Rusya hükümetinin en iyi hacking gruplarından biri olan Sandworm, Clickfix adlı bir saldırı tekniğini kullanarak Ukrayna'daki hassas organizasyonlara ait cihazları enfekte ediyor. Clickfix, finansal olarak motive edilmiş suçlular tarafından kullanılan bir saldırı tekniği olup, son bir yıl içinde ortaya çıkmıştır.
Clickfix saldırısı, saldırganların kontrolündeki web sitelerinde bir CAPTCHA görüntüleme yoluyla gerçekleşir. Ziyaretçi, terminalde bir dizi karakteri kopyalayarak yapıştırması gereken bir metin görür. Bu metin, cihazda kötü amaçlı eylemler gerçekleştiren scriptleri içerir. Ukrayna'nın CERT merkezi, Sandworm'un bu tekniği kullandığını açıkladı.
Clickfix saldırıları, ilkbahar döneminde başladı ve yaz boyunca devam etti. Bu kampanya, en az bir organizasyonun ağının tehlikeye atılmasına neden oldu. Ukrayna makamları, 10 adet CAPTCHA içeren web sitesini keşfetti. Bu sitelerde, cihazın gerçek bir insan tarafından ziyaret edildiğini doğrulamak için bir PowerShell komutu görüntülendi.
Kullanıcı, bu komutu girdikten sonra, cihazda kötü amaçlı Visual Basic scriptleri ve diğer kötü amaçlı yazılımlar yüklenirdi. Genellikle, ilk olarak çalışan malware, cihazdan bilgi toplayan bir keşif programı olurdu. Önemli görülen makineler, daha sonra sistemde arka kapı oluşturan malware alırdı.
Ukrayna'nın CERT merkezi, bir uyarıda, bu tür bir programın bir örneğinin GHETTOVIBE olarak adlandırıldığını ve cihazın önemini belirlemek için SCOUTCURL adlı bir yazılım aracının yüklenabileceğini açıkladı. Bu araç, temel özellikler, programlar, dosyalar, internet tarayıcı verileri gibi bilgileri toplar ve dışarı aktarır.
