Атака ClickFix с рекламой в поиске Google по запросу «amazon business» использовала штатную Windows-утилиту finger.exe, чтобы запустить многоступенчатую загрузку вредоносного ПО. В финале на компьютер попадали стилер Lumma и скрытый клиент NetSupport — для российских ИБ-команд это ещё один повод смотреть не только на экзотические исполняемые файлы, но и на давно забытые системные бинарники.
Сценарий обнаружили исследователи Huntress, сообщает Dark Reading. Пользователь переходил по спонсируемому результату Google, ведущему на домен orders-amazon[.]com[.]advancedfences[.]com. Затем его перенаправляли на поддельную страницу входа Amazon, размещённую в Google Sites. После ввода почты или номера телефона страница показывала фальшивую CAPTCHA — именно она становилась точкой запуска атаки.
CAPTCHA, которая просит выполнить команду
Суть ClickFix проста и неприятна: жертве предлагают «подтвердить, что она не робот», но вместо привычной галочки подталкивают к выполнению действия в Windows. В этой кампании следующий этап задействовал finger.exe — утилиту из ранней эпохи интернета, исторически предназначенную для запроса сведений о пользователях на удалённых системах. Она всё ещё встречается на многих Windows-машинах и потому выглядит для защитных средств заметно менее подозрительно, чем незнакомый загрузчик.
По данным Huntress, через finger.exe злоумышленники получали управляемый ими файл .plan, после чего цепочка устанавливала IronPython, несколько обфусцированных загрузчиков, образец Lumma Stealer и скрытый NetSupport Client. NetSupport — легитимное средство удалённого администрирования, однако в данном случае применялось без ведома владельца устройства. Такой набор даёт атакующим и кражу учётных данных, и возможность закрепиться в системе для последующих действий.
Google уже удалил вредоносное рекламное объявление, но инфраструктура кампании на момент исследования оставалась работоспособной. Аналитики также заметили, что операторы предпочитали домены с названиями на тему барбекю. Это не технический индикатор, на который стоит полагаться в одиночку, но полезная деталь для ретроспективного поиска по DNS-логам и прокси.
Главное отличие этой схемы от многих прежних ClickFix-кампаний — не сам обман с CAPTCHA, а глубина доставки. Вместо одного вредоносного файла после действия пользователя запускается цепочка из штатной утилиты, удалённого текстового ресурса, интерпретатора и загрузчиков. Каждый этап сам по себе может выглядеть не слишком сенсационно; вместе они усложняют расследование и позволяют менять конечную нагрузку без переделки приманки.
Что проверить защитникам
Huntress оценивает долю ClickFix примерно в 2,2% сигналов Managed EDR с начала года; почти 99% этих срабатываний были высокой критичности. Цифра не описывает весь рынок, но хорошо показывает соотношение шума и риска: техника уже не выглядит редкой курьёзной уловкой. Её сильная сторона — не уязвимость в коде, а пользователь, который сам запускает предложенную последовательность действий под видом проверки CAPTCHA.
Практический минимум для команд защиты: провести инвентаризацию редко используемых встроенных утилит, отключить те из них, которым нет делового применения, и настроить оповещения на появление finger.exe в пользовательских цепочках запуска. Исследователи отдельно советуют контролировать исходящий TCP/79, ограничить доступ к окну «Выполнить» там, где это оправдано, и искать нетипичные файлы в C:\ProgramData, скрытую активность NetSupport и обращения к нестандартным портам, включая TCP/725. Для разработчиков и администраторов здесь нет магической настройки: список разрешённых средств удалённого доступа и телеметрия процессов должны быть понятнее, чем привычка «не трогать системное».
Атака ClickFix показывает, как быстро устаревшая утилита превращается в актуальный обходной путь, если о ней забыли в политиках мониторинга. Следующей приманкой может быть не Amazon и не CAPTCHA, а любой узнаваемый рабочий сервис; устойчивой защитой остаётся сочетание фильтрации рекламы и доменов, контроля системных бинарников и простого правила для сотрудников: легитимная CAPTCHA не просит вставлять команды в окно запуска, PowerShell или командную строку. Подробности исследования доступны в публикации .
