ClickFix ishte metoda kryesore e aksesit fillestar me 47%

ClickFix, një teknikë që u kërkon vizitorëve të faqeve të internetit të ngjitin një komandë në terminalin e tyre, ishte metoda më e zakonshme e aksesit fillestar, që do të thotë mënyra e parë se si një sulmues hyri në sistemet e viktimës, që ekipi i Microsoft vëzhgoi vitin e kaluar, duke përbërë 47% të sulmeve në njoftimet e tij. Kjo statistikë e vetme përcakton një gjetje më të madhe nga Bitdefender: sulmuesit nuk po përpiqen të jenë më të zgjuar, ata po përpiqen të jenë më të përsëritshëm.

Një faqe interneti i thotë vizitorit të provojë se nuk është robot. Ndërsa personi lexon udhëzimet, faqja në heshtje vendos një komandë në kujtesën e tij. Pastaj e udhëzon atë të hapë një terminal, që është dritarja e komandave me bazë teksti e integruar në çdo sistem operativ, dhe të ngjitë atë komandë. Teknika quhet ClickFix. Për shkak se asgjë nuk vjen si bashkëngjitje, nuk ka skedar për të skanuar. Për shkak se nuk përdoret asnjë dobësi, nuk ka patch për të instaluar. Sulmi varet nga një person që ndjek udhëzimet, jo nga softueri i synuar.

Ajo që ndodh më pas është po aq e zakonshme. Bitdefender analizoi 700,000 incidente sigurie dhe zbuloi se 84% e rasteve me ashpërsi të lartë përfshinin binarë, ose programe të ekzekutueshme, që ishin tashmë në makinë. Këto janë të njëjtat mjete administrative që një ekip IT përdor çdo ditë: motorë skriptimi, mjete të menaxhimit në distancë, mjete arkivimi dhe programe të integruara të sistemit. Nuk kishte nevojë të instalohej asgjë keqdashëse, sepse sulmuesi thjesht përdori atë që ishte tashmë aty. Ekipet e sigurisë e quajnë këtë 'të jetosh nga toka'.

Raporti më i fundit i Verizon për Hetimin e Shkeljeve të të Dhënave tregon në të njëjtin drejtim. Shfrytëzimi i dobësive u bë 'vektori më i spikatur i aksesit fillestar' në atë grup të dhënash, duke arritur 31% të rasteve, nga 20% vitin e kaluar. Kjo është një rritje prej 55% në një vit të vetëm në kategorinë e vetme që shpërblen skanimin e shumë objektivave mbi zhvillimin e një sulmi të zgjuar. Pajisjet edge, që do të thotë ruterë, mure zjarri dhe pajisje të tjera të arritshme nga interneti, janë të njohura jo sepse janë interesante, por sepse procedura është e shkurtër. Një sulmues vëzhgon për identifikues të rinj CVE, që janë numra katalogu publikë për dobësi të njohura sigurie, në pajisjet e ekspozuara në internet. Ata filtrojnë për dobësi që lejojnë ekzekutim kodi në distancë, që do të thotë se dikush mund të ekzekutojë komanda në pajisje nga jashtë, dhe që nuk kërkojnë autentikim, që do të thotë pa hyrje. Pastaj presin. Zakonisht dikush publikon një provë koncepti funksionale, një demonstrim se dobësia mund të shfrytëzohet, në GitHub brenda ditësh. Kur kjo shfaqet, sulmuesi skanon internetin në shkallë të gjerë dhe merr çdo gjë që nuk është rregulluar ende.

Askush në atë zinxhir nuk zhvillon asgjë. Shfrytëzimi vjen falas nga një studiues, në një depo publike, sipas një orari që dikush tjetër e cakton. E vetmja aftësi e kërkuar është aftësia për të ekzekutuar kodin e të tjerëve shpejt dhe në volum. Autori e krahason këtë me një prodhues ilaçesh gjenerike: ai nuk zbulon ilaçe, ai pret që kërkimi i dikujt tjetër të bëhet publik dhe pastaj prodhon një formulë të njohur në volum. Një grup krimi kibernetik që ndjek këtë skenar konkurron në shpejtësi dhe kosto, jo në shpikje.

Tabela e liderëve të ransomware, lista e grupeve kriminale që publikojnë të dhëna të vjedhura për të detyruar viktimat të paguajnë, tregon të njëjtën preferencë. Për më shumë se një vit, Qilin mbajti pozicionin kryesor në renditjet e faqeve të rrjedhjes së ransomware, duke pretenduar rreth 1,600 viktima gjatë asaj periudhe, zakonisht më shumë se njëqind në muaj. Në qershor u zëvendësua nga The Gentlemen, me 121 viktima të pretenduara kundrejt 80 të Qilin. Këto janë shifra që grupet publikojnë për veten e tyre, kështu që janë pretendime dhe jo numra të audituar, por të dy kanë shkëmbyer vendin e parë. Ajo që konkurrojnë është xhiroja, jo arritja teknike. Detaji më tregues është nga erdhi sfiduesi. The Gentlemen u degëzuan nga një ish-filial i Qilin, dhe siç e shprehu përmbledhja e kërcënimit të Bitdefender, ata kanë demonstruar se sa të suksesshëm po riciklohen dhe përmirësohen skenarët e ransomware. Procedura doli nga një organizatë dhe hyri në një tjetër dhe funksionoi po aq mirë.

ClickFix është një skenar për të hyrë. Nuk ka ngarkesë për të rindërtuar kur zbulohet një zbulim, sepse nuk ka ngarkesë. Nuk ka shfrytëzim për të rizhvilluar kur një shitës lëshon një patch, sepse nuk përdoret asnjë dobësi. Kur një mashtrim prestar pushon së funksionuari, sulmuesi thjesht rishkruan tekstin në një faqe interneti. Teknika degradohet me hijeshi, që është pikërisht ajo që dikush dëshiron nga diçka që synon ta ekzekutojë mijëra herë. Gjithashtu funksionon në mënyrë identike kudo sepse nuk varet fare nga teknologjia e synuar. Varet nga një person që është i gatshëm të ndjekë udhëzimet, dhe ky është komponenti i vetëm i pranishëm në çdo mjedis, në të njëjtin version, pa asnjë patch në dispozicion.

Të jetosh nga toka është e njëjta ide e çuar më tej. Në vend që të sjellin mjetet e tyre, sulmuesit përdorin atë që është tashmë e instaluar: motorët e skriptimit, mjetet e menaxhimit në distancë, mjetet e arkivimit dhe binarët administrativë që vijnë me sistemin operativ. Këto mjete janë të njohura, të pranishme në çdo mjedis dhe identike në çdo mjedis. Një operator që mëson sekuencën një herë mund ta ekzekutojë atë në viktimën tjetër pa përshtatje. Trafiku i komandimit dhe kontrollit drejtohet përmes shërbimeve cloud që organizata tashmë i beson dhe i lejon. Fakti që këto mjete janë gjithashtu të vështira për t'u dalluar nga administrimi legjitim është një bonus, por nuk është arsyeja kryesore pse u zgjodhën. Sidoqoftë, është pjesa që mbrojtësit e kanë më të vështirë: kur një sulmues nuk sjell asgjë, nuk ka asgjë për të gjetur.

Ekonomia përputhet me parashikimin. Raporti i Verizon tregon se ransomware po rritet përsëri, në 48% të të gjitha shkeljeve, nga 44% vitin e kaluar. Gjatë të njëjtës periudhë, paratë shkuan në drejtimin tjetër: 69% e viktimave të ransomware nuk paguan, dhe shpërblimi mesatar i paguar ra në 139,875 dollarë nga 150,000 dollarë. Ndjekja e Bitdefender e faqeve të rrjedhjes së ransomware numëroi 704 organizata të pretenduara si viktima vetëm në qershor 2026. Më shumë viktima, më pak para. Kjo është e ardhura në rënie për përpjekje, dhe përgjigja racionale është ta bësh çdo përpjekje më të lirë dhe më të përsëritshme, dhe të ekzekutosh më shumë prej tyre.

Këtu argumenti i AI takon aritmetikën. Qasja e skenarit i kushton një sulmuesi pothuajse asgjë për përpjekje: skanimi është i lirë, shfrytëzimi ishte falas, dhe mjetet ishin tashmë të instaluara në makinën e viktimës. Vendosja e një modeli në atë cikël shton një kosto reale për çdo përpjekje, në një biznes që ka kaluar vite duke e çuar atë kosto drejt zeros. Gjithashtu e shton atë në vendin e gabuar. Ky është një operacion vëllimi i drejtuar ndaj kujtdo që ndodh të jetë i ekspozuar, jo një numër i vogël organizatash të mëdha ku një investim më i madh për objektiv mund të justifikohej. Kundër disa viktimave me vlerë të lartë, pagesa për inteligjencë mund të kthehet. Kundër një liste prej disa mijëra biznesesh të vogla, nuk kthehet.

Ekziston gjithashtu një kundërshtim strukturor. Një agjent autonom, që do të thotë një program që vepron vetë dhe improvizon, eksploron një mjedis dhe gjen një rrugë që është e veçantë për atë mjedis. Ekzekutoje kundër kompanisë tjetër dhe bën diçka tjetër. Kjo është e kundërta e një skenari. Ransomware funksionon si një model filialesh, një franshizë në të cilën një procedurë e shkruar një herë prodhon të njëjtin rezultat në duar të panjohura. Varianca është armiku i atij modeli. Një përdorim racional i AI ka të ngjarë të ndodhë tashmë: përdorimi i një modeli jashtë linje për të ndihmuar në zhvillimin e skenarit, kërkimin e një teknike, shkrimin e mjeteve, rafinimin e mashtrimit, dhe pastaj ekzekutimin e procedurës që rezulton në mënyrë deterministe, ashtu siç është ekzekutuar gjithmonë. Ky është AI si autor, jo AI si ekzekutues. Ajo që nuk ndjek paratë është një model i drejtpërdrejtë që improvizon rrugën e tij në çdo viktimë. E njëjta logjikë vlen për pretendimin se AI do të gjejë dobësi të reja. Sulmuesit tashmë refuzojnë të investojnë atje, sepse pritja për një provë koncepti falas nuk kushton asgjë.

Asnjë nga këto nuk qëndron përgjithmonë. Sulmuesit adoptuan ransomware-si-shërbim dhe shantazhin e dyfishtë në momentin që ato kishin kuptim biznesi, dhe do të adoptojnë autonominë me të njëjtat kushte. Sinjali për t'u vëzhguar nuk është një njoftim aftësie, por pika në të cilën ekzekutimi i një modeli kundër një viktime bëhet më i lirë se ekzekutimi i skenarit. Kostoja është pragu i vetëm që ky biznes ka reaguar ndonjëherë.

Pasoja inkurajuese është se një sulm i standardizuar është një problem mbrojtjeje i standardizuar. Ju nuk po mbroni kundër kreativitetit të pakufizuar. Ju po mbyllni një numër të vogël dyerve nga të cilat varet skenari, dhe skenari nuk mund të përballojë të rindërtohet për çdo viktimë. Rregullo me zgjuarsi: nuk mund të rregullosh gjithçka shpejt, dhe nuk ke pse. Filtri i sulmuesit është publik: i ekspozuar në internet, ekzekutim kodi në distancë, pa nevojë autentikimi. Ekzekuto të njëjtin filtër mbi sistemet e tua dhe ke listën tënde. Dritarja është hendeku midis publikimit të këshillës dhe shfaqjes së provës së parë funksionale të konceptit në GitHub, shpesh vetëm ditë. Rregullo brenda asaj dritareje dhe procedura nuk të arrin kurrë. Zvogëlo çfarë mund të ekzekutohet fare: kontrolli i aplikacioneve dhe politika e ekzekutimit të skripteve thyejnë zinxhirin e ClickFix në pikën ku një komandë e ngjitur bëhet një proces në ekzekutim. Kufizo mjetet e integruara: shumica e përdoruesve nuk kanë nevojë legjitime për mjetet e menaxhimit në distancë dhe skriptimit që shfaqen në 84%, dhe ndërsa ato nuk mund të hiqen, kush mund t'i thërrasë ato është një vendim që ju e merrni. Trajto identitetin si perimetrin e vërtetë: kredencialet e përbashkëta, llogaritë e shërbimit tepër të gjera dhe çelësat që janë administrativë kudo janë ato që konvertojnë një makinë të komprometuar në një incident. Shiko ngjarjet së bashku, jo një nga një: një mjet i menaxhimit në distancë që ekzekutohet është normal, ajo llogari që është e kyçur është normale, ajo makinë që flet me ruajtjen cloud është normale, por ato tre gjëra që ndodhin në atë rend, në atë host, në atë orë nuk është normale. Dhe sigurohu që dikush po vëzhgon vërtet. Në hetimet që ekipet e përgjigjes ndaj incidenteve dhe zbulimit dhe përgjigjes të menaxhuar (MDR) të Bitdefender kryejnë, të njëjtat dy gjetje shfaqen vazhdimisht: ose nuk kishte fare zbulim endpoint të vendosur, që do të thotë asnjë softuer në kompjuterët individualë për të njohur sjellje të dyshimtë, ose ishte vendosur dhe askush nuk po e monitoronte. Një version i tretë duket si sukses nga jashtë: mjetet funksionojnë, alarmi ngrihet, dhe nuk arrin te askush me autoritet për të ndaluar atë që po ndodh. Zbulimi që askush nuk po e shikon nuk është zbulim, është një skedar regjistri që do të lexoni më pas.

Për lexuesit që duan ndihmë për t'i kthyer këto kontrolle në praktikë rutinë, AEU-I (https://aeu-i.com) ofron shërbime IT dhe konsulencë të fokusuar në sigurinë.

Sulmuesit nuk po blejnë një Lamborghini. Ata duan një Toyota, diçka që ndizet çdo mëngjes, që kushdo në ekip mund ta drejtojë, që mund të servisohet kudo, dhe që bën të njëjtën punë nesër si sot. Kjo është ajo që është ClickFix. Kjo është ajo që është të jetosh nga toka. Asnjëra nuk është mbresëlënëse, dhe të dyja janë të besueshme, që është specifikimi i vetëm që ka rëndësi kur e bën këtë dhjetë mijë herë. Çfarëdo që sulmuesit përfundimisht të bëjnë me AI, ata do ta adoptojnë vetëm kur të bëhet më e lirë se ajo që funksionon tashmë. Deri atëherë, dyert nëpër të cilat ata po kalojnë në të vërtetë janë ato që organizatat mund t'i mbyllin.