Podd #375: Clickfix-skydd och Berlins 6 TB-läcka

PubliceringsdatumFörfattare

I somras drabbades Berlin av ett allvarligt dataintrång. Utpressargruppen Rhysida stal nästan sex terabyte data och hotade med att läcka uppgifterna om gruppen inte fick betalt. Rhysida krävde över 20 miljoner kronor i lösensumma. Berlins borgmästare lät hälsa att staden vägrade låta sig utpressas, vilket ledde till att Rhysida publicerade de stulna uppgifterna på darknet.

Något av det mest anmärkningsvärda i händelseförloppet var sättet som angriparna fick fotfäste i organisationen. Allting började med en clickfix-attack. En medarbetare lurades att infektera sin egen dator via en falsk captcha-ruta. När medarbetaren klickade på captcha-rutan kopierades ett kommando till datorns urklipp som medarbetaren sedan lurades att köra, till exempel genom att klistra in kommandot i Windows dialogruta Kör eller i terminalen.

Clickfix-attacker är ett stående problem. Enligt Microsoft Digital Defense Report 2025 var clickfix-attacker den vanligast observerade metoden för initial angriparåtkomst. Det är därför av högsta vikt att alla medarbetare känner igen attacken och inte låter sig luras av falska captcha-rutor.

I veckans podd pratar Peter och Nikka om Googles nya skydd mot clickfix-attacker. Chrome har fått en funktion som automatiskt analyserar urklipp och varnar användaren för attackförsök direkt i webbläsaren. Funktionen kräver tyvärr att information skickas till Googles servrar, vilket påverkar den personliga integriteten.

Podduon följer också upp förra veckans PHP-nyhet och berättar om tävlingen där hackaren som snabbast utnyttjade PHP-sårbarheterna vann 2 000 dollar.

Kapitel i avsnittet

Omtalat i avsnittet

Känn igen Clickfix-attacker

Clickfix-attacker kan se ut på många olika sätt. De börjar med att användaren uppmanas att klicka på något. Sedan visas instruktioner som uppmanar användaren att öppna dialogrutan Kör eller Terminalen (Kommandotolken)

Skärmavbild av en webbsida med en falsk captcha-ruta som uppmanar en Windows-användare att öppna Terminalen och klistra in ett kommando.
Exempel på uppmaning som visas för Windows-användare efter att de har klickat på en falsk captcha-ruta.
Skärmavbild av en webbsida med en falsk captcha-ruta som uppmanar en Mac OS-användare att öppna Terminalen och klistra in ett kommando.
Exempel på uppmaning som visas för Mac OS-användare efter att de har klickat på en falsk captcha-ruta.

Användaren uppmanas sedan att klistra in kommandot som har kopierats till datorns urklipp och trycka på Enter. Då hämtas ett skadeprogram på nätet som infekterar datorn.

Skärmavbild av dialogrutan Kör i Windows med ett inklistrat clickfix-kommando.
Angriparna uppmanar ofta användaren att öppna dialogrutan Kör.
Skärmavbild av Terminalen i Windows med ett inklistrat clickfix-kommando.
Ibland uppmanar angriparna användarna att öppna Terminalen (Kommandotolken) i stället.
Skärmavbild av Terminalen i Mac OS med ett inklistrat clickfix-kommando.
Angriparna uppmanar Mac OS-användare att öppna Terminalen.
Detta poddavsnitt och dess tillhörande artikel är publicerade under CC BY 4.0-licens, med undantag för citat och bilder där en annan fotograf är angiven.

Kommentar