پژوهشگران امنیتی یک کمپین پیچیده‌ی سایبری را شناسایی کرده‌اند که در آن مهاجمان با آلوده کردن وب‌سایت‌های وردپرس (WordPress)، بدافزار NetSupport RAT را از طریق ترفند مهندسی اجتماعی جدیدی به نام ClickFix توزیع می‌کنند.
این کمپین توسط تیم Cybereason GSOC در ماه می ۲۰۲۵ کشف شد و نشان می‌دهد که چگونه ابزارهای مشروع کنترل از راه دور می‌توانند به شکل مخفیانه برای دسترسی غیرمجاز به سیستم‌ها مورد سوءاستفاده قرار بگیرند.
🧬 زنجیره حمله چندمرحله‌ای
-
شروع با ایمیل فیشینگ، PDF آلوده یا لینک در سایت‌های بازی
-
هدایت قربانی به سایت وردپرسی آلوده
-
بارگذاری خودکار اسکریپت مخرب
j.jsاز دامنه‌یislonline.orgاز طریق meta tag -
شناسایی سیستم‌عامل کاربر (ویندوز) و بررسی بازدید قبلی با استفاده از local storage
🎭 تکنیک ClickFix – حمله با دست خود قربانی
در مرحله بعد، کاربران به یک صفحه تأیید CAPTCHA جعلی هدایت می‌شوند که با استفاده از React و TailwindCSS طراحی شده تا کاملاً معتبر به‌نظر برسد.
اما این کپچا:
-
به‌جای بررسی انسان بودن کاربر، یک دستور PowerShell مخرب را در کلیپ‌بورد کاربر کپی می‌کند
-
سپس از کاربر می‌خواهد Win+R را فشار دهد و «کد تأیید» را در Run وارد کند
قربانی که تصور می‌کند مراحل احراز هویت را طی می‌کند، عملاً خودش دستور نصب NetSupport RAT را اجرا می‌کند.
🧠 چرا این روش خطرناک است؟
-
چون هیچ اکسپلویت فنی مستقیم وجود ندارد
-
قربانی خودش آخرین گام را اجرا می‌کند و به‌همین دلیل:
-
آنتی‌ویروس‌ها و سیستم‌های تشخیص خودکار از آن عبور می‌کنند
-
دستورات مخرب مثل “
Invoke-WebRequest” یا “Start-Process” از طریق کاربر اجرا می‌شوند
-
-
NetSupport سپس یک کانال دائمی با سرور C2 در مولداوی برقرار می‌کند
⚙️ فعالیت‌های بعد از آلودگی
-
ایجاد کلید رجیستری برای ماندگاری بعد از ریبوت
-
شناسایی زیرساخت شبکه با دستورات PowerShell و
net group -
استفاده از قابلیت‌های داخلی NetSupport برای اجرای دستورات در پس‌زمینه
-
بارگذاری و دانلود فایل‌ها از پوشه‌های عمومی
طبق داده‌های تهدید، NetSupport Manager در سال ۲۰۲۴ در رتبه هفتم رایج‌ترین بدافزارها قرار داشته و مجرمان سایبری به‌دلیل ماهیت مشروع آن، تمایل زیادی به استفاده از آن دارند.
🛡 توصیه‌های امنیتی
-
قرنطینه فوری سیستم‌های آلوده
-
تغییر رمز حساب‌های در معرض خطر
-
بستن دسترسی به دامنه‌ها و IPهای شناسایی‌شده
-
پایش PowerShell برای دستورات مشکوک
-
تشخیص دستکاری در کلیپ‌بورد از طریق افزونه‌های مرورگر یا ابزارهای EDR
-
بررسی کامل قالب‌ها و افزونه‌های وردپرس برای تزریق کد جاوااسکریپت
«هر دستورالعملی که از کاربر بخواهد کدی را در Run اجرا کند باید به‌عنوان هشدار جدی تلقی شود.»
📌 جمع‌بندی
کمپین ClickFix نشان‌دهنده تغییر جهت مهاجمان از اکسپلویت فنی به مهندسی اجتماعی پیشرفته است. با بهره‌گیری از اعتماد کاربران به CAPTCHA و تکنیک‌های طراحی رابط حرفه‌ای، حمله‌ای بی‌سروصدا و مؤثر اجرا می‌شود. ابزارهایی مثل NetSupport که به‌ظاهر قانونی هستند، در دستان مهاجمان به ابزارهای قدرتمند جاسوسی تبدیل شده‌اند.
یک نظر