Šta se desilo?

Cisco Talos je opisao ClickFix kampanju u kojoj korisnici sami ubacuju zlonameran JavaScript u browser. Mamac je lažni izveštaj o navodnoj API ranjivosti koja obećava veću zaradu pri zameni kriptovaluta. Opisani propust ne postoji.

Koga pogađa?

Mete su pojedinci sa foruma o kriptovalutama, razvoju softvera i bezbednosti, naročito oni koje privlači obećanje brzog profita. Analizirani mamci koriste imena SwapZone i SimpleSwap. Izveštaj ne dokazuje kompromitovanje njihovih serverskih sistema niti žrtve u regionu.

Kako se zaštititi?

  • Ne izvršavajte nepoznat kod u adresnoj liniji ili razvojnoj konzoli browsera.
  • Ne instalirajte tuđe skripte u Tampermonkey po uputstvima iz poruka. Legitimna ekstenzija ne čini dodatnu skriptu bezbednom.
  • Pre potvrde transakcije proverite punu odredišnu adresu na pouzdanom uređaju.
  • Koristite MFA i ažuriran browser, ali ne očekujte da MFA spreči zamenu adrese u već otvorenoj sesiji.
  • Ako ste dodali sumnjivu skriptu, obustavite transakcije, uklonite je i proverite browser, naloge i istoriju transfera.

Tehnički detalji

Google Visualization API preuzima prikriven JavaScript iz javno objavljenih Google Sheets dokumenata. Kod menja odgovore koje obrađuje browser, adrese za uplatu i sadržaj međuspremnika, uz lažne bonusne elemente interfejsa.

Rane varijante zabeležene su u oktobru 2025. Google Sheets API uveden je u martu 2026, a kompletno premeštanje komponenti na Google Docs i Sheets usledilo je u julu. Novije varijante koriste skriptu u legitimnom Tampermonkey dodatku da se kod ponovo učitava pri poseti ciljnom sajtu.

Zašto je važno?

Poznat domen i legitimna ekstenzija ne garantuju bezbednost sadržaja koji korisnik sam pokreće. Ovaj slučaj pokazuje kako prevara može izmeniti ono što korisnik vidi tokom transakcije.

Preporuka Sajber Radara

Odbacite ponude zarade koje zahtevaju pokretanje nepoznatog koda. Proveravajte adresu primaoca neposredno pre potvrde transfera i svaku sumnjivu promenu prijavite podršci platforme preko njenog zvaničnog kanala.