ClickFix മോഷണം ബ്രൗസറിലേക്ക് മാറുന്നു

ClickFix എന്ന് വിളിക്കപ്പെടുന്ന പുതിയൊരു ക്രിപ്റ്റോ-സ്കിമ്മിംഗ് (crypto-skimming) ഓപ്പറേഷൻ Cisco Talos കണ്ടെത്തിയിരിക്കുന്നു. ഇത് ഇരയുടെ ബ്രൗസറിൽ നിന്ന് നേരിട്ട് ക്രിപ്റ്റോകറൻസി നിക്ഷേപങ്ങൾ തട്ടിയെടുക്കുന്നു. കമാൻഡ്-ആൻഡ്-കൺട്രോളിനായി (command-and-control) Google-ന്റെ Visualization API-യും, നിക്ഷേപ വിലാസങ്ങൾ മാറ്റം വരുത്തുന്നതിനായി ഒരു Tampermonkey userscript-ഉം ആണ് ഈ ക്യാമ്പയിൻ ഉപയോഗിക്കുന്നത്. വെബ് അധിഷ്ഠിത പ്ലാറ്റ്‌ഫോമുകളിൽ വ്യാപാരം നടത്തുന്നവർ ഇപ്പോൾ തങ്ങളുടെ ഫണ്ടുകൾ നഷ്ടപ്പെടാനുള്ള ഭീഷണി നേരിടുന്നു.

ClickFix എങ്ങനെ പ്രവർത്തിക്കുന്നു

  1. പ്രലോഭനം (The lure) – ചോർന്നുവന്ന എക്സ്പ്ലോയിറ്റുകളോ (exploits) സോഫ്റ്റ്‌വെയറുകളോ തിരയുന്ന ഒരു ഇര, ആ എക്സ്പ്ലോയിറ്റിന് ഒരു "പരിഹാരം" (fix) വാഗ്ദാനം ചെയ്യുന്ന ഒരു സോഷ്യൽ എഞ്ചിനീയറിംഗ് പ്രോംപ്റ്റ് കാണുന്നു.
  2. മാനുവൽ ഇൻജക്ഷൻ (Manual injection) – ഒരു JavaScript സ്നിപ്പറ്റ് ബ്രൗസർ കൺസോളിലേക്ക് കോപ്പി ചെയ്യാൻ പ്രോംപ്റ്റ് ഉപയോക്താവിനോട് ആവശ്യപ്പെടുന്നു.
  3. Tampermonkey ഇൻസ്റ്റാൾ ചെയ്യുന്നു – കോപ്പി ചെയ്ത കോഡ് ഒരു Tampermonkey സ്ക്രിപ്റ്റായി സേവ് ചെയ്യപ്പെടുന്നു. തിരഞ്ഞെടുത്ത സൈറ്റുകളിൽ കസ്റ്റം JavaScript പ്രവർത്തിപ്പിക്കുന്ന ഒരു പ്രശസ്തമായ userscript മാനേജറാണ് Tampermonkey.
  4. സ്ഥിരത (Persistence) – Tampermonkey ഈ സ്ക്രിപ്റ്റ് ലോക്കലായി സൂക്ഷിക്കുന്നു, അതിനാൽ ബ്രൗസർ അടച്ചാലും ഇത് സജീവമായി തുടരുന്നു.

നെറ്റ്‌വർക്ക് റിക്വസ്റ്റുകൾ കൈകാര്യം ചെയ്യുന്ന ബ്രൗസറിലെ fetch API-യെ ഈ സ്ക്രിപ്റ്റ് നിശബ്ദമായി ഹാക്ക് ചെയ്യുന്നു. ഉപയോക്താവ് ഒരു ക്രിപ്റ്റോ നിക്ഷേപം ആരംഭിക്കുമ്പോൾ (പലപ്പോഴും ഒരു ട്രേഡിംഗ് അഗ്രഗേറ്റർ വഴി), സ്ക്രിപ്റ്റ് ആ റിക്വസ്റ്റ് നിരീക്ഷിക്കുകയും, യഥാർത്ഥ ലക്ഷ്യസ്ഥാനത്തെ വിലാസത്തിന് പകരം ആക്രമണകാരി നിയന്ത്രിക്കുന്ന വിലാസം നൽകുകയും ചെയ്യുന്നു. ഇരയ്ക്ക് സംശയം തോന്നാതിരിക്കാൻ "ബോണസ്" ഓഫറുകൾ പോലുള്ള വ്യാജ UI എലമെന്റുകളും ഇത് ഉൾപ്പെടുത്തുന്നു.

ഈ ആക്രമണം പ്രധാനമാകുന്നത് എന്തുകൊണ്ട്

  • നേരിട്ടുള്ള സാമ്പത്തിക നഷ്ടം – ഇടപാട് ഉദ്ദേശിച്ച സേവനത്തിലേക്ക് പോയതായി തോന്നുമെങ്കിലും, ഇരകളുടെ ക്രിപ്റ്റോ തുക അപ്രത്യക്ഷമാകുന്നത് അവർക്ക് നേരിട്ട് കാണേണ്ടി വരുന്നു.
  • നിയമപരമായ ക്ലൗഡ് സേവനങ്ങളുടെ ദുരുപയോഗം – C2 ട്രാഫിക് Google-ന്റെ Visualization API വഴി റൂട്ട് ചെയ്യുന്നതിലൂടെ, ഈ ക്യാമ്പയിൻ മാലീഷ്യസ് ട്രാഫിക്കിനെ സാധാരണ ഗൂഗിൾ ട്രാഫിക്കുമായി കൂട്ടിക്കലർത്തുന്നു, ഇത് പല നെറ്റ്‌വർക്ക് ഡിറ്റക്ഷനുകളെയും മറികടക്കാൻ സഹായിക്കുന്നു.
  • അഗ്രഗേറ്റർമാരെ ലക്ഷ്യം വെക്കുന്നു – മിക്ക ഇരകളും മൾട്ടി-എക്സ്ചേഞ്ച് പ്ലാറ്റ്‌ഫോമുകളാണ് ഉപയോഗിക്കുന്നത്, അതിനാൽ ഒരു ബ്രൗസർ മാത്രം ഹാക്ക് ചെയ്യപ്പെട്ടാൽ പോലും ഒന്നിലധികം എക്സ്ചേഞ്ചുകളിൽ നിന്നുള്ള ഫണ്ടുകൾ ചോർത്താൻ സാധിക്കും.

മിക്ക റിപ്പോർട്ടുകളും ശ്രദ്ധിക്കാതെ പോകുന്ന മറഞ്ഞിരിക്കുന്ന വിവരങ്ങൾ

  • സ്വയമേവയുള്ള ഇൻഫെക്ഷൻ ഇല്ല – കൺസോളിലേക്ക് കോഡ് പേസ്റ്റ് ചെയ്യാനുള്ള ഇരയുടെ സന്നദ്ധതയെയാണ് ഈ ക്യാമ്പയിൻ ആശ്രയിക്കുന്നത്. ഇത് പടരുന്നത് പരിമിതപ്പെടുത്തുമെങ്കിലും, സാങ്കേതിക കാര്യങ്ങളിൽ അറിവുള്ള ഉപയോക്താക്കൾക്കിടയിലെ വിശ്വാസക്കുറവിനെ ഇത് ചൂഷണം ചെയ്യുന്നു.
  • Tampermonkey-യുടെ കരുത്ത് – Tampermonkey സന്ദർശിക്കുന്ന ഏത് സൈറ്റിലും സ്ക്രിപ്റ്റുകൾ പ്രവർത്തിപ്പിക്കാൻ കഴിയുന്നതിനാൽ, ഒരു മാലീഷ്യസ് സ്ക്രിപ്റ്റിന് തന്നെ പ്രത്യേക പേലോഡുകൾ ഇല്ലാതെ തന്നെ വിപുലമായ ഡൊമെയ്‌നുകളെ ബാധിക്കാൻ കഴിയും.
  • റൂട്ട് ഇല്ലാതെയും നിലനിൽക്കുന്നു – സിസ്റ്റം-ലെവൽ പ്രിവിലേജുകൾ ആവശ്യമില്ലാതെ തന്നെ ബ്രൗസർ റീസ്റ്റാർട്ട് ചെയ്താലും സ്ക്രിപ്റ്റ് നിലനിൽക്കും; userscript ഡിലീറ്റ് ചെയ്യുന്നതിലൂടെ ഇത് എളുപ്പത്തിൽ നീക്കം ചെയ്യാം.

ഇനി ശ്രദ്ധിക്കേണ്ട കാര്യങ്ങൾ

  • നെറ്റ്‌വർക്ക് മോണിറ്ററിംഗ് – അത്തരം റിക്വസ്റ്റുകൾ അയക്കേണ്ടതില്ലാത്ത ബ്രൗസറുകളിൽ നിന്ന് *.googleusercontent.com അല്ലെങ്കിൽ മറ്റ് Google Visualization എൻഡ്‌പോയിന്റുകളിലേക്കുള്ള ഔട്ട്‌ബൗണ്ട് കോളുകൾ ശ്രദ്ധിക്കുക.
  • എക്സ്റ്റൻഷൻ ശുചിത്വം (Extension hygiene) – ഇൻസ്റ്റാൾ ചെയ്തിട്ടുള്ള userscript മാനേജറുകൾ പരിശോധിക്കുകയും അംഗീകൃത സ്ക്രിപ്റ്റുകൾ മാത്രം പ്രവർത്തിപ്പിക്കാൻ കർശനമായ നയം നടപ്പിലാക്കുകയും ചെയ്യുക.
  • ഉപയോക്തൃ വിദ്യാഭ്യാസം – അജ്ഞാത സ്രോതസ്സുകളിൽ നിന്ന് കോഡ് കോപ്പി ചെയ്ത് കൺസോളിൽ പേസ്റ്റ് ചെയ്യുന്നത് ഒരു ഡൗൺലോഡ് ചെയ്ത എക്സിക്യൂട്ടബിൾ (executable) റൺ ചെയ്യുന്നതുപോലെ അപകടകരമാണെന്ന് ഉപയോക്താക്കളെ ബോധവാന്മാരാക്കുക.

ചുരുക്കത്തിൽ: ബ്രൗസർ കൺസോളിൽ കോഡ് പേസ്റ്റ് ചെയ്യാൻ ആവശ്യപ്പെടുന്ന ഏതൊരു കാര്യത്തെയും ഒരു ഡൗൺലോഡ് ചെയ്ത പ്രോഗ്രാമിനെപ്പോലെ സംശയത്തോടെ കാണുക. എക്സ്റ്റൻഷൻ നിയന്ത്രണങ്ങൾ കർശനമാക്കുന്നതും Google-ൽ ഹോസ്റ്റ് ചെയ്തിട്ടുള്ള ട്രാഫിക് നിരീക്ഷിക്കുന്നതും ClickFix-ന്റെ ബ്രൗസർ അധിഷ്ഠിത മോഷണം തടയാനുള്ള എളുപ്പവഴികളാണ്.