Во вторник Google объявила о новых предупреждениях в Google Chrome для пользователей, включивших «Улучшенную защиту» (Enhanced Protection). Браузер будет искать подозрительные команды, связанные с атаками ClickFix, и предупреждать о них до запуска.
ClickFix — приём социальной инженерии: человека убеждают самостоятельно скопировать и вставить вредоносную команду в систему. Сценарий часто начинается с посещения взломанного легитимного сайта или перехода по вредоносной рекламе. Затем пользователь попадает на фишинговую страницу с поддельной проверкой Cloudflare или Google reCAPTCHA либо с вымышленной ошибкой. Ему предлагают вставить команду в окно «Выполнить» Windows или в приложение «Терминал» на Mac.
После нажатия Enter команда может запустить многоступенчатое заражение: например, установить похититель информации или троян удалённого доступа. Чтобы действия выглядели привычно и не вызывали подозрений, злоумышленники часто используют системные инструменты — PowerShell или cmd.exe — для загрузки следующих компонентов вредоносной программы.
Уловка работает потому, что пользователь сам запускает код, а просьбу объясняют устранением обычной неполадки. Так атакующие обходят привычную схему фишинга, где достаточно заманить человека по ссылке, и уводят загрузку из браузера в терминал. По словам Google, это позволяет обходить существующие механизмы защиты загрузок Chrome и Safe Browsing.
Если пользователь с включённой «Улучшенной защитой» копирует потенциально опасный сценарий, Chrome очищает содержимое буфера обмена от возможных личных данных и отправляет команду в Safe Browsing на проверку. Если система сочтёт её опасной, браузер покажет предупреждение. Расчёт на то, чтобы остановить атаку до выполнения команды.
Google связывает эту работу с распознаванием мошеннических страниц на устройстве с помощью больших языковых моделей. Подход уже применяют для выявления афер с фальшивой техподдержкой, поддельным антивирусом и вымышленным обновлением браузера. Модель оценивает содержимое страницы, представленную на ней марку, её предполагаемую цель и вероятность мошенничества. Текст страницы анализируется только при наличии признаков с высокой степенью уверенности; если его передают с устройства, данные обрабатываются временно — их не записывают, не сохраняют и не используют для обучения моделей.
Во вторник Google также объявила о запуске Financial Services Verification в США и Канаде. Рекламодателям, размещающим определённые объявления о финансовых услугах, придётся подтвердить полномочия перед соответствующими регуляторами или признанными реестрами. Программа призвана пресечь выдачу себя за известные бренды и ограничить доступ мошенников к аудитории. Она уже действует в Австралии, Бразилии, Индии, Индонезии, Малайзии, Новой Зеландии, Турции и ряде стран Европы. В США Google сотрудничает с American Bankers Association и планирует проверять уполномоченные банки по её специальному реестру; в Канаде компания готовит запуск вместе с Canadian Bankers Association.
Apple добавила в Safari и WebKit защиту от разрешения личности (identity resolution) — способа превращать адрес электронной почты в постоянный идентификатор для слежки. Эта функция входит в выпуски iOS, iPadOS, macOS и visionOS 27. По описанию Apple, сторонняя организация может незаметно получить адрес при входе на сайт или подписке на рассылку, создать связанный с ним идентификатор и передать его обратно странице. Такой идентификатор помогает отслеживать просмотренные сайты и нацеливать рекламу; выход из аккаунта или отмена подписки его не удаляют.
По мере заполнения форм сторонние организации могут собирать новые сведения и связывать их в профиль: имя, домашний адрес, номер телефона и IP-адрес. Safari блокирует сетевой доступ к встроенной в страницы инфраструктуре, которая используется для разрешения личности; блокировка действует на уровне доменов и должна мешать передаче адресов электронной почты на серверы третьих сторон. Apple считает, что одной блокировки межсайтовых файлов cookie уже недостаточно: индустрия продолжает искать способы отслеживания пользователей в эпоху после cookie-файлов.
Изображение носит иллюстративный характер
ClickFix — приём социальной инженерии: человека убеждают самостоятельно скопировать и вставить вредоносную команду в систему. Сценарий часто начинается с посещения взломанного легитимного сайта или перехода по вредоносной рекламе. Затем пользователь попадает на фишинговую страницу с поддельной проверкой Cloudflare или Google reCAPTCHA либо с вымышленной ошибкой. Ему предлагают вставить команду в окно «Выполнить» Windows или в приложение «Терминал» на Mac.
После нажатия Enter команда может запустить многоступенчатое заражение: например, установить похититель информации или троян удалённого доступа. Чтобы действия выглядели привычно и не вызывали подозрений, злоумышленники часто используют системные инструменты — PowerShell или cmd.exe — для загрузки следующих компонентов вредоносной программы.
Уловка работает потому, что пользователь сам запускает код, а просьбу объясняют устранением обычной неполадки. Так атакующие обходят привычную схему фишинга, где достаточно заманить человека по ссылке, и уводят загрузку из браузера в терминал. По словам Google, это позволяет обходить существующие механизмы защиты загрузок Chrome и Safe Browsing.
Если пользователь с включённой «Улучшенной защитой» копирует потенциально опасный сценарий, Chrome очищает содержимое буфера обмена от возможных личных данных и отправляет команду в Safe Browsing на проверку. Если система сочтёт её опасной, браузер покажет предупреждение. Расчёт на то, чтобы остановить атаку до выполнения команды.
Google связывает эту работу с распознаванием мошеннических страниц на устройстве с помощью больших языковых моделей. Подход уже применяют для выявления афер с фальшивой техподдержкой, поддельным антивирусом и вымышленным обновлением браузера. Модель оценивает содержимое страницы, представленную на ней марку, её предполагаемую цель и вероятность мошенничества. Текст страницы анализируется только при наличии признаков с высокой степенью уверенности; если его передают с устройства, данные обрабатываются временно — их не записывают, не сохраняют и не используют для обучения моделей.
Во вторник Google также объявила о запуске Financial Services Verification в США и Канаде. Рекламодателям, размещающим определённые объявления о финансовых услугах, придётся подтвердить полномочия перед соответствующими регуляторами или признанными реестрами. Программа призвана пресечь выдачу себя за известные бренды и ограничить доступ мошенников к аудитории. Она уже действует в Австралии, Бразилии, Индии, Индонезии, Малайзии, Новой Зеландии, Турции и ряде стран Европы. В США Google сотрудничает с American Bankers Association и планирует проверять уполномоченные банки по её специальному реестру; в Канаде компания готовит запуск вместе с Canadian Bankers Association.
Apple добавила в Safari и WebKit защиту от разрешения личности (identity resolution) — способа превращать адрес электронной почты в постоянный идентификатор для слежки. Эта функция входит в выпуски iOS, iPadOS, macOS и visionOS 27. По описанию Apple, сторонняя организация может незаметно получить адрес при входе на сайт или подписке на рассылку, создать связанный с ним идентификатор и передать его обратно странице. Такой идентификатор помогает отслеживать просмотренные сайты и нацеливать рекламу; выход из аккаунта или отмена подписки его не удаляют.
По мере заполнения форм сторонние организации могут собирать новые сведения и связывать их в профиль: имя, домашний адрес, номер телефона и IP-адрес. Safari блокирует сетевой доступ к встроенной в страницы инфраструктуре, которая используется для разрешения личности; блокировка действует на уровне доменов и должна мешать передаче адресов электронной почты на серверы третьих сторон. Apple считает, что одной блокировки межсайтовых файлов cookie уже недостаточно: индустрия продолжает искать способы отслеживания пользователей в эпоху после cookie-файлов.
