Угроза ClickFix: как злоумышленники крадут криптовалюту через Google

Исследователи Cisco Talos обнаружили новую схему кражи криптовалюты, использующую легитимные сервисы Google в качестве командных серверов. Злоумышленники эксплуатируют Google Visualization API для скрытной доставки вредоносного JavaScript-кода прямо в браузер пользователя.

Киберпреступная кампания, известная как ClickFix, перешла на новый уровень скрытности, начав использовать инфраструктуру Google для управления вредоносной активностью. Согласно отчету Cisco Talos, атакующие теперь применяют таблицы Google Sheets в качестве хранилищ для обфусцированных скриптов, которые затем внедряются в сессии браузеров жертв. Этот метод позволяет злоумышленникам обходить традиционные системы мониторинга трафика, так как запросы к данным выглядят как легитимное взаимодействие с сервисами Google.

Механика использования Google Visualization API

Техническая реализация атаки опирается на возможности Google Visualization API, который предназначен для визуализации данных из таблиц. Злоумышленники размещают вредоносный код в публично доступных документах Google Sheets. Когда жертва заходит на скомпрометированный ресурс, браузер отправляет запрос к API, чтобы получить данные из таблицы. В ответ система передает замаскированный JavaScript, который исполняется в контексте страницы. Поскольку трафик идет через доверенные домены Google, корпоративные системы безопасности и антивирусные решения зачастую классифицируют такие соединения как безопасные, что значительно снижает вероятность их блокировки.

Предыстория и эволюция тактики ClickFix

Ранее кампания ClickFix получила известность благодаря методам социальной инженерии, вынуждающим пользователей самостоятельно копировать и вставлять вредоносные скрипты в консоль браузера под видом устранения технических ошибок отображения сайта. Переход к использованию облачных сервисов в качестве инфраструктуры управления и контроля (C2) демонстрирует стремление атакующих минимизировать использование собственных доменов, которые быстро попадают в черные списки. Использование облачных платформ для хранения инструкций превращает легитимные инструменты в «живой щит» для вредоносной активности.

Почему домен Google сложно заблокировать?

Блокировка доменов Google в корпоративных сетях практически невозможна, так как это приведет к остановке множества критически важных бизнес-процессов. Злоумышленники эксплуатируют именно этот уровень доверия. Поскольку Google Visualization API является стандартным инструментом веб-разработки, его использование для подгрузки данных не вызывает подозрений у алгоритмов фильтрации контента. В результате атакующие получают надежный канал связи, который практически невозможно отсечь на уровне сетевого периметра без ущерба для работоспособности IT-инфраструктуры.

Технический анализ вредоносного воздействия

Внедряемый скрипт проходит несколько стадий обфускации, что затрудняет его обнаружение средствами статического анализа. После попадания в браузер код анализирует текущую страницу на наличие элементов, связанных с криптовалютными кошельками или торговыми площадками. При обнаружении активности пользователя, связанной с транзакциями, скрипт вмешивается в процесс, подменяя данные или перенаправляя средства на адреса, контролируемые хакерами. Механизм работы ClickFix требует от жертвы выполнения определенных действий, что делает этот тип атаки гибридом технического взлома и социальной инженерии.

Кого затронет и как

В зоне риска находятся пользователи, активно взаимодействующие с DeFi-платформами и криптовалютными сервисами. Особенно уязвимы те, кто пренебрегает правилами кибергигиены при возникновении ошибок на веб-сайтах. Для бизнеса данная угроза означает необходимость пересмотра политик безопасности в отношении исполнения скриптов. Специалистам по информационной безопасности рекомендуется внедрять более строгие политики Content Security Policy, ограничивающие источники, из которых браузер может загружать и выполнять код, даже если эти источники выглядят доверенными.

Что будет дальше

Тенденция использования легитимных облачных API для целей киберпреступности, вероятно, будет усиливаться. Злоумышленники продолжат искать способы эксплуатации популярных инструментов для доставки вредоносного ПО, так как это наиболее эффективный способ обхода защиты. Ожидается, что системы мониторинга будут смещать фокус с анализа доменных имен на поведенческий анализ исполнения кода непосредственно внутри браузера.

Итог

Атаки через Google Visualization API подчеркивают уязвимость современных браузерных сред, где грань между полезным функционалом и вредоносным кодом становится все более размытой. Пользователям следует сохранять бдительность и избегать выполнения любых «инструкций по исправлению» на подозрительных сайтах, а организациям — усилить контроль за исполнением внешних скриптов.