выполнить».

Мониторинг активности конечных устройств. Анализ запуска процессов, командных строк и сетевых соединений помогает выявлять подозрительные действия даже при отсутствии известного вредоносного файла.

Централизация событий безопасности. Объединение данных с рабочих станций, серверов и сетевых компонентов позволяет обнаруживать связанные события, которые сложно заметить при раздельном анализе журналов.

Настройка корреляционных правил. Использование сценариев обнаружения, ориентированных на ClickFix, FileFix и злоупотребление штатными инструментами Windows, помогает сократить время выявления потенциальных атак.

Контроль привилегий и выполнения команд. Ограничение избыточных прав пользователей и применение политик контроля приложений снижают вероятность успешного развития атаки.

Вывод

ClickFix демонстрирует, как меняется подход злоумышленников к первоначальному проникновению в корпоративные системы.

Вместо сложной эксплуатации уязвимостей атакующие могут использовать доверие сотрудников к привычным интерфейсам и стандартным процедурам проверки.

Поэтому современная защита должна учитывать не только наличие вредоносных файлов, но и контекст пользовательских действий, поведение процессов и последовательность системных событий.

Обнаружение подозрительного поведения становится важной частью защиты корпоративной IT-инфраструктуры.