Атаки ClickFix: протокол finger как инструмент социальной инженерии
Кампания злоумышленников, известная как ClickFix, стартовала в ноябре 2025 года и продолжает применять неожиданный вектор — протокол finger — для проведения приемов социальной инженерии. В отчёте отмечается, что злоумышленники перепрофилируют этот исторически устаревший протокол, чтобы собирать пользовательскую информацию и строить убедительные сценарии атак.
Краткая суть инцидента
Протокол finger, изначально предназначенный для запроса сведений о пользователях удалённых систем, оказался инструментом в арсенале ClickFix. Хотя отчёт не раскрывает детальные техники атаки, повторяющееся использование finger указывает на стратегию «случайного» или широкого сбора информации о пользователях для последующего целенаправленного обмана и компрометации систем.
Почему это тревожит
- Зависимость от устаревших технологий. Наличие и доступность протоколов вроде finger свидетельствует о том, что в инфрастуктуре организаций остаются сервисы с низким уровнем безопасности.
- Эффективность социальной инженерии. Даже минимальные персональные данные позволяют злоумышленникам строить правдоподобные истории и убедительно вводить жертв в заблуждение.
- Адаптивность атакующих. Использование необычных каналов указывает на гибкость и креативность противника — он ищет слабые точки вне стандартных векторов угроз.
- Недостаточность обнаружения. Трафик по старым протоколам может не отслеживаться современными средствами мониторинга, что повышает риск незамеченной компрометации.
Что именно делает ClickFix (на текущем этапе известно)
Отчёт подчеркивает следующее:
- Злоумышленники используют finger для сбора базовой информации о пользователях.
- Собранные данные применяются для построения убедительных сценариев социальной инженерии (phishing, vishing и др.).
- Конкретные эксплуатационные техники или вредоносные payload’ы в отчёте не описаны, но паттерн указывает на подготовительную фазу атак — разведку и сбор OSINT.
«Устаревшие протоколы, такие как finger, могут использоваться неожиданными способами» — ключевой вывод, отражающий необходимость пересмотра защищённости инфраструктуры.
Рекомендации для организаций
Экспертные меры, которые следует принять немедленно:
- Провести инвентаризацию сетевых сервисов. Выявить все узлы, где активен протокол finger, и оценить обоснованность его наличия.
- Отключить или ограничить доступ. Если finger не требуется — отключить. Если требуется, ограничить доступ с помощью ACL и сегментации сети.
- Обновить средства мониторинга. Настроить IDS/IPS, SIEM и логирование на обнаружение аномалий в трафике по старым протоколам.
- Провести обучение сотрудников. Усилить тренинги по распознаванию фишинга и схем социальной инженерии, основанных на слабо структурированных данных.
- Внедрить многофакторную аутентификацию и минимизацию прав. Снизить ценность собранной через finger информации для злоумышленника.
- Обмениваться информацией об угрозах. Использовать TI-платформы и отраслевые сообщества для получения актуальных индикаторов и тактик ClickFix.
Вывод
Случай ClickFix — наглядное напоминание: даже малоиспользуемые или устаревшие протоколы могут стать эффективным инструментом в руках хорошо организованной группы. Ситуация подчёркивает необходимость регулярной ревизии сервисов, проактивного мониторинга и обучения персонала. Организациям важно не недооценивать «нетипичные» векторы и включать их в программы управления рисками и реагирования на инциденты.
Чем раньше будет проведён аудит и реализованы базовые меры защиты, тем меньше шансов у злоумышленников превратить разведданные в успешную компрометацию.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
