Cloudflare Verification के नाम पर ClickFix Scam: एक क्लिक से कंप्यूटर हो सकता है हैक, ऐसे बचें
Cloudflare जैसा दिखता है पेज, लेकिन अंदर छिपा होता है बड़ा खतरा
क्लिकफिक्स अटैक में फर्जी सिक्योरिटी वेरिफिकेशन के जरिए यूजर्स से PowerShell कमांड चलवाई जाती है. जानिए irm और iex जैसे कमांड क्यों खतरनाक हैं और संदिग्ध पेज की पहचान कैसे करें.
साइबर अपराधी अब यूजर्स को सीधे malware डाउनलोड कराने के बजाय उन्हें खुद अपने कंप्यूटर पर malicious command चलाने के लिए भी मजबूर कर रहे हैं. ClickFix नाम की इस technique में legitimate वेबसाइट और Cloudflare जैसी trusted security service की पहचान का इस्तेमाल करके यूजर को नकली verification process दिखाई जाती है. इसके बाद verification पूरा करने के नाम पर Windows Terminal या PowerShell में एक command paste करने के लिए कहा जाता है.
ऐसा ही एक ClickFix attack pattern Nilesat की वेबसाइट से जुड़े एक पुराने Proof of Concept (PoC) में सामने आया था. इस उदाहरण में वेबसाइट पर दिखाई देने वाला पेज देखने में Cloudflare की security verification प्रक्रिया जैसा बनाया गया था, लेकिन verification पूरी करने के लिए यूजर को browser में कोई सामान्य action करने के बजाय Windows Terminal खोलकर एक command manually execute करने के लिए कहा गया था.
हालांकि, यहां यह साफ करना जरूरी है कि यह Nilesat से जुड़ा पुराना PoC उदाहरण है और वेबसाइट को बाद में ठीक किया जा चुका है. इस रिपोर्ट का उद्देश्य Nilesat की वर्तमान security स्थिति पर सवाल उठाना नहीं, बल्कि यह समझाना है कि ClickFix जैसी social-engineering techniques किस तरह काम कर सकती हैं.
Cloudflare Verification के नाम पर यूजर से क्या करवाया गया?
पुराने PoC में नकली verification page पर यूजर को एक के बाद एक कुछ steps follow करने के लिए कहा गया था. इनमें Windows shortcut का इस्तेमाल करके Terminal खोलना, दिए गए PowerShell command को paste करना और फिर Enter दबाना शामिल था.
यानी पूरी प्रक्रिया में सबसे अहम बात यह थी कि यूजर को यह विश्वास दिलाया जाए कि वह किसी security verification को पूरा कर रहा है. असल में उससे अपने ही सिस्टम पर एक PowerShell command execute करवाई जा रही थी.
यही ClickFix attack का सबसे खतरनाक हिस्सा है. इसमें attacker जरूरी नहीं कि किसी software vulnerability का फायदा उठाए. इसके बजाय वह यूजर को ऐसा action करने के लिए convince करता है, जिससे malicious code खुद यूजर के सिस्टम पर execute हो सके.
PowerShell Command में छिपा था असली खतरा
पुराने PoC में इस्तेमाल की गई command में PowerShell के irm और iex जैसे commands मौजूद थे.
irm, यानी Invoke-RestMethod, remote server से content प्राप्त करने के लिए इस्तेमाल किया गया था, जबकि iex, यानी Invoke-Expression, प्राप्त किए गए content को PowerShell के जरिए execute कर सकता है.
इसका मतलब यह है कि यूजर को पूरा malicious payload पहले से command के अंदर दिखाई देना जरूरी नहीं था. Command किसी external server से content प्राप्त कर सकती है और फिर उसे system पर execution के लिए भेज सकती है.
यह behavior security के लिहाज से खास तौर पर जोखिम भरा है, क्योंकि remote server पर मौजूद content को बाद में बदला जा सकता है. ऐसे में केवल command को देखकर उसके अंतिम behavior का अंदाजा लगाना हमेशा पर्याप्त नहीं होता.
Remote Server का इस्तेमाल कर डाउनलोड कराया जा सकता था Payload
इस पुराने PoC में PowerShell command एक external IP address से content प्राप्त करने के लिए configured थी.
PoC में दिखाई देने वाला remote host था:
यह किसी सामान्य Cloudflare verification infrastructure का हिस्सा नहीं था. उपलब्ध VirusTotal analysis में इस endpoint से संबंधित URL को कई security vendors ने malicious, phishing या malware-related activity से associate किया था.
यही वजह है कि किसी verification page द्वारा unknown IP address या external server से PowerShell content डाउनलोड करने की कोशिश को गंभीर warning sign माना जाना चाहिए.
Cloudflare के नाम का इस्तेमाल क्यों किया जाता है?
ClickFix attacks में technical exploit से ज्यादा महत्वपूर्ण अक्सर यूजर का भरोसा होता है.
Cloudflare एक जाना-पहचाना नाम है और कई वेबसाइटों पर users पहले से उसके security checks देख चुके हैं. इसी familiarity का फायदा उठाकर attackers नकली verification interface तैयार कर सकते हैं.
यूजर को लगता है कि वह website की security verification पूरी कर रहा है. लेकिन कुछ steps के बाद उसे Terminal खोलने, command paste करने या किसी script को execute करने के लिए कहा जाता है.
यहीं से सामान्य verification process एक संभावित social-engineering attack में बदल जाती है.
असली Cloudflare Verification में Terminal खोलने की जरूरत नहीं
यह सबसे महत्वपूर्ण बात है जिसे users को याद रखना चाहिए.
किसी सामान्य Cloudflare verification के दौरान आपको:
- Windows + X दबाकर Windows Terminal खोलने की जरूरत नहीं होती.
- PowerShell command manually paste करने की जरूरत नहीं होती.
- किसी unknown command को Enter दबाकर execute करने की जरूरत नहीं होती.
- किसी remote server से script डाउनलोड करके manually चलाने की जरूरत नहीं होती.
अगर कोई website Cloudflare verification के नाम पर इस तरह के steps follow करने के लिए कहती है, तो उसे गंभीर security warning समझना चाहिए.
Nilesat के पुराने PoC को लेकर जरूरी clarification
Nilesat से संबंधित यह उदाहरण एक पुराने PoC से जुड़ा है और वेबसाइट को बाद में ठीक किया जा चुका है.
इसलिए इस मामले को Nilesat की वर्तमान security स्थिति की रिपोर्ट के तौर पर नहीं देखा जाना चाहिए. इसका महत्व इस बात में है कि यह एक वास्तविक-looking website और trusted security brand की पहचान का इस्तेमाल करके ClickFix जैसी technique को समझने का उदाहरण देता है.
ऐसे attacks में compromised website केवल एक delivery mechanism बन सकती है, जबकि अंतिम लक्ष्य यूजर से malicious action करवाना होता है.
यूजर्स कैसे बचें ClickFix Attack से?
अगर किसी website पर verification के दौरान आपको Windows Terminal या PowerShell खोलने और कोई command copy-paste करके Enter दबाने के लिए कहा जाए, तो ऐसा बिल्कुल न करें.
खास तौर पर powershell, iex और irm जैसे commands वाली unknown commands को बिना जांचे execute नहीं करना चाहिए. इसी तरह किसी unknown IP address या unfamiliar domain से content डाउनलोड करने वाली command भी संभावित खतरे का संकेत हो सकती है.
सबसे जरूरी बात यह है कि केवल Cloudflare का logo, नाम या verification जैसा दिखने वाला interface देखकर किसी page को legitimate न मानें.
अगर कोई website आपको verification के नाम पर अपने computer में command चलाने के लिए कह रही है, तो यह सामान्य security verification नहीं बल्कि संभावित ClickFix attack हो सकता है.
नोट: इस PoC और इसमें प्रदर्शित सभी IP, तकनीकी डेमो व अटैक प्रक्रिया को साइबर सिक्योरिटी रिसर्चर संतोष कुमार ने रिसर्च और जागरूकता के उद्देश्य से प्रदर्शित किया है.
अक्सर पूछे जाने वाले प्रश्न (Frequently Asked Questions)
ClickFix एक social-engineering technique है जिसमें यूजर को किसी समस्या को ठीक करने, verification पूरा करने या security check पास करने के नाम पर malicious action करने के लिए convince किया जाता है.
नहीं. सामान्य Cloudflare verification के लिए यूजर को Windows Terminal खोलकर PowerShell command paste और execute करने की जरूरत नहीं होती.
यह उदाहरण Nilesat से जुड़े एक पुराने PoC पर आधारित है. वेबसाइट को बाद में ठीक किया जा चुका है, इसलिए इसे Nilesat की वर्तमान security स्थिति का प्रमाण नहीं माना जाना चाहिए.
ये भी पढ़ें: .EXE और .DLL फाइल से हो रहा WhatsApp Hack, भूलकर भी न खोलें ये फाइल
ये भी पढ़ें: मोबाइल में मालवेयर तुरंत ढूंढ निकालने की सबसे आसान चेकलिस्ट देखें, बैंक बैलेंस रहेगा सेफ
प्रभात खबर डिजिटल टॉप स्टोरी
Prabhat Khabar App :
देश, एजुकेशन, मनोरंजन, बिजनेस अपडेट, धर्म, क्रिकेट, राशिफल की ताजा खबरें पढ़ें यहां. रोजाना की ब्रेकिंग हिंदी न्यूज और लाइव न्यूज कवरेज के लिए डाउनलोड करिए
