Во вторник Google объявила о внедрении улучшенных мер защиты в своем браузере Chrome для защиты пользователей от атак ClickFix при включенной функции «Расширенная защита». ClickFix — популярная техника социальной инженерии, при которой злоумышленники обманом заставляют пользователей копировать и вставлять вредоносный код непосредственно в операционную систему своего компьютера, тем самым обходя стандартные средства защиты. В рамках этих атак ничего не подозревающие пользователи, попадающие на легитимные, но скомпрометированные сайты или вредоносные объявления, перенаправляются на фишинговые страницы, отображающие поддельные сообщения о проверке Cloudflare или Google reCAPTCHA или другие несуществующие ошибки, и инструктируют пользователей скопировать и вставить команду в диалоговое окно «Выполнить» Windows (или в приложение Terminal на Mac) для ее устранения. Как только пользователь нажимает Enter после вставки команды, запускается многоступенчатая цепочка заражения, ведущая к развертыванию вредоносного ПО, такого как похитители информации или трояны удаленного доступа. В попытке замаскироваться под обычную активность и избежать обнаружения команды часто используют встроенные в систему инструменты (living-off-the-land, LotL), такие как PowerShell или cmd.exe, для загрузки полезной нагрузки следующего этапа. Ключевая причина, по которой ClickFix остается эффективным методом первоначального доступа, заключается в том, что он переворачивает традиционный фишинг. Вместо того чтобы использовать сложные уязвимости или заставлять пользователя переходить по подозрительным ссылкам, он обманом заставляет его самому открыть дверь под предлогом устранения распространенной проблемы. «Перенося процесс загрузки из браузера в терминал, злоумышленники полностью обходят существующие средства защиты загрузки Chrome и Safe Browsing», — заявили в Google. «Для борьбы с этой техникой Chrome теперь обнаруживает, когда пользователь с включенной функцией «Расширенная защита» обманом заставляют скопировать подозрительные команды». Если пользователь копирует потенциальный скрипт ClickFix, содержимое буфера обмена очищается от любой личной информации, которую оно может содержать, и отправляется в Safe Browsing для дальнейшего анализа. Если система безопасности определяет, что команда опасна, Chrome отображает предупреждение. Таким образом, цель состоит в том, чтобы предотвратить атаку до того, как пользователь выполнит вредоносную команду. Отдельно Google также внедряет следующие меры защиты в Chrome для борьбы с мошенничеством для пользователей, которые включают «Расширенную защиту»: «Эта модель оценивает контент страницы для анализа ключевых показателей, таких как представленный бренд, намерение страницы и оценка вероятности мошенничества, предоставляя нам богатые данные об угрозах, необходимые для выявления обманчивых сайтов», — заявили в Google. «На протяжении всего этого процесса Chrome минимизирует объем данных, передаваемых на сервер, анализируя текст страницы только тогда, когда сайт демонстрирует индикаторы мошенничества с высокой степенью уверенности. И всякий раз, когда контент страницы отправляется с устройства, он обрабатывается эфемерно — это означает, что он никогда не регистрируется, не сохраняется и не используется для обучения моделей». Во вторник Google заявила, что внедряет «Верификацию финансовых услуг» в США и Канаде для проверки учетных данных рекламодателя и обеспечения того, чтобы реклама поступала от авторизованных финансовых поставщиков. Программа верификации уже применяется на различных рынках по всему миру, включая Австралию, Бразилию, Индию, Индонезию, Малайзию, Новую Зеландию, Турцию и несколько стран Европы. «В соответствии с этой политикой рекламодатели должны продемонстрировать, что они авторизованы соответствующими регулирующими органами или признанными реестрами, прежде чем запускать определенную финансовую рекламу — помогая предотвратить выдачу себя за бренд и останавливая злоумышленников от доступа к людям», — заявили в Google. «Наряду с нашей постоянной работой с финансовыми регуляторами, мы сотрудничаем в США с Американской банковской ассоциацией для использования их специализированного реестра для проверки авторизованных банков перед запуском рекламы. В Канаде мы тесно сотрудничаем с Канадской банковской ассоциацией, готовясь к запуску». Это развитие событий происходит на фоне того, как Apple представила новые меры защиты конфиденциальности, встроенные в Safari и WebKit, в рамках выпусков iOS, iPadOS, macOS и visionOS 27, предприняв шаги для блокировки практики, называемой разрешением личности (identity resolution), которая превращает адреса электронной почты в постоянные идентификаторы отслеживания. «В этой схеме третьи стороны (т. е. не владелец веб-сайта) невидимо собирают ваш адрес электронной почты, когда вы входите в систему или подписываетесь на рассылку», — заявила команда WebKit от Apple. «Они отправляют адрес электронной почты на свои серверы, создают непрозрачный идентификатор отслеживания, постоянно связанный с вашим адресом электронной почты, и отправляют этот идентификатор отслеживания обратно на веб-страницу». «Идентификатор отслеживания хранится на веб-сайте и с тех пор может использоваться для произвольных целей, связанных с вашим адресом электронной почты, таких как построение профиля вашего просмотра или таргетинг рекламы на вас на разных веб-сайтах. Выход из системы или отписка от этой рассылки не удаляет идентификатор отслеживания или ваш адрес электронной почты, хранящийся у третьей стороны». Apple заявила, что третьи стороны могут собирать больше данных о пользователях, когда они входят в систему, используя свой адрес электронной почты, или заполняют формы, содержащие личные данные, что позволяет им создавать граф личности с их именем, почтовым адресом, номером телефона и IP-адресом. Чтобы предотвратить подобное межсайтовое отслеживание, Safari блокирует сетевой доступ к инфраструктуре разрешения личности, встроенной в веб-страницы, эффективно предотвращая отправку адреса электронной почты третьей стороной на свои серверы. Блокировка, по словам Apple, осуществляется на уровне домена. «Недостаточно блокировать межсайтовые файлы cookie для предотвращения межсайтового отслеживания сегодня, поскольку индустрия отслеживания не прекращает попыток отслеживать пользователей в Интернете», — заявили в Apple. «Они перешли в так называемую эпоху после cookie, и в наших последних выпусках мы внедрили надежную защиту».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
