باحثون: حملة ClickFix تستغل أداة finger في Windows لنشر برمجية Lumma
مهاجمون استغلوا إعلانات Google احتيالية وصفحات دخول مزيفة لـ Amazon Business لدفع المستخدمين إلى تشغيل أوامر تسرق بياناتهم.
أفاد باحثون أمنيون بأنهم رصدوا حملة ClickFix تستغل أداة الشبكة المدمجة في Windows المعروفة باسم finger، وذلك لتوزيع برمجيات خبيثة تسرق المعلومات. وذكر موقع dailysecu.com أن الحملة استخدمت إعلانات Google ضارة وصفحات دخول مزيفة لـ Amazon Business للوصول إلى الضحايا.
وبحسب التحليل، وصل المستخدمون إلى الصفحات الخبيثة عبر نتائج بحث Google، حيث كانوا يبحثون عن Amazon Business ثم يضغطون على إعلانات ضارة تنقلهم إلى صفحة دخول مزيفة لـ Amazon بُنيت باستخدام Google Sites. وبعد إدخال البريد الإلكتروني أو رقم الهاتف، ظهرت شاشة تحقق بشري مزيفة تطلب منهم تشغيل أوامر يدوياً.
وعند تنفيذ الأمر، كان الملف finger.exe يستدعي بيانات من خادم يتحكم فيه المهاجمون. واستخدمت سلسلة الإصابة أداة IronPython إضافة إلى عدة مراحل من أدوات تنفيذ برمجيات خبيثة مشفّرة.
وضمت الحمولة النهائية برمجية سرقة معلومات يُشتبه بأنها Lumma، إلى جانب برنامج NetSupport للتحكم عن بُعد.
وأزالت Google الإعلانات الضارة، لكن الباحثين قالوا إن البنية التحتية للهجوم كانت لا تزال نشطة وقت إجراء التحليل. وأشاروا إلى أن الحالات المؤكدة لا تكفي لتحديد حجم الإصابة الإجمالي أو الأضرار المحلية.
أسئلة سريعة
ما هي حملة ClickFix؟
حملة تستغل صفحات تحقق مزيفة تطلب من المستخدم تشغيل أوامر يدوياً، وفي هذه الحالة استخدمت أداة finger المدمجة في Windows لتوزيع برمجيات خبيثة.
ما البرمجيات الخبيثة التي جرى توزيعها؟
ضمّت الحمولة النهائية برمجية سرقة معلومات يُشتبه بأنها Lumma وبرنامج NetSupport للتحكم عن بُعد.
هل أزالت Google الإعلانات الضارة؟
نعم، أزالت Google الإعلانات الضارة، لكن الباحثين قالوا إن البنية التحتية للهجوم كانت لا تزال نشطة وقت التحليل.