حمله کلیک فیکس(ClickFix attack) با هدف قرار دادن کاربران مک‌اواس (macOS)، به بستری برای توزیع یک بدافزار مبتنی بر Go تبدیل شده است که طیف گسترده‌ای از اطلاعات حساس، از جمله دارایی‌های رمزارزی، رمزهای عبور ذخیره‌شده در مرورگر، داده‌های Apple Keychain و اطلاعات احراز هویت کش‌شده را سرقت می‌کند. این بدافزار می‌تواند تراکنش‌های رمزارزی را رهگیری کرده و به مقصد موردنظر مهاجم هدایت کند. همچنین با محاسبه ارزش هر تراکنش، میزان دارایی قابل سرقت را مشخص می‌کند و در صورت نیاز، می‌تواند تمام موجودی رمزارزی قربانی را به کیف پول مهاجم منتقل کند. پژوهشگران شرکت هانترس (Huntress) این پیلود مخرب را در جریان بررسی یک حمله کلیک فیکس شناسایی کردند. یافته‌های این بررسی نشان می‌دهد مهاجمان با سوءاستفاده از مهندسی اجتماعی و ترغیب کاربر به اجرای یک فرمان ساده در ترمینال (Terminal) می‌توانند به اطلاعات حساس و دارایی‌های رمزارزی او دسترسی پیدا کنند.
نحوه آغاز حمله کلیک فیکس
در جریان این حمله کلیک فیکس، کاربر هدف ایمیلی حاوی یک لینک مخرب دریافت می‌کند که با هدایت وی به صفحه‌ای خاص، او را ترغیب می‌کند تا دستوری مشخص را در محیط ترمینال سیستم اجرا کند. با اجرای این دستور، یک اسکریپت Bash روی سیستم دانلود می‌شود که هم‌زمان نقش پروفایلر (Profiler) و لودر بدافزار (Malware Loader) را ایفا می‌کند.
این اسکریپت ابتدا اطلاعات سخت‌افزاری سیستم، از جمله مشخصات پردازنده (CPU) و میزان حافظه RAM را جمع‌آوری کرده و سپس پیلودی با فرمت Mach-O را متناسب با معماری پردازنده دستگاه قربانی دریافت می‌کند. در ادامه، این اسکریپت با شناسایی نام حساب کاربری فعال، دایرکتوری جدیدی را با نام trustd ایجاد می‌کند. trustd یکی از پردازه‌های سیستمی مک‌اواس است که وظیفه بررسی و اعتبارسنجی گواهی‌های رمزنگاری و امضاهای کد را بر عهده دارد.
دور زدن گیت‌کیپر برای اجرای پیلود مخرب
در این حمله کلیک فیکس، مهاجمان پیلود مربوط به سرقت اطلاعات و دارایی‌های رمزارزی را با نام com.apple.verified در دایرکتوری ایجادشده قرار دادند. در مرحله بعد، ویژگی توسعه‌یافته com.apple.quarantine را از فایل حذف کردند تا گیت‌کیپر (Gatekeeper) آن را به‌عنوان فایل قرنطینه‌شده شناسایی نکند و هنگام اجرای فایل نیز هشدار امنیتی نمایش ندهد.
بررسی‌های هانترس نشان داد که این بدافزار برای ایجاد پایداری (Persistence) در سیستم، سازوکارهای ویژه‌ای را به‌کار گرفت و با سرقت اطلاعات احراز هویت، زمینه افزایش سطح دسترسی (Privilege Escalation) را فراهم کرد. در این فرآیند، ابزار osascript یک پیام خطای جعلی نمایش می‌داد و کاربر را به وارد کردن رمز عبور حساب مدیریتی ترغیب می‌کرد.
هدف قرار دادن رمزهای‌عبور و اطلاعات احراز هویت در حمله کلیک فیکس
پیلود رباینده اطلاعات، فضای ذخیره‌سازی سیستم را برای شناسایی فایل‌های حاوی اطلاعات احراز هویت بررسی می‌کند. این فایل‌ها بر اساس نام و پسوند شناسایی می‌شوند.
به گفته هانترس، پایگاه‌های داده رمزهای‌عبور مرورگرها، داده‌های Apple Keychain و اطلاعات احراز هویت کش‌شده در کوکی‌های مرورگر از جمله اهداف این بدافزار هستند.
این بدافزار مبتنی بر زبان Go، با بهره‌گیری از قابلیت دستکاری تراکنش‌ها پیش از امضای دیجیتال، استراتژی متفاوتی را برای سرقت رمزارزها در پیش گرفته است. به‌گزارش هانترس، برخلاف ابزارهای متداول سرقت خودکار رمزارز که تمام موجودی کیف پول را به صورت یک‌جا برداشت می‌کنند، این بدافزار به مهاجمان اجازه می‌دهد بخشی از داراییِ هر تراکنش را به آدرس‌های تحت کنترل خود هدایت کنند.
تحلیل‌های فنی نشان می‌دهد که این بدافزار از توابع داخلی برای محاسبه خودکار درصدی از موجودی (مثلاً 1 درصد) بر اساس نوع ارز استفاده می‌کند. این قابلیت به مهاجمان اجازه می‌دهد تا میزان سرقت را به‌صورت هوشمندانه و متناسب با هر رمزارز، پیکربندی کنند.
رمزارزهای هدف این بدافزار شامل بیت‌کوین، لایت‌کوین، دوج‌کوین، مونرو، اتریوم و XRP متعلق به ریپل (Ripple) هستند.
ارتباط بدافزار با زیرساخت روسی
بر اساس گزارش هانترس، در این حمله کلیک فیکس، بدافزار با چند آدرس IP متعلق به 210644 ارتباط برقرار می‌کند. هانترس این زیرساخت را به شرکت روسی Aeza Group نسبت داده است.
این شرکت و افراد وابسته به آن، به‌دلیل ارائه سرویس میزبانی مقاوم در برابر اقدامات قانونی به گروه‌های باج‌افزاری، از سوی ایالات متحده و بریتانیا تحریم شده‌اند.
