ClickFix Tarayıcı Önbelleğini Kullanarak Windows Limitlerini Aşıyor

Siber güvenlik dünyasında giderek daha karmaşık hale gelen saldırı yöntemlerine bir yenisi eklendi. ClickFix adı verilen saldırı türünün yeni bir varyantı, kötü amaçlı yazılımları kullanıcıların web tarayıcı önbelleğinde saklayarak Windows sistemlerinin önemli güvenlik limitlerini aşma becerisi kazanıyor. Bu yeni yaklaşım, saldırganlara daha önce karşılaşılmayan bir gizlilik ve etki alanı sağlıyor, böylece geleneksel tespit mekanizmalarını atlatmak mümkün hale geliyor.

Sosyal Mühendislik Taktiklerinde Evrim: ClickFix

Son iki yılda siber suçlular ve hatta devlet destekli aktörler arasında oldukça popüler hale gelen ClickFix, sosyal mühendisliğin yıkıcı bir örneğini temsil ediyor. Bu saldırılar, kurbanları kötü amaçlı komutları kendi cihazlarında yürütmeye ikna ederek, onları adeta bir dağıtım kanalına dönüştürüyor. Geleneksel ClickFix senaryolarında, kullanıcılar genellikle uzaktan indirilen ve doğrudan çalıştırılan zararlı yazılımlarla hedeflenirken, yeni varyant bu süreci daha sofistike bir zemine taşıyor.

Ekim 2025’te benzer bir önbellek gizleme tekniğinin bir ZIP arşivi içinde kötü amaçlı yazılım dağıtmak için kullanıldığı görülmüştü. Bu olay, o dönemde bir kırmızı takım tatbikatı olarak tanımlansa da, saldırganların tarayıcı önbelleğini kötüye kullanma potansiyelini gözler önüne sermişti. Yeni keşfedilen yöntem, bu tekniği bir adım öteye taşıyarak doğrudan komut yürütme ve karakter limitlerini aşma gibi kritik hedeflere odaklanıyor.

Önbelleğe Gizlenen Yük: Çalışma Prensibi

Yeni ClickFix yaklaşımının temelinde, kötü amaçlı yazılım yüklerini tarayıcı önbelleğine sızdırmak yatıyor. Saldırganlar, güvenliği ihlal edilmiş web sitelerini kullanarak kullanıcıları aldatıyor ve zararlı betikleri, bir PNG dosyası gibi masum görünen bir formatta önbelleğe alıyor. Bu işlem, tipik saldırı modellerinin aksine, yükün doğrudan indirilip çalıştırılması yerine, henüz çalıştırılmadan cihazda bulunmasını sağlıyor.

Microsoft Tehdit İstihbarat ekibinin tespitlerine göre, bu yöntemle önbelleğe alınan betikler, daha sonra kullanıcıya verilen kötü amaçlı bir komutun yapıştırılıp çalıştırılmasıyla tetikleniyor. Kullanıcı, kendisinden istenen komutu Windows Çalıştır iletişim kutusuna girdiğinde, cihazda zaten bulunan ve tarayıcı önbelleğine gizlenmiş olan zararlı içerik devreye giriyor. Bu durum, yükün ağdan tekrar indirilmesine gerek kalmadan anında yürütülmesine olanak tanıyor.

Windows Çalıştır Komutu Nasıl Atlatılıyor?

Bu tarayıcı önbelleği gizleme yaklaşımının en dikkat çekici yönlerinden biri, saldırganlara Windows Çalıştır iletişim kutusunun karakter sınırlamasını aşma imkanı sunmasıdır. Win + R tuş kombinasyonuyla açılan Çalıştır kutusu, yaklaşık 260 karakteri aşan girdileri otomatik olarak keser. Bu durum, uzun ve karmaşık kötü amaçlı komutların doğrudan bu kutuya yapıştırılmasını engellerken, yeni ClickFix varyantı bu engeli ustaca aşıyor.

Microsoft tarafından gözlemlenen saldırı zincirinde, aşamalı yükleme Visual Basic Betiği (VBScript) kullanılarak gerçekleştiriliyor. Bu betik, “cmd.exe” komutunu çağırarak tarayıcının profil klasörlerinde (örneğin, “%LOCALAPPDATA%MozillaFirefoxProfiles” altındaki gibi) “f_” ile başlayan dosyaları özyinelemeli olarak arıyor. Betik, önceki saldırıların aksine dosya içeriğindeki bir işaretleyiciyi değil, her bir dosyanın bayt uzunluğunu beklenen bir değerle karşılaştırıyor. Boyut eşleşmesi sağlandığında, ilgili önbellek girdisini “%LOCALAPPDATA%Tempt.vbs” konumuna kopyalıyor ve böylece önbellekteki yüke bir VBScript uzantısı veriyor, ardından bunu “wscript.exe” ile çalıştırıyor. Kopyalama çıktısı ve hatalar gizleniyor, beklenen boyut ise varyantlara göre değişiklik gösterebiliyor.

Kimlik Bilgilerine Giden Karmaşık Yolculuk

Saldırı, VBScript’in tetiklenmesiyle birlikte daha karmaşık bir hal alıyor. Bu betik, Windows Yönetim Araçları (WMI) aracılığıyla ana bilgisayar bilgilerini toplamak ve harici bir sunucudan (“cocojambo[.]us[.]com/alfa”) bir PowerShell betiği (“v.ps1”) indirmek üzere tasarlanmıştır. İndirilen PowerShell betiği, daha sonra bir sonraki aşama olan “cab.dat” dosyasını indirmekten sorumlu ara bir PowerShell yükü için köprü görevi görüyor. Bu dosya indirildikten sonra, içeriği okunur ve gizli bir pencerede yürütülür.

Saldırı, son aşamada belleğe yüklenen ve yeni başlatılan yasal bir Windows işlemi olan “timeout.exe” içine kod enjekte eden .NET derlemelerinin devreye girmesiyle zirveye ulaşıyor. Bu enjeksiyonun temel amacı, tarayıcı ve cihaz kimlik bilgilerini ele geçirmektir. Enjekte edilen süreç, ek olarak “capsysnet[.]vg” adresinden ikincil bir bellek içi aşama elde etmek ve “ciliabula[.]cc” adresine giden giden bağlantıları başlatmak için PowerShell’i kullanıyor. Bu çok aşamalı ve gizli operasyon, saldırganların hedeflerine ulaşmak için ne kadar yaratıcı ve karmaşık yollar izleyebileceğini ortaya koyuyor.

Kullanıcılar İçin Anlamı ve Alınacak Önlemler

Bu yeni ClickFix varyantı, kullanıcıları ve kurumları daha dikkatli olmaya itiyor. Saldırı, sıradan web sitelerinin bile bir tehdit vektörüne dönüşebileceğini, tarayıcı önbelleğinin ise beklenmedik bir saldırı yüzeyi oluşturduğunu gösteriyor. Kullanıcıların, özellikle bilinmeyen veya şüpheli kaynaklardan gelen komutları Çalıştır kutusuna yapıştırmadan önce iki kez düşünmeleri büyük önem taşıyor. Siber güvenlik farkındalığı, bu tür sosyal mühendislik saldırılarına karşı en güçlü savunma hattıdır.

Kurumsal düzeyde ise, gelişmiş tehdit istihbaratı ve uç nokta güvenlik çözümlerinin kullanımı elzemdir. Tarayıcı önbelleğinin ve geçici dosyaların düzenli olarak taranması, şüpheli VBScript ve PowerShell etkinliğinin izlenmesi, bu tür saldırıların erken aşamalarında tespit edilmesine yardımcı olabilir. Ayrıca, sistem yöneticilerinin kullanıcı eğitimlerine yatırım yapması ve sosyal mühendislik taktikleri hakkında bilgilendirme yapması, bu tür tehditlere karşı genel direnci artıracaktır.

Siber Güvenlik Manzarasında Yeni Bir Tehdit Modeli

Tarayıcı önbelleği üzerinden yük gizleme ve Windows Çalıştır limitlerini aşma yeteneği, siber güvenlikte yeni bir tehdit modelinin yükselişine işaret ediyor. Bu yaklaşım, saldırganlara daha fazla gizlilik, daha yüksek başarı oranı ve geleneksel güvenlik önlemlerini atlatma potansiyeli sunuyor. Özellikle yapay zeka destekli özetleme sistemlerinin e-posta istemcileri ve tarayıcı uzantılarına entegre edilmesi gibi gelişmeler, sosyal mühendislik saldırılarının daha inandırıcı ve yaygın hale gelmesine zemin hazırlıyor. Bu nedenle, güvenlik çözümlerinin ve kullanıcı davranışlarının sürekli olarak evrilen bu tehditlere ayak uydurması hayati önem taşıyor.