ClickFix ascunde payloadul VBScript în cache-ul browserului

ClickFix este o tehnică de inginerie socială deja foarte răspândită: o verificare falsă, de obicei un CAPTCHA, convinge victima să lipească și să execute o comandă pregătită de atacator. Microsoft Threat Intelligence a descris o variantă care face mai greu de observat primele etape ale atacului: scriptul malițios ajunge pe calculator înainte ca victima să facă ceva, ascuns în cache-ul browserului și deghizat în imagine.

Ce s-a întâmplat

Potrivit Infosecurity Magazine, Microsoft a descris tehnica într-o postare pe X din 3 octombrie 2026. Un grup de site-uri compromise îi conducea pe vizitatori spre atac: o fereastră CAPTCHA falsă le cerea să deschidă caseta Run (Executare) din Windows, să lipească conținutul clipboardului și să apese Enter.

Noutatea stă în ordinea operațiunilor. Payloadul nu este descărcat după acțiunea victimei: site-ul îl preîncarcă în cache-ul browserului cât timp pagina este deschisă. Comanda lipită trebuie doar să găsească și să lanseze un fișier aflat deja pe disc. Potrivit Microsoft, acest lucru are două scopuri: ascunderea scriptului și ocolirea limitei de caractere a casetei Run, care nu ar accepta o comandă lungă.

Lanțul de atac

Etapele descrise de Microsoft, în ordine:

1. Comanda din caseta Run: pornește cmd.exe, care caută în folderul profilului browserului fișierele din cache al căror nume începe cu f_ și compară dimensiunea fiecăruia cu o valoare așteptată.
2. Identificarea după dimensiune: atacurile anterioare căutau un marcaj în conținutul din cache; acesta recunoaște fișierul potrivit doar după dimensiune. Îl copiază într-un folder temporar cu extensia .vbs și îl execută cu wscript.exe.
3. Recunoaștere și a doua etapă: scriptul VBScript adună informații despre sistem prin WMI, apoi descarcă un script PowerShell și îl execută ocolind execution policy.
4. Cod în memorie: etapele următoare compilează și încarcă alt cod în memorie și îl injectează în procesul legitim timeout.exe, pentru a fura credențiale din browsere și de pe dispozitiv.
5. Persistență: malware-ul se conectează la serverele atacatorilor, extrage o copie de Python cu instrumentul de sistem tar.exe și creează o sarcină programată care rulează un payload Python prin pythonw.exe. Astfel accesul supraviețuiește repornirii.

În sursele disponibile nu există domenii, adrese IP sau hash-uri de fișiere care să poată fi folosite ca indicatori de compromitere.

Și înregistrările DNS TXT

Dark Reading încadrează campania într-o evoluție mai largă a ClickFix: pe lângă preîncărcarea în cache-ul browserului, semnalează folosirea înregistrărilor DNS TXT pentru ascunderea payloadurilor, cu același scop de a face mai puțin vizibile primele etape ale atacului. Sursele disponibile nu oferă detalii tehnice despre această variantă.

Tehnici MITRE ATT&CK

Etapele descrise corespund acestor tehnici:

• User Execution: Malicious Copy and Paste (T1204.004), comanda lipită de victimă;
• Command and Scripting Interpreter: Windows Command Shell (T1059.003), Visual Basic (T1059.005) și PowerShell (T1059.001);
• Windows Management Instrumentation (T1047), pentru recunoaștere;
• Process Injection (T1055), în procesul timeout.exe;
• Credentials from Web Browsers (T1555.003);
• Scheduled Task (T1053.005), pentru persistență.

Impactul pentru companiile europene și italiene

Tehnica nu exploatează o vulnerabilitate software: îl exploatează pe utilizator, care execută comanda cu propriile permisiuni. De aceea nicio actualizare nu o blochează singură. Preîncărcarea în cache face mai puțin utile controalele bazate pe descărcări: fișierul sosește ca o resursă obișnuită a paginii, iar comanda lipită nu conține nicio adresă de descărcare.

Ținta finală sunt credențialele salvate în browsere: accesul la e-mail, aplicații de gestiune, servicii cloud și portaluri ale furnizorilor. Un singur calculator compromis poate deschide drumul spre alte sisteme. Pentru entitățile NIS2, igiena cibernetică de bază și instruirea personalului fac parte din măsurile de gestionare a riscurilor; în sănătate, unde de pe stațiile de lucru se accesează adesea portaluri cu date ale pacienților, furtul de credențiale din browser are consecințe deosebit de delicate.

Ce să faci acum

1. Activează protecțiile recomandate de Microsoft: protecția livrată din cloud, protecția rețelei, controlul aplicațiilor și înregistrarea blocurilor de script PowerShell (script block logging). Microsoft Defender Antivirus detectează execuția comenzilor malițioase ca Trojan:Win32/ClickFix și Trojan:Win32/TermFix.
2. Caută dincolo de descărcări, cum sugerează Microsoft: activitatea browserului, execuții neobișnuite ale wscript.exe și PowerShell, sarcini programate noi și cheia de registry RunMRU (HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU), care păstrează comenzile tastate în caseta Run.
3. Verifică lanțurile de procese: cmd.exe care citește fișiere din cache-ul browserului, fișiere .vbs în foldere temporare, tar.exe care extrage arhive, pythonw.exe pornit de o sarcină programată.
4. Redu instrumentele disponibile: pentru utilizatorii care nu au nevoie de ele, ia în calcul dezactivarea casetei Run și a Windows Script Host prin politici de grup și limitează prin controlul aplicațiilor interpretoarele care pot porni.
5. Informează personalul cu un mesaj simplu, același cu al Microsoft: un CAPTCHA nu cere niciodată să execuți cod. Cine vede o astfel de cerere trebuie să închidă pagina și să anunțe departamentul IT.
6. Dacă găsești un calculator afectat, izolează-l și consideră compromise credențialele salvate în browserele lui: trebuie schimbate, începând cu conturile privilegiate.

Cum te ajută ARXDOME

ARX Sentry colectează loguri și evenimente de securitate de pe calculatoare și servere și le grupează în familii precum execuții suspecte și persistență, cu tacticile MITRE ATT&CK în paginile SOC. Cu ARX Trace, analiștii pornesc colectări și căutări pe mai multe mașini și verifică modificările fișierelor, utile pentru a căuta urme precum intrările RunMRU sau fișierele .vbs din folderele temporare. ARX Shield arată starea protecției fiecărei mașini și permite izolarea din rețea a unui calculator suspect.

Ultima actualizare: 6 octombrie 2026