Для атак на российские компании стали использовать фейковую CAPTCHA
В мае 2025 года специалисты BI.ZONE Threat Intelligence зафиксировали не менее двух кампаний, в ходе которых злоумышленники использовали технику ClickFix против российских организаций. Маскируясь под силовые ведомства, злоумышленники направляли жертве документ в формате PDF.
Текст внутри был заблюрен так, чтобы прочитать его было невозможно. Чтобы получить доступ к файлу, пользователю предлагали подтвердить, что он не робот. На самом деле нажатие на кнопку перенаправляло жертву на сайт злоумышленников, где пользователь снова видел окно с фейковой CAPTCHA. Кликнув «Я не робот», пользователь незаметно для себя копировал в буфер обмена PowerShell-сценарий.
Далее жертву просили выполнить на своем устройстве ряд команд — якобы для того, чтобы подтвердить право на доступ к документу и корректно открыть его. На самом деле эти команды запускали вредоносный код, скопированный при нажатии CAPTCHA: сочетание клавиш Win + R открывало окно Run для быстрого запуска программ, Ctrl + V вставляло в это окно скрипт из буфера обмена, а нажатие Enter запускало его.
Олег Скулкин, руководитель BI.ZONE Threat Intelligence:
Техника ClickFix получила такое название, потому что злоумышленники предлагают пользователю выполнить ряд простых действий, чтобы исправить какую-либо техническую проблему. По сути, жертву убеждают выполнить вредоносную команду самостоятельно.
Технику ClickFix атакующие используют с весны 2024 года, однако против компаний из России и других стран СНГ она применяется впервые. Злоумышленники продолжают экспериментировать с методами социальной инженерии, используя новые, пока еще незнакомые пользователям сценарии, которые сложнее распознать.
