Chrome начнёт предупреждать о командах-ловушках ClickFix

Google сообщила о новых механизмах защиты в Chrome, нацеленных на атаки ClickFix. Нововведения работают для пользователей, у которых включён режим «Улучшенной защиты» (Enhanced Protection).

Как устроен ClickFix

ClickFix — популярный приём социальной инженерии. Жертву обманом заставляют скопировать вредоносный код и вставить его прямо в операционную систему, минуя обычные средства защиты браузера. Обычно пользователь попадает на взломанный сайт или кликает по вредоносной рекламе, его перенаправляют на фишинговую страницу, где имитируется проверка Cloudflare или reCAPTCHA либо сообщается о несуществующей ошибке. «Решением» объявляют команду, которую предлагается вставить в диалог «Выполнить» Windows или в Terminal на Mac.

Стоит нажать Enter — и запускается многоступенчатая цепочка заражения, в финале которой разворачивается вредонос: похититель данных или троян удалённого доступа. Чтобы слиться с обычной активностью, команды часто используют штатные инструменты системы (PowerShell, cmd.exe) для загрузки следующих этапов.

Сила метода в том, что он выворачивает наизнанку привычный фишинг: вместо эксплуатации уязвимостей или сомнительных ссылок пользователя под предлогом «починки» вынуждают самого открыть дверь. Как отмечает Google, перенос загрузки из браузера в терминал полностью обходит защиту Chrome и Safe Browsing.

Что добавляет Chrome

Теперь браузер распознаёт, когда пользователь с «Улучшенной защитой» копирует подозрительную команду. Содержимое буфера обмена очищается от возможных персональных данных и отправляется в Safe Browsing на анализ. Если команда признана опасной, Chrome показывает предупреждение — до того, как код будет выполнен.

Параллельно Google вводит классификацию предупреждений Safe Browsing: «подозрительные» сайты с признаками обмана и «опасные», заведомо вредоносные. Для выявления поддельной техподдержки, фальшивых антивирусов и уведомлений об обновлениях задействуется языковая модель на устройстве, оценивающая бренд, намерение страницы и вероятность мошенничества. Текст страницы отправляется на сервер лишь при высокой уверенности и обрабатывается эфемерно — не сохраняется, не журналируется и не используется для обучения.

Отдельно в США и Канаде запускается верификация финансовых рекламодателей: прежде чем размещать часть финансовой рекламы, компания должна подтвердить разрешение регулятора. В США Google работает с Американской банковской ассоциацией, в Канаде — с Канадской. Программа уже действует в Австралии, Бразилии, Индии, Индонезии, Малайзии, Новой Зеландии, Турции и ряде стран Европы.

На фоне этого Apple анонсировала в Safari и WebKit (iOS, iPadOS, macOS и visionOS 27) блокировку «разрешения идентичности» — практики, превращающей адрес электронной почты в стойкий трекинговый идентификатор. Safari на уровне доменов блокирует доступ к инфраструктуре, которой сторонние сервисы передают собранные почтовые адреса.

Источник: The Hacker News