ClickFix: Jak falešné CAPTCHA a Cloudflare stránky nutí uživatele spustit si malware vlastníma rukama

1. Návnada: Uživatel navštíví kompromitovaný nebo podvodný web a narazí na padělanou výzvu k ověření — falešnou Google reCAPTCHA, napodobeninu Cloudflare stránky „Ověřte, že jste člověk“, falešnou zprávu o aktualizaci prohlížeče nebo podvodnou chybovou hlášku QuickBooks či Booking.com .
2. Instrukce ke kopírování a vložení: Stránka zobrazí instrukce jako: „Stiskněte Win + R, poté Ctrl + V a poté Enter“ pro dokončení ověřovacího úkolu .
3. Skrytý payload: Do schránky uživatele se zkopíruje škodlivý PowerShell, mshta nebo curl příkaz, který stáhne a spustí malware loader ze vzdáleného serveru .
4. Spuštění: Příkaz se spustí s oprávněními samotného uživatele. Protože ho uživatel sám vložil a spustil, nástroje pro detekci na koncových bodech jej často neoznačí jako průnik .

Tato technika se také nazývá pastejacking, protože zneužívá schránku jako vektor infekce .

Doručované payloady v ClickFix kampaních

Útočníci pomocí ClickFix návnad doručují širokou škálu malwaru, často ve vícefázových řetězcích infekce:

• HijackLoader: Loader první fáze pozorovaný v ClickFix řetězcích nejméně od června 2025, často následovaný DeerStealer infostealerem .
• CastleLoader (alias CastleBot): Framework malware-as-a-service aktivní od začátku roku 2025. Jedna kampaň použila falešný web na odstraňování pozadí k doručení CastleLoaderu, který pak nainstaloval NetSupport RAT a vlastní .NET stealer zaměřený na přihlašovací údaje z prohlížečů, kryptoměnové peněženky a Telegram sezení .
• NetSupport RAT: Legitimní nástroj pro vzdálenou správu zneužitý útočníky k trvalému backdoor přístupu .
• StealC: Informační trojský kůň zaměřený na přihlašovací údaje z prohlížečů a kryptoměnové peněženky .
• Amatera: Infostealer distribuovaný prostřednictvím ClickFix kampaně, která kombinovala falešné CAPTCHA s podepsanými Microsoft App-V skripty .
• Stealer v jazyce Rust: Zdokumentován v polymorfních ClickFix kampaních, které začaly koncem roku 2025 .
• DeerStealer: Pozorován jako finální spustitelný payload doručený po HijackLoaderu .
• ResiLoader: Nově zdokumentovaný loader navržený speciálně k ukončení více než 140 antivirových a bezpečnostních procesů na počítači oběti, čímž účinně deaktivuje obranu před spuštěním finálního payloadu .

Způsoby distribuce

Útočníci využívají širokou škálu infrastruktury k hostování a doručování ClickFix útoků:

• Cloudflare R2 úložiště: Používáno k hostování binárních souborů payloadů .
• Cloudflare Pages subdomény: Zneužívány k servírování falešných CAPTCHA stránek s vlastním důvěryhodným certifikátem Cloudflare .
• Dedik Services Limited hosting: Pozorován jako poskytovatel hostingu pro ClickFix command-and-control infrastrukturu .
• Prošlé domény: Registrované nebo znovu registrované prošlé domény používané pro krádež pověření a doručování payloadů .
• Kompromitované weby: Nejběžnější počáteční vektor. Útočníci vkládají škodlivý JavaScript nebo iframe do legitimních stránek (často prostřednictvím zranitelností pluginů nebo CMS), které přesměrují návštěvníky na ClickFix vstupní stránky .
• SEO poisoning a malvertising: Falešné instalační weby a portály s pirátským softwarem propagované prostřednictvím výsledků vyhledávačů .
• Zneužití zranitelnosti Ghost CMS: V květnu 2026 útočníci zneužili kritickou zranitelnost SQL injection v Ghost CMS (CVE‑2026‑26980) k únosu více než 700 legitimních vzdělávacích a technologických webů a vložení ClickFix výzev .

Význam hrozby: Proč ClickFix dominuje

• Zpráva Microsoft Digital Defense Report 2025 označila ClickFix za #1 metodu počátečního přístupu, zodpovědnou za 47 % všech útoků pozorovaných Microsoft Defender Experts za předchozí rok — čímž překonal tradiční phishing (35 %) .
• Telemetrie ESET zaznamenala 517% nárůst ClickFix útoků jen v první polovině roku 2025 .
• V jedné kampani zdokumentované Menlo Labs ClickFix doručoval cross-platform payloady: Windows PowerShell příkazy, macOS .command skripty a Linux Bash skripty z jediného polymorfního JavaScript lákadla .
• Americké ministerstvo zdravotnictví a sociálních služeb (HHS) vydalo v červenci 2026 sektorové varování o ClickFix, čímž potvrdilo dosah této techniky do kritické infrastruktury .
• Skupina Insikt společnosti Recorded Future v březnu 2026 vyhodnotila, že ClickFix s velkou pravděpodobností zůstane dominantním vektorem počátečního přístupu po celý rok 2026 .

Obranná opatření: Co doporučují výzkumníci

Protože ClickFix zneužívá lidské chování spíše než zranitelnost softwaru, obrana se silně spoléhá na technické kontroly a povědomí uživatelů :

• Omezte spouštění PowerShellu: Zablokujte neadministrativním uživatelům spouštění PowerShell skriptů. Nastavte zásady spouštění na Restricted prostřednictvím Group Policy a zaznamenávejte všechny události spuštění PowerShellu .
• Zakažte dialogové okno Spustit ve Windows: Úprava registru (zásada NoRun) může zabránit použití Win+R k vložení a spuštění příkazů .
• Považujte nevyžádané instrukce k zadání příkazu za varovný signál: Žádný legitimní web ani služba nežádá uživatele, aby stiskl Win+R, vložil příkaz a stiskl Enter. Toto by měla být priorita číslo jedna v školení uživatelů .
• Zablokujte spouštění mshta, cscript a curl v kontextu uživatele: Použijte AppLocker nebo Windows Defender Application Control k omezení skriptovacích interpretů .
• Nasaďte pravidla pro detekci na koncových bodech: Sledujte neobvyklé rodičovské procesy

  powershell.exe -ep bypass

  , linii procesů od explorer.exe ke skriptovacím interpretům a artefakty registru RunMRU .
• Používejte bezpečnostní funkce schránky: Ochrana schránky na úrovni prohlížeče může zabránit základnímu mechanismu kopírování a vkládání, na který se ClickFix spoléhá.

Funkce Paste Protect v prohlížeči Opera

Opera představila nativní funkci Paste Protect (dostupnou v Opeře 100+ na Windows, macOS a Linux), která zachycuje a blokuje útoky pastejacking založené na schránce. Když se webová stránka pokusí programově zapsat podezřelý payload do schránky a poté vyzve uživatele k jeho vložení, Paste Protect uživatele varuje a zablokuje dokončení operace. To přímo zmírňuje základní techniku ClickFix bez nutnosti instalace jakéhokoli rozšíření.