Kodėl kitas jūsų naršyklės patikros veiksmas gali būti galinės durys į „Windows“ branduolį

Praėjusį antradienį per „Signal“ programėlę gavau užšifruotą žinutę iš kontakto, kuris naktimis stebi anomalų srautą decentralizuotuose tinklų sietuvuose. Jie pastebėjo staigų užklausų šuolį į konkretų „BNB Smart Chain“ sutarties adresą. Tai nebuvo mažmeninės prekybos bumas ar naujos „meme“ monetos paleidimas. Tai buvo tylus užkrėstų įrenginių „širdies plakimas“, tikrinantis, ar nėra naujų nurodymų. Per keturiasdešimt aštuonias valandas „Microsoft Threat Intelligence“ patvirtino šios operacijos specifiką. Tai kampanija, kuri piktnaudžiauja pasitikėjimu, kurį rodome pagrindiniams saugumo pranešimams, kad per architektūrinį triuką, vadinamą „EtherHiding“, būtų pristatyta kenkėjiška programinė įranga.

Iš esmės ši ataka remiasi psichologiniu išnaudojimu. Dauguma vartotojų dabar yra pripratę tikėtis patvirtinimo žingsnio, kai patenka į svetainę. Matome CAPTCHA arba naršyklės klaidą, ir suveikia mūsų raumenų atmintis. Norime pasiekti turinį, todėl vykdome instrukcijas, kad įrodytume, jog esame žmonės. „ClearFake“ ir „ClickFix“ kampanijų autoriai puikiai supranta šį elgesį. Jie neieško „nulinės dienos“ (zero-day) spragos jūsų naršyklėje. Jie laukia akimirkos, kai būsite pasirengę nukopijuoti ir įklijuoti teksto eilutę, kad išnyktų iššokantis langas.

Psichologiniai suklastotos CAPTCHA spąstai

Ataka prasideda teisėtoje, bet pažeistoje svetainėje. Hakeriai į svetainės kodą įterpia kenkėjišką „JavaScript“. Kai apsilankote puslapyje, skriptas aptinka jūsų aplinką ir suaktyvina perdangą. Ši perdanga imituoja standartinį saugumo patikrinimą arba naršyklės atnaujinimo klaidą. Ji sukurta taip, kad atrodytų oficialiai, dažnai naudojant žinomų technologijų bendrovių prekės ženklus, kad būtų nedelsiant sukurtas patikimumo įspūdis.

Vienas iš šių spąstų variantų pateikia suklastotą CAPTCHA. Jame teigiama, kad jūsų naršyklei nepavyko atlikti patikros, ir pateikiamas mygtukas problemai išspręsti. Kai spustelėjate mygtuką, svetainė į jūsų iškarpinę (clipboard) nukopijuoja sudėtingą komandą. Tada ekrane pasirodo instrukcijų rinkinys. Jame prašoma atidaryti „Windows Run“ langą paspaudžiant „Windows“ klavišą ir „R“, įklijuoti iškarpinės turinį ir paspausti „Enter“.

Galutinio vartotojo požiūriu tai atrodo kaip rankinis trikčių šalinimo žingsnis. Tikrovėje jūs vykdote užmaskuotą „PowerShell“ komandą. Ši komanda yra pirmasis kenkėjiškos programos infekcijos etapas. Kol suprantate, kad jokio tikro patikrinimo nebuvo, užpuolikas jau yra užmezgęs ryšį su savo infrastruktūra. Žmogiškoji ugniasienė yra pirmoji gynybos linija, tačiau pagal šį scenarijų ji yra pagrindinis išnaudojimo taikinys.

Kaip „EtherHiding“ paverčia blokų grandinę nuolatiniu valdymo centru

Tai, kas daro šią kampaniją techniškai įdomią, yra vieta, iš kurios gaunamos instrukcijos. Tradiciškai kenkėjiška programinė įranga gauna komandas iš valdymo serverio (command-and-control). Saugumo komandoms tokius serverius lengva identifikuoti ir išjungti. Jei incidentų tyrėjas randa kenkėjišką domeną, jis gali bendradarbiauti su registratoriais ar prieglobos paslaugų teikėjais, kad serveris būtų išjungtas. Tai nutraukia ryšį tarp užkrėsto įrenginio ir užpuoliko.

Siekdami išspręsti šią problemą, „ClearFake“ operatoriai naudoja „EtherHiding“. Savo kenkėjišką logiką jie talpina išmaniojoje sutartyje „BNB Smart Chain“ tinkle. Kai pažeistoje svetainėje paleidžiamas „JavaScript“, jis nesikreipia į tradicinį interneto serverį. Jis susisiekia su teisėtu blokų grandinės vartais (gateway). Jis pateikia užklausą išmaniajai sutarčiai, kad gautų naujausią kenkėjiškos komandos versiją.

Šis metodas yra atsparus, nes blokų grandinė pagal savo konstrukciją yra decentralizuota. Jokia centrinė institucija negali tiesiog ištrinti išmaniosios sutarties, kai ji jau yra įdiegta tinkle. Tik asmuo, turintis sutarties savininko adreso privatų raktą, gali keisti jos turinį. Gynėjui tai yra košmariškas scenarijus. Galite blokuoti konkrečius vartus, tačiau užpuolikas gali greitai persijungti į dešimtis kitų viešų prieigos taškų, kad pasiektų tuos pačius blokų grandinės duomenis. Kenkėjiškos instrukcijos išlieka prieinamos tol, kol egzistuoja „BNB Chain“.

Kelio sekimas nuo naršyklės pranešimo iki terminalo užgrobimo

Techninis „ClickFix“ ir „TerminalFix“ metodų įgyvendinimas rodo gilias „Windows“ administravimo įrankių žinias. Kai auka įklijuoja kenkėjišką eilutę į „Run“ langą arba „PowerShell“ terminalą, naudingoji apkrova naudoja „living-off-the-land“ dvejetainius failus. Tai teisėti „Windows“ komponentai, atliekantys administravimo užduotis. Kadangi šie įrankiai yra pasirašyti „Microsoft“ ir yra būtini sistemos veikimui, daugelis saugumo produktų jų veiklą vertina kaip nepavojingą.

Praėjusį mėnesį savo laboratorijoje analizavau šios apkrovos pavyzdį. Pradinė komanda naudoja „PowerShell“, kad atsisiųstų antrinį skriptą. Šis skriptas tada naudoja tokius įrankius kaip „mshta“, „rundll32“ arba „msiexec“, kad įvykdytų kodą atmintyje. Jis kiek įmanoma ilgiau vengia įrašyti tradicinį vykdomąjį failą į kietąjį diską. Tai slaptas požiūris, kuris apeina pagrindinius antivirusinius skenerius, ieškančius tik įtartinų failų.

Užkulisiuose kenkėjiška programa užsitikrina išlikimą sistemoje sukurdama suplanuotas užduotis (scheduled tasks). Šios užduotys užtikrina, kad kenkėjiška programa bus paleidžiama kiekvieną kartą, kai įsijungia kompiuteris. Šiame etape užpuolikas jau yra įsitvirtinęs. Dabar jie gali diegti papildomas apkrovas, pavyzdžiui, „Omnistealer“, kuris 2026 m. pradžioje buvo pastebėtas naudojant panašius blokų grandine pagrįstus pristatymo metodus. Tikslas yra pavogti prisijungimo duomenis, naršyklės slapukus ir kriptovaliutų piniginių duomenis. Jei užkrėstas įrenginis yra įmonės tinklo dalis, užpuolikas pradeda judėti per aplinką, kad surastų vertingesnių taikinių.

Decentralizuoto valdymo ir kontrolės evoliucija

Blokų grandinės naudojimas kenkėjiškiems tikslams yra tendencija, kuri brendo daugiau nei dešimtmetį. 2016 m. „Cerber“ išpirkos reikalaujanti programa naudojo „Bitcoin“ transakcijas bendravimui su savo serveriais. Vėliau „Glupteba“ botnetas naudojo „Bitcoin“ blokų grandinę kaip atsarginę sistemą naujiems valdymo serveriams rasti, kai pagrindiniai būdavo konfiskuojami. Dabar matome poslinkį link išmaniųjų sutarčių platformų, tokių kaip „BNB Chain“, „TRON“ ir „Aptos“.

Šios platformos yra patrauklios hakeriams, nes palaiko didelio dažnio transakcijas ir sudėtingą duomenų saugojimą. Žinios apie „BNB Chain“ plėtrą į didelio dažnio prekybą ir dirbtiniu intelektu pagrįstas transakcijas 2027 m. rodo, kad tinklas tik dar labiau integruosis į pasaulinę finansų sistemą. Augant teisėto srauto apimčiai, kenkėjiškoms užklausoms tampa lengviau pasislėpti triukšme. Tai nėra pačios „BNB Chain“ trūkumas. Tai bet kokios atviros ir decentralizuotos infrastruktūros šalutinis produktas. Bet kuris įrankis, užtikrinantis atsparumą cenzūrai teisėtiems vartotojams, užtikrins jį ir piktavaliams.

„ClearFake“ kampanijų teismo ekspertizės analizės pamokos

Žvelgdami į atakų grandinę, matome poslinkį nuo sudėtingų programinės įrangos spragų išnaudojimo link piktnaudžiavimo žmogaus pasitikėjimu. Remiantis mano, kaip analitiko, patirtimi, sėkmingiausios atakos dažnai yra paprasčiausios. Šiai kampanijai nereikia apeiti naršyklės izoliavimo aplinkų (sandboxes) ar rasti atminties sugadinimo klaidų. Ji tiesiog prašo vartotojo leidimo veikti.

Pastarųjų incidentų teismo ekspertizės įrodymai rodo, kad šie užpuolikai reaguoja labai greitai. Kai saugumo bendrovė paskelbia ataskaitą apie konkrečią išmaniąją sutartį, hakeriai dažnai per kelias valandas atnaujina savo „JavaScript“, kad šis rodytų į naują sutartį. Jie vykdo profesionalią operaciją su nuolatiniu integravimu ir diegimu. Kalbant proaktyviai, gynybos strategija, pagrįsta konkrečių sutarčių adresų įtraukimu į juoduosius sąrašus, yra pasmerkta žlugti. Turime sutelkti dėmesį į sistemos elgseną ir vartotojo teises.

Gynybinės konfigūracijos šiuolaikinei įmonei

Tinklo apsauga nuo „ClickFix“ reikalauja sluoksniuoto požiūrio, apimančio tiek techninius, tiek žmogiškuosius elementus. Turime judėti link „nulinio pasitikėjimo“ (zero trust) modelio, kuriame niekada nepasitikime komanda tik todėl, kad ji ateina iš vartotojo sąsajos. „Nulinis pasitikėjimas“ yra tarsi VIP klubo apsaugininkas prie kiekvienų vidinių durų. Net jei turite priekinių durų raktą, privalote įrodyti savo tapatybę ir leidimą patekti į kiekvieną kambarį.

Rizikos požiūriu organizacijos turėtų pradėti nuo prieigos prie komandinės eilutės įrankių ribojimo netechniniam personalui. Dauguma darbuotojų apskaitoje ar rinkodaroje neturi jokios teisėtos priežasties naudoti „PowerShell“ ar „Windows Run“ langą. Grupės politikos objektai (GPO) gali išjungti šiuos įrankius konkrečioms vartotojų grupėms. Atitinkamai, net jei vartotojas bus apgautas įklijuoti komandą, sistema atsisakys ją vykdyti.

IT komandos taip pat turėtų įjungti išsamų „PowerShell“ žurnalavimą (logging). Tai apima „Script Block Logging“ ir „Transcription“. Jei įvyksta infekcija, šie žurnalai suteikia detalų vaizdą apie tai, ką tiksliai bandė padaryti užpuolikas. Jie yra jūsų operacinės sistemos „juodosios dėžės“ skrydžio savirašiai. Be jų teismo ekspertizės tyrimai dažnai yra tik spėliojimai. Galiausiai, naudojant programų kontrolės programinę įrangą, tokią kaip „AppLocker“ arba „Windows Defender Application Control“, galima neleisti veikti neautorizuotiems skriptams, nepriklausomai nuo jų kilmės.

Praktiniai patarimai individualiems vartotojams

Jei esate individualus vartotojas, gynyba yra dar paprastesnė, tačiau reikalauja nuolatinio budrumo. Elkitės su savo iškarpine ir terminalu taip pat rūpestingai, kaip ir su slaptažodžiais.

1. Niekada į savo kompiuterį neklijuokite komandų, gautų iš svetainės ar el. pašto, nesvarbu, kaip oficialiai atrodo pranešimas.
2. Jei svetainė teigia, kad naršyklėje įvyko klaida, ir pateikia „pataisymą“, kurį reikia atsisiųsti ar paleisti, nedelsdami uždarykite kortelę.
3. Naudokite patikimą slaptažodžių tvarkyklę ir įjunkite aparatine įranga pagrįstą daugiaveiksmį autentifikavimą (MFA). Tai apsaugo jūsų paskyras, net jei kenkėjiška programa sugebėtų pavogti jūsų prisijungimo duomenis.
4. Nuolat atnaujinkite operacinę sistemą ir naršyklę. Nors šios atakos nukreiptos į vartotoją, atnaujinimai dažnai apima naujas apsaugos priemones nuo kenkėjiškų skriptų vykdymo.

Duomenys yra toksiškas turtas, jei jie nėra apsaugoti. Šių hakerių tikslas – paversti jūsų vietinį įrenginį vartais į didesnes vagystes. Suprasdami mechaniką, kaip jie naudoja blokų grandinę savo pėdsakams paslėpti, galime kurti atsparesnes sistemas, teikiančias pirmenybę vientisumui, o ne patogumui. Šiandien pat patikrinkite savo „PowerShell“ vykdymo politikas ir įsitikinkite, kad jūsų komanda supranta, jog joks teisėtas saugumo patikrinimas niekada neprašys jų vykdyti rankinės komandos.

Šaltiniai:

• Microsoft Threat Intelligence Research Reports
• MITRE ATT&CK Framework (Techniques T1059, T1584)
• NIST Cybersecurity Framework (ID.AM, PR.AC)
• BNB Chain Official Documentation and Roadmap 2026-2027

Atsakomybės apribojimas: šis straipsnis yra skirtas tik informaciniams ir švietimo tikslams. Jis nepakeičia profesionalaus kibernetinio saugumo audito ar incidentų tyrimo paslaugų, pritaikytų jūsų konkrečiai infrastruktūrai.