ClickFix: أخطر هجوم هندسة اجتماعية يخترق أجهزتك عبر لوحة المفاتيح
ClickFix ليست ثغرة برمجية بل تقنية هندسة اجتماعية تخدع الضحية لنسخ ولصق وتشغيل أوامر ضارة بنفسه، وقد شكلت 47% من هجمات الوصول الأولي في 2025 حسب ميكروسوفت، بارتفاع 517% في النصف الأول من العام. المهاجمون يزيّفون صفحات التحقق من Google reCAPTCHA وCloudflare ويطلبون من الضحية الضغط على Win+R ثم لصق أمر وتنفيذه، فيقوم...
Search & fact-check with cited sources for What is the ClickFix malware campaign that has been active since late 2025, how does its social eClickFix attacks use fake verification pages that instruct users to copy, paste, and execute malicious commands.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the ClickFix malware campaign that has been active since late 2025, how does its social e. Article summary: Here is a comprehensive, fact-checked breakdown of the ClickFix malware campaign and related topics.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visua
openai.com
ClickFix ليست ثغرة في ويندوز ولا خلل في تطبيق معين. إنها تقنية هندسة اجتماعية تعتمد بالكامل على أفعال المستخدم نفسها — وقد أصبحت الطريقة الأكثر شيوعًا التي يستخدمها المهاجمون للوصول الأولي إلى الأنظمة . بحلول 2025–2026، تبنّتها جماعات الجرائم الإلكترونية وحتى جهات دولية على نطاق واسع، مستخدمةً صفحات تحقق مزيّفة من Google reCAPTCHA وCloudflare لخداع الضحايا لتنفيذ أوامر ضارة على أجهزتهم بأنفسهم .
كيف يعمل ClickFix: أربع خطوات من الخداع
يتبع الهجوم نمطًا ثابتًا عبر جميع الحملات الموثّقة تقريبًا :
الشرك: يزور المستخدم موقعًا مخترقًا أو ضارًا ويصادف نافذة تحقق مزيّفة — إما reCAPTCHA مزيف أو صفحة Cloudflare "تأكد من أنك إنسان" أو رسالة تحديث متصفح مزيفة أو شاشة خطأ من QuickBooks أو Booking.com .
تعليمات النسخ واللصق: تعرض الصفحة تعليمات مثل: "اضغط Win + R، ثم Ctrl + V، ثم Enter" لإكمال التحقق .
الحمولة الخفية: ما تم نسخه إلى الحافظة هو أمر ضار PowerShell أو mshta أو curl يقوم بتحميل وتشغيل أداة تحميل برمجيات خبيثة من خادم بعيد .
التنفيذ: يتم تشغيل الأمر بصلاحيات المستخدم نفسه. ولأن المستخدم هو من قام باللصق والتشغيل، تفشل أدوات الكشف من الإشارة إليه كاختراق .
تُعرف هذه التقنية أيضًا باسم pastejacking لأنها تستغل الحافظة كناقل للعدوى .
الحمولات التي تُنشر عبر ClickFix
استخدم المهاجمون طُعم ClickFix لنشر مجموعة واسعة من البرامج الضارة في سلاسل إصابة متعددة المراحل:
HijackLoader: أداة تحميل من المرحلة الأولى، رُصدت في سلاسل ClickFix منذ يونيو 2025 على الأقل، وغالبًا ما يتبعها برنامج سرقة DeerStealer .
CastleLoader: إطار عمل برمجيات ضارة كخدمة نشط منذ بداية 2025. استخدمت إحدى الحملات موقعًا مزيفًا لإزالة الخلفيات لتوزيع CastleLoader، ثم تثبيت NetSupport RAT وأداة سرقة .NET مخصصة تستهدف بيانات المتصفح والمحافظ الرقمية وجلسات Telegram .
NetSupport RAT: أداة إدارة عن بُعد شرعية حوّلها المهاجمون لاستخدامها كباب خلفي دائم .
StealC: حصان طروادة لسرقة المعلومات يستهدف بيانات المتصفح والمحافظ الرقمية .
Amatera: أداة سرقة معلومات وُزّعت عبر حملة ClickFix جمعت بين اختبارات التحقق المزوّرة ونصوص App-V الموقّعة من ميكروسوفت .
أداة سرقة بلغة Rust: موثقة في حملات ClickFix متعددة الأشكال بدأت في أواخر 2025 .
DeerStealer: رُصد كحمولة تنفيذية نهائية بعد HijackLoader .
ResiLoader: أداة تحميل جديدة صُممت خصيصًا لإنهاء أكثر من 140 عملية برامج أمنية ومكافحة فيروسات على جهاز الضحية، مما يُعطّل الدفاعات قبل تسليم الحمولة النهائية .
طرق التوزيع
يستفيد المهاجمون من مزيج واسع من البنية التحتية لاستضافة وتوزيع هجمات ClickFix:
النطاقات المنتهية: نطاقات منتهية الصلاحية يُعاد تسجيلها لاستخدامها في جمع البيانات وتوزيع الحمولات .
المواقع المخترقة: الناقل الأكثر شيوعًا. يحقن المهاجمون نصوص JavaScript ضارة أو iframes في مواقع شرعية (عبر ثغرات إضافات أو استغلال أنظمة إدارة المحتوى) تعيد توجيه الزوار إلى صفحات ClickFix .
تسميم محركات البحث والإعلانات الضارة: مواقع تثبيت مزيفة وبوابات برامج مقرصنة تُدفع عبر نتائج البحث .
استغلال ثغرة Ghost CMS: في مايو 2026، استغل المهاجمون ثغرة حقن SQL خطيرة في نظام Ghost CMS (CVE‑2026‑26980) لاختراق أكثر من 700 موقع تعليمي وتقني شرعي وحقن طُعم ClickFix .
أهمية التهديد: لماذا يهيمن ClickFix
حدد تقرير ميكروسوفت الرقمي للدفاع 2025 ClickFix كطريقة الوصول الأول رقم 1، مسؤول عن 47% من جميع الهجمات التي رصدها خبراء دفاع ميكروسوفت خلال العام السابق — متجاوزًا التصيد التقليدي (35%) .
سجّلت إحصاءات ESETارتفاعًا بنسبة 517% في هجمات ClickFix في النصف الأول من 2025 وحده .
في إحدى الحملات التي وثّقها Menlo Labs، سلّمت ClickFix حمولات عبر المنصات: أوامر PowerShell لويندوز، وسكريبتات .command لماك، وسكريبتات Bash للينكس من طُعم JavaScript واحد متعدد الأشكال .
أصدرت وزارة الصحة والخدمات الإنسانية الأمريكية (HHS) تنبيهًا قطاعيًا حول ClickFix في يوليو 2026، مؤكدة وصول التقنية إلى البنية التحتية الحيوية .
قدّرت مجموعة Insikt التابعة لـ Recorded Future في مارس 2026 أن ClickFix سيبقى على الأرجح ناقل الوصول الأول المهيمن طوال عام 2026 .
الدفاعات الموصى بها
نظرًا لأن ClickFix يستغل السلوك البشري وليس ثغرة برمجية، يعتمد الدفاع بشدة على الضوابط التقنية والتوعية :
تقييد تنفيذ PowerShell: منع المستخدمين غير الإداريين من تشغيل نصوص PowerShell. اضبط سياسة التنفيذ على Restricted عبر Group Policy وسجّل كل أحداث تنفيذ PowerShell .
تعطيل مربع التشغيل في ويندوز: يمكن لتعديل السجل (NoRun) منع استخدام Win+R للصق وتنفيذ الأوامر .
التعامل مع تعليمات موجه الأوامر غير المطلوبة كعلامات خطر: لا يوجد موقع شرعي أو خدمة تطلب من المستخدم الضغط على Win+R ولصق أمر ثم Enter. يجب أن يكون هذا أول بند في تدريب التوعية .
منع تشغيل mshta وcscript وcurl من سياق المستخدم: استخدم AppLocker أو Windows Defender Application Control لتقييد مفسّرات النصوص .
نشر قواعد كشف على نقطة النهاية: راقب عمليات
powershell.exe -ep bypass
غير المعتادة وسلسلة العمليات من explorer.exe إلى مفسّرات النصوص ونتائج سجل RunMRU .
استخدام ميزات أمان الحافظة: يمكن لحماية الحافظة على مستوى المتصفح منع آلية النسخ واللصق الأساسية التي يعتمد عليها ClickFix.
ميزة Paste Protect من Opera
قدّمت متصفح Opera ميزة Paste Protect الأصلية (متوفرة في Opera 100+ على ويندوز وماك ولينكس) التي تعترض وتمنع هجمات pastejacking القائمة على الحافظة. عندما يحاول موقع كتابة حمولة مشبوهة إلى الحافظة برمجيًا ثم يطلب من المستخدم لصقها، تحذّر Paste Protect المستخدم وتمنع العملية من الإكمال. هذا يحيد تقنية ClickFix الأساسية مباشرة دون الحاجة لتثبيت إضافة.
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
ما هي الإجابة المختصرة على "ClickFix: أخطر هجوم هندسة اجتماعية يخترق أجهزتك عبر لوحة المفاتيح"؟
ClickFix ليست ثغرة برمجية بل تقنية هندسة اجتماعية تخدع الضحية لنسخ ولصق وتشغيل أوامر ضارة بنفسه، وقد شكلت 47% من هجمات الوصول الأولي في 2025 حسب ميكروسوفت، بارتفاع 517% في النصف الأول من العام.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
ClickFix ليست ثغرة برمجية بل تقنية هندسة اجتماعية تخدع الضحية لنسخ ولصق وتشغيل أوامر ضارة بنفسه، وقد شكلت 47% من هجمات الوصول الأولي في 2025 حسب ميكروسوفت، بارتفاع 517% في النصف الأول من العام. المهاجمون يزيّفون صفحات التحقق من Google reCAPTCHA وCloudflare ويطلبون من الضحية الضغط على Win+R ثم لصق أمر وتنفيذه، فيقوم بتحميل برامج خبيثة تسرق بيانات التصفح والمحافظ الرقمية وتخترق الأنظمة.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
البرامج التي تُنشر تشمل HijackLoader وCastleLoader وNetSupport RAT وStealC وAmatera وDeerStealer وResiLoader الذي يوقف أكثر من 140 عملية حماية قبل تسليم الحمولة النهائية.
