Prvi rezultat na Guglu nije uvek pravi: lažni oglasi vode u zamku
Napadači znaju da sa prvim rezultatom u pretrazi čoveka mogu da odvedu na lažnu stranicu umesto na pravu, i to svakodnevno koriste. Firma Push Security opisala je kampanju u kojoj se posetioci sponzorisanom objavom navode na lažni Anthropicov alat Claude, ali isti trik radi i za bilo koji drugi popularan program. Prevara ima dva sloja. Prvo, Guglov oglas u adresi prikazuje poznati bing.com, pa žrtvi deluje bezbedno — a klik se zapravo preusmerava preko Bingovog linka i nekog kompromitovanog sajta do lažne stranice za preuzimanje. Kad se na tu stranicu ode direktno, preko veb adrese, dobija se prazna 404 greška, da je veb skeneri ne bi uočili kao problem. Drugi korak je ClickFix zamka: maliciozna stranica prikazuje zvaničnu komandu za instalaciju i dugme „Kopiraj“, ali pritiskom na njega se u memoriju kopira neka druga, zlonamerna komanda. Kad je korisnik nalepi u svoj terminal i pokrene, na ekranu vidi preuzimanje i instalaciju zvaničnog programa, dok se u pozadini instalira malver. Koja je tačno njegova uloga, istraživači za sada ne znaju. Isti obrazac se ranije koristio za druge popularne alate, a domeni sa kojih se malver distribuira ubrzo se gase i menjaju.
Godinama važi savet da se softver preuzima samo sa zvaničnog sajta proizvođača. Kad u pretraživaču ukucamo Claude, očekujemo da će kompanija Anthropic biti prva na listi i u to praktično ne sumnjamo. Prvom mestu najviše verujemo i klikćemo na njega bez puno razmišljanja. Oglas na vrhu Gugla ili Binga ne znači da je stranica proverena, nego da je neko platio da bude prva. Drugi korak infiltracije je još lukaviji: ne traži od vas da skinete sumnjiv fajl, nego da sami, svojom rukom, nalepite komandu u terminal na vašem računaru i pokrenete proces. Time napad zaobilazi dobar deo mehanizama zaštite, jer ga vi kao korisnik sami odobravate. Pravilo je jednostavno: komande koje niste sami napisali ili ih ne razumete dovoljno, ne lepite u terminal. Do validnog programa idete ili preko nesponzorisanih linkova, ili direktno preko veb adrese, a nikako kliktanjem na ono što je najbliže, kao što je prvi oglas u pretrazi.
- Softver preuzimaj sa zvaničnog sajta, ne preko oglasa i prvog rezultata pretrage
- Nikada ne lepi u terminal ili PowerShell komandu koju ti je ponudila veb stranica, ma koliko izgledala zvanično
- Imaj na umu da oznaka „Sponzorisano“ iznad rezultata znači plaćeno, ne i provereno
- U firmi upozori ljude na „nalepi ovu komandu da popraviš/instaliraš“ zamku i objasni je na primeru
- Ako si već nalepio takvu komandu, skini računar sa mreže i uradi detaljnu analizu, jer je program možda već pokrenut