انجمن‌های گفت‌وگوی پلتفرم استیم (Steam) به هدف یک کمپین جدید بدافزاری تبدیل شده‌اند؛ مهاجمان سایبری با سوءاستفاده از مشکلات فنی مطرح‌شده توسط کاربران، خود را به‌عنوان افرادی معرفی می‌کنند که راهکارهای رفع مشکل بازی‌ها و سیستم را ارائه می‌دهند. آن‌ها با انتشار دستورالعمل‌های جعلی، کاربران را به اجرای دستورات مخرب پاورشل (PowerShell) ترغیب می‌کنند؛ روشی که در قالب حمله کلیک‌فیکس (ClickFix Attack) انجام می‌شود. این حمله کلیک‌فیکس با فریب کاربران و نمایش راهکارهای ظاهراً معتبر، در نهایت زمینه نصب ماینر رمزارز XMRig را فراهم کرده و منابع پردازشی سیستم قربانی را برای استخراج غیرمجاز رمزارز در اختیار مهاجمان قرار می‌دهد.
شگرد مهاجمان در اجرای حمله کلیک‌فیکس با مهندسی اجتماعی
بررسی‌ها نشان می‌دهد عوامل تهدید با ایجاد حساب‌های کاربری جعلی در استیم، به پست‌های کاربرانی که درباره کرش بازی‌ها، از دست رفتن آیتم‌های داخل بازی یا سایر مشکلات فنی درخواست کمک کرده‌اند، پاسخ می‌دهند. این پاسخ‌ها در نگاه اول کاملاً معتبر و کاربردی به نظر می‌رسند، اما در واقع با هدف فریب کاربران و وادار کردن آن‌ها به اجرای دستورات مخرب منتشر می‌شوند.
در ادامه، مهاجمان از کاربران می‌خواهند پاورشل را با سطح دسترسی مدیریتی (Administrator) اجرا کرده و دستور مشخصی را برای رفع مشکل وارد کنند. این دستور در ظاهر راهکاری برای برطرف کردن مشکل است، اما در عمل فایل اجرایی ماینر XMRig را به‌صورت مخفیانه دانلود و روی سیستم قربانی اجرا می‌کند.
حمله کلیک‌فیکس یکی از شگردهای مهندسی اجتماعی (Social Engineering) است که در آن، مهاجمان با نمایش پیام‌های خطای جعلی، درخواست‌های ساختگی برای تأیید هویت یا ارائه دستورالعمل‌های جعلی رفع مشکل، کاربران را به اجرای دستورات مخرب ترغیب می‌کنند.
اگرچه موفقیت این حملات به تعامل مستقیم قربانی وابسته است، اما از آنجا که راهکار ارائه‌شده کاملاً معتبر و متناسب با مشکل کاربر به نظر می‌رسد، بسیاری از کاربران بدون تردید آن را اجرا می‌کنند. علاوه بر این، چون اجرای دستور مخرب با اقدام خود کاربر انجام می‌شود، این روش می‌تواند برخی از سازوکارهای امنیتی را که معمولاً مانع اجرای خودکار کدهای مخرب می‌شوند، دور بزند.
اسکریپت جعلی پاورشل در پوشش ابزار بهینه‌سازی ویندوز
در این کمپین، مهاجمان از یک اسکریپت پاورشل استفاده می‌کنند که خود را به‌عنوان ابزار بهینه‌سازی ویندوز با نام msf utility \ PC Opt معرفی می‌کند. این ابزار در ظاهر برای افزایش کارایی سیستم و رفع مشکلات ویندوز طراحی شده است، اما در واقع پوششی برای حمله کلیک‌فیکس است و از آن برای آلوده کردن سیستم قربانی به بدافزار استفاده می‌شود.
پس از اجرای اسکریپت، یک رابط کاربری جعلی نمایش داده می‌شود که آن را شبیه یک ابزار معتبر برای بررسی وضعیت سیستم و بهبود عملکرد ویندوز نشان می‌دهد. این ابزار با نمایش مجموعه‌ای از قابلیت‌ها، ادعا می‌کند اقداماتی مانند پاک‌سازی فایل‌های موقت، پاک‌سازی حافظه کش سامانه نام دامنه (DNS Cache)، به‌روزرسانی درایورها، بررسی دیسک، غیرفعال کردن برنامه‌های غیرضروری هنگام راه‌اندازی ویندوز، اسکن بدافزار، تعمیر ایمیج ویندوز (Windows Image Repair) و اجرای ابزار بررسی فایل‌های سیستمی را انجام می‌دهد.
با این حال، بررسی‌ها نشان می‌دهد بیشتر این قابلیت‌ها صرفاً ظاهری هستند و هیچ‌یک از عملیات ادعاشده را انجام نمی‌دهند. اسکریپت تنها با نمایش پیام‌های پیشرفت جعلی و ایجاد وقفه‌های تصادفی بین 1.5 تا 8 ثانیه تلاش می‌کند کاربر را متقاعد کند که یک ابزار معتبر و در حال انجام فرآیندهای واقعی بهینه‌سازی سیستم است.
نحوه عملکرد حمله کلیک‌فیکس برای نصب ماینر XMRig
منطق اصلی فعالیت مخرب در تابعی با نام Advanced-Optimization پیاده‌سازی شده است. این تابع ابتدا اعتبارسنجی گواهی TLS را غیرفعال می‌کند و سپس بررسی می‌کند که اسکریپت با سطح دسترسی مدیریتی اجرا شده باشد. اگر این سطح دسترسی وجود نداشته باشد، اسکریپت با نمایش پیامی درباره نیاز به دسترسی ادمین، اجرای خود را متوقف می‌کند.
پس از اجرا با سطح دسترسی بالا، اسکریپت دایرکتوری C:\Windows\Background را ایجاد کرده و آن را به فهرست استثناهای اسکن مایکروسافت دیفندر (Microsoft Defender) اضافه می‌کند. در نتیجه، فایل‌های ذخیره‌شده در این مسیر دیگر توسط قابلیت‌های اسکن مایکروسافت دیفندر بررسی نمی‌شوند.
در مرحله بعد، اسکریپت تسک زمان‌بندی‌شده (Scheduled Task) با نام XMRig-[computer name] را شناسایی کرده و آن را متوقف می‌کند. سپس پردازه‌هایی با نام‌های xmrig و system را که از مسیر نصب بدافزار اجرا شده‌اند، متوقف می‌کند. این اسکریپت همچنین فایل پیکربندی ماینر XMRig را در مسیر C:\Windows\Background\config.json بررسی کرده و در صورت وجود، آن را حذف می‌کند.
هنوز مشخص نیست هدف از این بخش از اسکریپت، حذف آثار باقی‌مانده از اجرای قبلی همین بدافزار است یا پاک‌سازی ماینر دیگری که ممکن است پیش‌تر روی سیستم قربانی نصب شده باشد.
دانلود پیلود XMRig و ایجاد پایداری در سیستم
پس از آماده‌سازی محیط، بدافزار یک قانون موقت در فایروال ویندوز (Windows Firewall) ایجاد می‌کند تا ارتباط خروجی سیستم با دامنه msfconfig[.]icu از طریق پروتکل TCP روی پورت 443 امکان‌پذیر شود. سپس پیلود ماینر XMRig را از این دامنه دریافت کرده و آن را با یک نام تصادفی در مسیر فایل‌های موقت سیستم ذخیره می‌کند.
اسکریپت پیش از نصب، بررسی می‌کند که فایل دانلودشده خالی نباشد و یک فایل اجرایی معتبر باشد. در صورت تأیید، فایل به مسیر C:\Windows\Background\system.exe منتقل می‌شود.
برای حفظ فعالیت بدافزار پس از هر بار راه‌اندازی ویندوز، اسکریپت یک تسک زمان‌بندی‌شده جدید با نام XMRig-[computer name] ایجاد می‌کند. این اقدام بخشی از مکانیزم پایداری (Persistence) بدافزار محسوب می‌شود؛ زیرا تسک ایجادشده، فایل system.exe را با سطح دسترسی SYSTEM اجرا می‌کند و باعث می‌شود ماینر پس از هر بار راه‌اندازی مجدد سیستم به‌صورت خودکار فعال شود. به این ترتیب، بدافزار می‌تواند در محیط ویندوز باقی بماند و فعالیت خود را ادامه دهد.
شاخص‌های نفوذ (IoC) و اقدامات پاک‌سازی
کاربران نباید هیچ‌گاه دستورات پاورشل دریافت‌شده از افراد ناشناس در انجمن‌های گفتگو را اجرا کنند؛ حتی اگر این دستورات در ظاهر به‌عنوان راهکاری برای رفع مشکل فعلی آن‌ها معرفی شده باشند.
کاربرانی که چنین دستوری را اجرا کرده‌اند، باید سیستم خود را از نظر وجود شاخص‌های نفوذ (IoC) زیر بررسی کنند:
- وجود دایرکتوری C:\Windows\Background
- اضافه شدن مسیر C:\Windows\Background به فهرست استثناهای اسکن مایکروسافت دیفندر
- وجود تسک زمان‌بندی‌شده با پیشوند XMRig-
در صورت مشاهده هر یک از این نشانه‌ها، توصیه می‌شود سیستم بلافاصله با استفاده از یک نرم‌افزار امنیتی معتبر اسکن شده و هرگونه بدافزار شناسایی‌شده حذف شود.
اگر ابزارهای امنیتی نتوانند ماینر را شناسایی کنند، کاربر باید به‌صورت دستی تسک زمان‌بندی‌شده XMRig-[computer name] را متوقف و حذف کند، مسیر C:\Windows\Background را از فهرست استثناهای اسکن مایکروسافت دیفندر خارج کرده و در نهایت پوشه C:\Windows\Background را به همراه تمام فایل‌های موجود در آن حذف کند.
در چنین شرایطی، حمله کلیک‌فیکس می‌تواند پیامدهایی فراتر از اجرای یک دستور مخرب ساده داشته باشد؛ زیرا مشخص نیست پیلود دانلودشده در زمان فعالیت خود چه اقدامات مخرب دیگری روی سیستم قربانی انجام داده است. به همین دلیل، در شرایط مشکوک، نصب مجدد سیستم‌عامل می‌تواند گزینه‌ای امن‌تر برای اطمینان از حذف کامل تهدید باشد.
