Chrome: avertismente ClickFix și analiza Gemini a fraudelor

Google a anunțat noi apărări ale Chrome împotriva fraudelor și a ingineriei sociale. Cea mai interesantă pentru cine administrează stațiile de lucru ale unei companii privește ClickFix: Chrome poate observa acum când un utilizator copiază o comandă rău intenționată dintr-o pagină web și îi afișează un avertisment înainte să o execute. Noutățile, relatate de Help Net Security, The Hacker News, SecurityWeek și BleepingComputer, privesc aproape toate modul Protecție îmbunătățită (Enhanced Protection) al Navigării sigure; verificarea conexiunilor HTTP se aplică în schimb tuturor.

Ce s-a schimbat

Sursele descriu patru modificări:

1. Două niveluri de avertisment pentru site-uri. Avertismentul roșu pe toată pagina rămâne pentru site-urile pe care Navigarea sigură le consideră periculoase cu un grad mare de încredere. Se adaugă un nivel „site suspect” pentru verdictele mai puțin sigure: pagini cu tipare înșelătoare tipice site-urilor rău intenționate deja cunoscute. Potrivit SecurityWeek, este același model pe două niveluri folosit deja pentru descărcări. Google explică faptul că un design dedicat îi permite să afișeze mai multe avertismente fără să deranjeze prea mult.
2. Analiza fraudelor cu Gemini pe servere. Modelul care rula pe dispozitiv și căuta doar fraudele de tip fals suport tehnic a fost înlocuit de un model pe server, disponibil tuturor utilizatorilor Protecției îmbunătățite. Acum recunoaște și antivirusurile false și actualizările false ale browserului. Evaluează marca afișată, scopul paginii și probabilitatea unei fraude; Navigarea sigură combină această evaluare cu reputația domeniului și alte semnale.
3. Avertismente pentru comenzile ClickFix copiate (detalii în secțiunea următoare).
4. Confirmare înainte de conexiunile HTTP. Potrivit SecurityWeek, Chrome cere acum tuturor utilizatorilor permisiunea înainte de a deschide un site prin HTTP necriptat, funcție care a ajuns mai devreme, anul acesta, la cei care foloseau Protecția îmbunătățită.

Cum funcționează verificarea ClickFix

În atacurile ClickFix o pagină inventează o problemă (un CAPTCHA de trecut, o eroare de „reparat”) și îi cere victimei să copieze o comandă și să o lipească în terminal sau în fereastra Executare. Help Net Security amintește că comanda copiată poate fi diferită de cea afișată pe ecran. De obicei pornește instrumente deja prezente în sistem, precum PowerShell și cmd.exe, care descarcă și instalează malware-ul.

Punctul slab exploatat este precis: descărcarea nu trece prin browser, ci prin terminal, așa că protecțiile Chrome și ale Navigării sigure pentru descărcări nu intervin niciodată. De aceea Google a mutat verificarea în momentul copierii. Când un utilizator cu Protecție îmbunătățită copiază un text care seamănă cu un script ClickFix, Chrome elimină datele personale din conținutul clipboardului, îl trimite la Navigarea sigură și, dacă verdictul este „periculos”, afișează un avertisment. Google declară că a mizat pe precizie ridicată, ca să nu încurce munca legitimă a dezvoltatorilor.

Sursele nu indică o versiune de Chrome, calendarul lansării sau sistemele de operare implicate; BleepingComputer vorbește despre comenzi PowerShell și Command Prompt, deci despre Windows. Din surse nu reiese clar dacă utilizatorul poate ignora avertismentul: BleepingComputer scrie că acesta apare „înainte de a continua”.

Tehnici MITRE ATT&CK

Verificarea vizează aceste tehnici:

• User Execution: Malicious Copy and Paste (T1204.004), comanda lipită de victimă;
• Command and Scripting Interpreter: PowerShell (T1059.001) și Windows Command Shell (T1059.003);
• Ingress Tool Transfer (T1105), descărcarea malware-ului din terminal în loc de browser.

Date trimise către Google

Google afirmă că textul paginii este analizat pe serverele sale doar când un site arată indicii puternice de fraudă și că conținutul trimis este procesat efemer: nu este înregistrat, nu este păstrat și nu este folosit pentru antrenarea modelelor. În cazul clipboardului, datele personale sunt eliminate înainte de trimitere. Pentru o companie europeană este totuși conținut de lucru care iese de pe dispozitiv: decizia de a activa Protecția îmbunătățită pe toate stațiile trebuie evaluată și împreună cu cine se ocupă de protecția datelor.

Impactul pentru companiile europene și italiene

ClickFix nu exploatează o vulnerabilitate: exploatează utilizatorul, care execută comanda cu propriile permisiuni. Un avertisment în browser în momentul copierii este un strat de apărare în plus, dar acoperă doar Chrome cu Protecția îmbunătățită activă. Rămân neacoperite celelalte browsere și comenzile care ajung pe alte căi, precum e-mailul, chatul sau documentele.

Cifra de „zece ori mai în siguranță” decât cu protecția standard, citată de Google, se bazează pe numărul mediu de avertismente afișate celor două grupuri de utilizatori: măsoară câte avertismente apar, nu câte atacuri reușesc.

Verificarea HTTP privește și aplicațiile interne. Potrivit Google, nu se declanșează pentru numele de gazdă dintr-un singur cuvânt și pentru adresele IP locale; după această descriere, aplicațiile interne accesibile prin HTTP cu un nume de domeniu complet ar trebui în schimb să afișeze cererea de confirmare la prima vizită și din nou după cel puțin două săptămâni fără vizite.

Pentru entitățile care intră sub incidența NIS2, igiena cibernetică de bază și instruirea personalului fac parte din măsurile de gestionare a riscurilor. În sănătate, unde de pe stațiile de lucru se accesează portaluri cu datele pacienților, o singură comandă lipită poate duce la furtul credențialelor pentru acele portaluri.

Ce să faci acum

1. Evaluează Protecția îmbunătățită pe stațiile administrate: cu politicile enterprise ale Chrome setezi nivelul Navigării sigure (SafeBrowsingProtectionLevel). Implică responsabilul cu protecția datelor în privința conținutului trimis către Google.
2. Inventariază aplicațiile interne servite prin HTTP și treci-le pe HTTPS sau anunță utilizatorii despre noua cerere de confirmare.
3. Nu te baza doar pe browser: restricționează PowerShell și interpretoarele de scripturi pentru utilizatorii care nu au nevoie de ele, ia în calcul dezactivarea ferestrei Executare prin politici de grup și activează jurnalizarea blocurilor de script PowerShell.
4. Caută urme: procese powershell.exe sau cmd.exe pornite de explorer.exe cu comenzi de descărcare, conexiuni de ieșire imediat după, intrări recente în cheia de registry RunMRU.
5. Informează personalul: nicio verificare legitimă nu cere să copiezi și să execuți o comandă. Cine vede un avertisment Chrome despre o comandă copiată trebuie să se oprească și să anunțe departamentul IT.

Cum ajută ARXDOME

ARX Sentry colectează jurnale și evenimente de securitate de pe calculatoare și servere și le grupează în familii precum execuțiile suspecte, cu tacticile MITRE ATT&CK în paginile SOC: o comandă ClickFix executată lasă urme chiar și atunci când browserul nu a oprit-o. Cu ARX Trace, analiștii lansează căutări pe mai multe mașini, de exemplu asupra execuțiilor PowerShell, iar ARX Shield permite izolarea din rețea a unui calculator suspect.

Ultima actualizare: 21 octombrie 2026