#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ClickFix использует ссылки на общие ресурсы ChatGPT, выглядящие легитимно, чтобы заманить пользователей Windows вставить команду PowerShell, скопированную с поддельной страницы верификации. Скрытая цепочка PowerShell обходит политики выполнения, проверяет наличие сред анализа, извлекает полезную нагрузку из видефайла и развертывает NetSupport для вредоносного удаленного доступа, одновременно очищая историю выполнения.
-----

Злоумышленники проводят кампанию ClickFix, нацеленную на пользователей Windows, используя легитимные URL-ссылки на общие ресурсы ChatGPT. Сам домен ChatGPT не скомпрометирован; злоумышленники используют ссылки, выглядящие подлинными, в рекламе, результатах поиска, сообщениях или электронных письмах, чтобы направить жертв на обманчивую страницу. На этой странице используется контент в стиле OpenAI и запрос на проверку в стиле Cloudflare, чтобы убедить пользователей в необходимости выполнения шага верификации личности.

Кнопка на странице копирует команду PowerShell в буфер обмена и инструктирует жертву открыть диалоговое окно «Выполнить» в Windows с помощью сочетания клавиш Win+R, вставить команду и выполнить её. Это ручное выполнение обходит стандартные предупреждения безопасности, связанные с браузером, и запускает цепочку загрузки PowerShell вне браузера.

Команда извлекает и выполняет удалённый скрипт. Скрипт скрывает окно консоли, проверяет имена компьютеров, связанные с аналитическими или песочными средами, и запускает дополнительные стадии PowerShell с обходом политики выполнения. Валидный видеofile, используемый в кампании, содержит зашифрованный и сжатый пакет PowerShell, хранящийся в пользовательской области данных. Исследователи восстановили 20 встроенных файлов, включая подписанный клиент удалённого управления NetSupport и его вспомогательные компоненты.

Хотя NetSupport является легитимным программным обеспечением для удаленного администрирования, его использование в данной цепочке доставки носит злонамеренный характер. Сочетание выполнения команд через буфер обмена, скрытой активности PowerShell, проверки окружения, встраиваемой полезной нагрузки и поведения по очистке обеспечивает несанкционированный удаленный доступ, мониторинг и обход защиты. Загрузчик также очищает историю запуска Windows, чтобы уменьшить следы выполнения.

Кампания демонстрирует, что ссылки на легитимные сервисы и привычные элементы верификационного брендинга могут использоваться для побуждения пользователей к ручному выполнению команд. Любой веб-сайт, требующий от пользователей открытия Run, PowerShell, Command Prompt или Terminal для завершения процесса верификации, должен рассматриваться как вредоносный.