Атака «ClickFix» посилюється: хакери видають себе за венчурних інвесторів і захоплюють браузерні плагіни для крадіжки криптоактивів

3 березня, інституція з кібербезпеки Moonlock Lab повідомила, що хакери у сфері криптовалют нещодавно оновили метод атаки «ClickFix», почали видавати себе за ризикові інвестиційні компанії, контактують з цільовими користувачами через соціальні платформи та спонукають їх виконувати зловмисний код для крадіжки криптоактивів. Атака здійснюється під виглядом фальшивих венчурних компаній, таких як SolidBit, MegaBit, Lumax Capital, через LinkedIn надсилаються запити на співпрацю, а також користувачів ведуть до підроблених посилань на Zoom або Google Meet. На сторінках вставлено фальшиву кнопку перевірки Cloudflare «Я не робот», натискання якої копіює зловмисний командний рядок у буфер обміну та спонукає користувача вставити його у термінал для виконання, що завершує атаку. Дослідники зазначають, що цей метод, який змушує жертву самостійно виконувати команду, обходить традиційні засоби захисту. Одночасно хакери захоплюють браузерні розширення для здійснення атак. Засновник компанії з кібербезпеки Annex Security, Джон Такнер, повідомив, що Chrome-плагін QuickLens після зміни власності 1 лютого випустив нову версію з шкідливим скриптом через дві тижні, що спричинило атаку ClickFix та крадіжку даних користувачів. Цей плагін має близько 7000 користувачів і наразі видалений з магазину. У звіті йдеться, що захоплені розширення сканують дані криптогаманців і мнемонічні фрази, а також збирають вміст Gmail, дані каналів YouTube та інформацію про входи або платежі.