ClickFix перемещается в браузер: кража криптовалюты с C2-инфраструктурой на базе Google

Cisco Talos отслеживает продолжающуюся несколько месяцев криминальную кампанию, в рамках которой злоумышленники используют Google Visualization API для инъекции вредоносного JavaScript в две криптовалютные торговые площадки. Схема основана на злоупотреблении легитимными сервисами: вредоносный код извлекается из публично опубликованного документа Google Sheets и внедряется в браузерную сессию жертвы. Вместо традиционной техники ClickFix, когда жертву убеждают скопировать и выполнить команды PowerShell или другие команды операционной системы, злоумышленники нацелились на браузерную среду. Пользователя убеждают вставить код непосредственно в адресную строку браузера Chrome либо установить его через легитимное расширение Tampermonkey, что обеспечивает персистентность при каждом посещении целевого сайта.

Подробности

Ранние версии кампании датируются началом октября 2025 года. Первоначально фишинговые приманки были нацелены на вставку кода в навигационную строку Chrome. Позднейшая версия использует расширение Tampermonkey для инъекции скрипта-загрузчика, который обеспечивает постоянное присутствие на текущем целевом сайте. В марте 2026 года операторы кампании начали использовать Google Visualization API для доставки вредоносных скриптов, хранящихся в документе Google Sheets. В июле, после частых удалений их публикаций на общих текстовых сайтах, злоумышленники перенесли все компоненты кампании в Google Docs и Google Sheets. Приманка выглядит как утечка отчета об уязвимости, описывающая несуществующую ошибку API в сервисах обмена криптовалют. Распространение ведется через Telegram, DarkForums и сайты для вставки текста. Атака нацелена на пользователей, готовых эксплуатировать «уязвимость» ради финансовой выгоды, в том числе на посетителей форумов о криптовалютной торговле, разработке ПО, основах кибербезопасности и хакерских техниках. Внедренный скрипт функционирует как веб-скиммер. Он перехватывает fetch API браузера, подменяет адреса депозитов криптовалюты в ответах сервера и буфере обмена пользователя, а также отображает поддельные бонусные элементы интерфейса.

Что делать

Хотя данная кампания не представляет прямой угрозы для большинства организаций, используемые подходы требуют повышенного внимания. Компаниям и частным пользователям рекомендуется: - Проводить обучение сотрудников распознаванию социальной инженерии, особенно просьб вставить код в браузер или установить расширения. - Отслеживать активность в браузерах пользователей с особым вниманием к вставке кода в адресную строку. - Использовать политики безопасности, запрещающие установку непроверенных расширений браузера. - Для пользователей криптовалютных бирж — проверять адреса депозитов через независимые каналы, избегая копирования из уведомлений и страниц сайта. Итог: кампания демонстрирует эволюцию клиентских атак — от выполнения команд в ОС к внедрению кода в браузерную среду, где контроль жертвы минимален. Перенос C2-инфраструктуры в сервисы Google снижает вероятность блокировки и усложняет обнаружение вредоносной активности на сетевом уровне.

Источник: Cisco Talos Intelligence