در تازه‌ترین گزارش‌های امنیتی منتشر شده در پاییز ۱۴۰۳، مهاجمان سایبری با بهره‌گیری از یک زنجیره حمله پیچیده، از سرویس‌های تبلیغاتی معتبر و مکانیزم‌های بازگشت مسیر (Redirect) موتورهای جستجو برای توزیع بدافزارهای مخرب تحت پوشش نصب‌کننده Claude AI استفاده می‌کنند. این حمله که با نام ClickFix شناخته می‌شود، با دور زدن سیستم‌های فیلترینگ تبلیغاتی، کاربران را به سمت صفحات فیشینگ هدایت کرده و با مهندسی اجتماعی، آن‌ها را به اجرای کدهای مخرب PowerShell وادار می‌کند.
مکانیسم حمله و سوءاستفاده از زیرساخت‌های تبلیغاتی
مهاجمان در این سناریو، ابتدا تبلیغات هدفمندی را در Google Ads خریداری می‌کنند که ظاهراً سرویس Claude را تبلیغ می‌کنند. تفاوت اصلی در این است که لینکِ هدف در این تبلیغات، مستقیماً به سایت آلوده اشاره نمی‌کند. در عوض، از ریدایرکت‌های معتبر Bing استفاده می‌شود. به دلیل اینکه دامنه‌های مرتبط با مایکروسافت توسط موتورهای جستجو و سیستم‌های امنیتی به عنوان «امن» شناسایی می‌شوند، فیلترهای ضد اسپم گوگل به راحتی اجازه عبور این تبلیغات را می‌دهند. این تکنیک که به اصطلاح ‘Open Redirect’ نامیده می‌شود، به مهاجم اجازه می‌دهد تا اعتبار (Reputation) دامنه Bing را برای هدایت کاربران به سرورهای C2 (فرمان و کنترل) خود مصادره کند.
جزئیات عملیاتی ClickFix و مهندسی اجتماعی
هنگامی که کاربر بر روی تبلیغ کلیک می‌کند، به صفحه‌ای هدایت می‌شود که ظاهر آن دقیقاً مشابه وب‌سایت رسمی شرکت Anthropic است. در این مرحله، حملات ClickFix آغاز می‌شود. این متدولوژی بر پایه فریب کاربر برای تعامل با یک المان وب طراحی شده است. به جای دانلود مستقیم یک فایل .exe، وب‌سایت از کاربر می‌خواهد برای رفع مشکلِ «عدم نمایش صحیح محتوا»، یک «فیکس» را کپی و در ترمینال سیستم خود اجرا کند. این اسکریپت در واقع یک فرمان PowerShell است که برای سرقت کوکی‌های مرورگر، استخراج اطلاعات حساس و نصب ماژول‌های مخرب طراحی شده است.
ویژگی‌های فنی زنجیره حمله
- بردار اولیه: سوءاستفاده از Google Ads برای توزیع لینک‌های فریبنده.
- تکنیک دور زدن: بهره‌گیری از Bing Redirects جهت پنهان‌سازی مقصد نهایی (Obfuscation).
- نوع حمله: ClickFix (ترغیب کاربر به اجرای اسکریپت مخرب در ترمینال سیستم).
- هدف مخرب: سرقت کوکی‌های احراز هویت (Session Hijacking) و استخراج داده‌های حساس کاربری.
- زبان اسکریپت: PowerShell با تکنیک‌های مبهم‌سازی (Obfuscated Command Strings).
تحلیل ابعاد امنیتی و مقابله
استراتژی اصلی این گروه از هکرها، تمرکز بر روی کاربرانی است که به دنبال ابزارهای هوش مصنوعی مولد (Generative AI) هستند. تحلیل‌های عمیق نشان می‌دهد که این اسکریپت‌های PowerShell به‌طور مداوم به‌روزرسانی می‌شوند تا از دید ابزارهای EDR (Endpoint Detection and Response) مخفی بمانند. برای مقابله با این تهدید، سازمان‌ها و کاربران عادی باید از PowerShell Constrained Language Mode استفاده کرده و از اجرای اسکریپت‌های ناشناس که در صفحات وب پیشنهاد می‌شوند، اکیداً خودداری کنند. هوشیاری نسبت به URLهای نمایش داده شده در نوار آدرس، به‌ویژه در زمان استفاده از سرویس‌های تبلیغاتی، یکی از لایه‌های دفاعی حیاتی در برابر این نوع حملات است.
نتیجه‌گیری
حمله ClickFix بار دیگر نشان داد که چگونه اعتماد به زیرساخت‌های کلان فناوری (مانند Google و Bing) می‌تواند به نقطه ضعفی برای امنیت کاربران تبدیل شود. این نوع حملات نشان‌دهنده تغییر پارادایم از دانلود فایل‌های آلوده به سمت اجرای مستقیم کدهای دستوری (Living off the Land) در سیستم‌عامل است. کاربران باید همواره ابزارهای نرم‌افزاری را تنها از مخازن رسمی و وب‌سایت‌های تأیید شده دریافت کنند.
