Sådan fungerer ClickFix: Fire trin i bedragelsen

Angrebet følger et gennemgående mønster i næsten alle dokumenterede kampagner :

1. Lokkemaden: En bruger besøger en kompromitteret eller useriøs hjemmeside og møder en forfalsket verificeringsprompt – en falsk Google reCAPTCHA, en uægte Cloudflare "Bekræft at du er menneske"-side, en falsk browseropdateringsbesked eller en svigagtig QuickBooks- eller Booking.com-fejlmeddelelse .
2. Kopier-indsæt-instruktion: Siden viser instruktioner som: "Tryk Win+R, tryk derefter Ctrl+V, tryk derefter Enter" for at fuldføre verificeringen .
3. Den skjulte nyttelast: Det, der blev kopieret til brugerens udklipsholder, er en ondsindet PowerShell-, mshta- eller curl-kommando, der downloader og udfører en malware-loader fra en ekstern server .
4. Udførelse: Kommandoen kører med brugerens egne rettigheder. Fordi brugeren selv har indsat og startet den, opdages den sjældent som et indtrængningsforsøg af endpoint detection-værktøjer .

Teknikken kaldes også pastejacking, fordi den udnytter udklipsholderen som infektionsvektor .

Malware-typer leveret i ClickFix-kampagner

Angribere har brugt ClickFix-lokkemad til at levere en bred vifte af malware, ofte i flertrins infektionskæder:

• HijackLoader: En første-trins-loader observeret i ClickFix-kæder siden mindst juni 2025, ofte efterfulgt af DeerStealer-infostealeren .
• CastleLoader (også kendt som CastleBot): Et malware-som-en-tjeneste framework aktivt siden starten af 2025. En kampagne brugte en falsk baggrundsfjernelses-hjemmeside til at levere CastleLoader, som derefter installerede NetSupport RAT og en specialbygget .NET-stealer, der målrettede browserlegitimationsoplysninger, cryptocurrency-tegnebøger og Telegram-sessioner .
• NetSupport RAT: Et legitimt fjernadministrationsværktøj, der er blevet misbrugt af angribere til vedvarende bagdørsadgang .
• StealC: En informationsstjælende trojan, der målretter browserlegitimationsoplysninger og cryptocurrency-tegnebøger .
• Amatera: En infostealer distribueret via en ClickFix-kampagne, der kombinerede falske CAPTCHA'er med signerede Microsoft App-V-scripts .
• Rust-baseret stealer: Dokumenteret i polymorfe ClickFix-kampagner, der begyndte i slutningen af 2025 .
• DeerStealer: Observeret som den endelige eksekverbare nyttelast leveret efter HijackLoader .
• ResiLoader: En nyligt dokumenteret loader designet specifikt til at stoppe over 140 antivirus- og sikkerhedsværktøjsprocesser på ofrets maskine, hvilket effektivt deaktiverer forsvaret, før den endelige nyttelast kører .

Distributionsmetoder

Angribere udnytter en bred vifte af infrastruktur til at hoste og levere ClickFix-angreb:

• Cloudflare R2 storage: Bruges til at hoste ondsindede binære filer .
• Cloudflare Pages-subdomæner: Misbrugt til at levere falske CAPTCHA-sider med Cloudflares eget betroede certifikat .
• Dedik Services Limited-hosting: Observeret som hostingudbyder for ClickFixs kommandoudstyringsinfrastruktur .
• Udløbne domæner: Registrerede eller genregistrerede udløbne domæner brugt til legitimationshøst og nyttelastlevering .
• Kompromitterede hjemmesider: Den mest almindelige indledende vektor. Angribere injicerer ondsindet JavaScript eller iframes på legitime sider (ofte via plugin-sårbarheder eller CMS-udnyttelser), der omdirigerer besøgende til ClickFix-landingssider .
• SEO-forgiftning og malvertising: Falske installationssider og portalsider med piratkopieret software skubbet via søgemaskineresultater .
• Udnyttelse af Ghost CMS-sårbarhed: I maj 2026 misbrugte angribere en kritisk Ghost CMS SQL-injektionssårbarhed (CVE‑2026‑26980) til at kapre over 700 legitime uddannelses- og teknologihjemmesider og injicere ClickFix-prompter .

Truslens betydning: Hvorfor ClickFix dominerer

• Microsofts 2025 Digital Defense Report identificerede ClickFix som den #1 initialangrebsmetode, ansvarlig for 47 % af alle angreb observeret af Microsoft Defender Experts i løbet af det foregående år – og overgik dermed almindeligt phishing (35 %) .
• ESET-telemetri registrerede en 517 % stigning i ClickFix-angreb i første halvdel af 2025 alene .
• I en kampagne dokumenteret af Menlo Labs leverede ClickFix platformsuafhængige nyttelaster: Windows PowerShell-kommandoer, macOS .command-scripts og Linux Bash-scripts fra en enkelt polymorf JavaScript-lokkemad .
• Det amerikanske sundhedsministerium (HHS) udsendte en sektoralarm om ClickFix i juli 2026, hvilket bekræfter metodens rækkevidde ind i kritisk infrastruktur .
• Recorded Futures Insikt Group vurderede i marts 2026, at ClickFix sandsynligvis vil forblive den dominerende initialangrebsvektor gennem 2026 .

Forsvarsforanstaltninger: Hvad forskerne anbefaler

Fordi ClickFix udnytter menneskelig adfærd frem for en softwaresårbarhed, afhænger forsvar i høj grad af tekniske kontroller og brugerbevidsthed :

• Begræns PowerShell-udførelse: Bloker ikke-administrative brugere fra at køre PowerShell-scripts. Indstil udførelsespolitikken til Restricted via Group Policy, og log alle PowerShell-udførelseshændelser .
• Deaktiver Windows Run-boksen: En registry-modifikation (NoRun-politik) kan forhindre Win+R i at blive brugt til at indsætte og udføre kommandoer .
• Behandl uopfordrede kommandoprompter som røde flag: Ingen legitim hjemmeside eller tjeneste beder en bruger om at trykke Win+R, indsætte en kommando og trykke Enter. Dette bør være det øverste punkt i brugerbevidsthedstræning .
• Bloker mshta, cscript og curl fra brugerkontekstudførelse: Brug AppLocker eller Windows Defender Application Control til at begrænse scriptfortolkere .
• Implementér endpoint-detektionsregler: Overvåg for usædvanlige powershell.exe -ep bypass-overordnede processer, procesafstamning fra explorer.exe til scriptfortolkere og RunMRU-registry-artefakter .
• Brug udklipsholdersikkerhedsfunktioner: Beskyttelse af udklipsholderen på browserniveau kan forhindre den centrale kopier-indsæt-mekanisme, som ClickFix er afhængig af.

Operas Paste Protect-funktion

Opera introducerede en indbygget Paste Protect-funktion (tilgængelig i Opera 100+ på tværs af Windows, macOS og Linux), der opsnapper og blokerer udklipsholderbaserede pastejacking-angreb. Når en hjemmeside forsøger at skrive en mistænkelig nyttelast til udklipsholderen programmatisk og derefter beder brugeren om at indsætte den, advarer Paste Protect brugeren og blokerer handlingen. Dette afbøder direkte ClickFixs kerneteknik uden at kræve installation af nogen udvidelse.

Sådan fungerer ClickFix: Fire trin i bedragelsen

Angrebet følger et gennemgående mønster i næsten alle dokumenterede kampagner :

1. Lokkemaden: En bruger besøger en kompromitteret eller useriøs hjemmeside og møder en forfalsket verificeringsprompt – en falsk Google reCAPTCHA, en uægte Cloudflare "Bekræft at du er menneske"-side, en falsk browseropdateringsbesked eller en svigagtig QuickBooks- eller Booking.com-fejlmeddelelse .
2. Kopier-indsæt-instruktion: Siden viser instruktioner som: "Tryk Win+R, tryk derefter Ctrl+V, tryk derefter Enter" for at fuldføre verificeringen .
3. Den skjulte nyttelast: Det, der blev kopieret til brugerens udklipsholder, er en ondsindet PowerShell-, mshta- eller curl-kommando, der downloader og udfører en malware-loader fra en ekstern server .
4. Udførelse: Kommandoen kører med brugerens egne rettigheder. Fordi brugeren selv har indsat og startet den, opdages den sjældent som et indtrængningsforsøg af endpoint detection-værktøjer .

Teknikken kaldes også pastejacking, fordi den udnytter udklipsholderen som infektionsvektor .

Malware-typer leveret i ClickFix-kampagner

Angribere har brugt ClickFix-lokkemad til at levere en bred vifte af malware, ofte i flertrins infektionskæder:

• HijackLoader: En første-trins-loader observeret i ClickFix-kæder siden mindst juni 2025, ofte efterfulgt af DeerStealer-infostealeren .
• CastleLoader (også kendt som CastleBot): Et malware-som-en-tjeneste framework aktivt siden starten af 2025. En kampagne brugte en falsk baggrundsfjernelses-hjemmeside til at levere CastleLoader, som derefter installerede NetSupport RAT og en specialbygget .NET-stealer, der målrettede browserlegitimationsoplysninger, cryptocurrency-tegnebøger og Telegram-sessioner .
• NetSupport RAT: Et legitimt fjernadministrationsværktøj, der er blevet misbrugt af angribere til vedvarende bagdørsadgang .
• StealC: En informationsstjælende trojan, der målretter browserlegitimationsoplysninger og cryptocurrency-tegnebøger .
• Amatera: En infostealer distribueret via en ClickFix-kampagne, der kombinerede falske CAPTCHA'er med signerede Microsoft App-V-scripts .
• Rust-baseret stealer: Dokumenteret i polymorfe ClickFix-kampagner, der begyndte i slutningen af 2025 .
• DeerStealer: Observeret som den endelige eksekverbare nyttelast leveret efter HijackLoader .
• ResiLoader: En nyligt dokumenteret loader designet specifikt til at stoppe over 140 antivirus- og sikkerhedsværktøjsprocesser på ofrets maskine, hvilket effektivt deaktiverer forsvaret, før den endelige nyttelast kører .

Distributionsmetoder

Angribere udnytter en bred vifte af infrastruktur til at hoste og levere ClickFix-angreb:

• Cloudflare R2 storage: Bruges til at hoste ondsindede binære filer .
• Cloudflare Pages-subdomæner: Misbrugt til at levere falske CAPTCHA-sider med Cloudflares eget betroede certifikat .
• Dedik Services Limited-hosting: Observeret som hostingudbyder for ClickFixs kommandoudstyringsinfrastruktur .
• Udløbne domæner: Registrerede eller genregistrerede udløbne domæner brugt til legitimationshøst og nyttelastlevering .
• Kompromitterede hjemmesider: Den mest almindelige indledende vektor. Angribere injicerer ondsindet JavaScript eller iframes på legitime sider (ofte via plugin-sårbarheder eller CMS-udnyttelser), der omdirigerer besøgende til ClickFix-landingssider .
• SEO-forgiftning og malvertising: Falske installationssider og portalsider med piratkopieret software skubbet via søgemaskineresultater .
• Udnyttelse af Ghost CMS-sårbarhed: I maj 2026 misbrugte angribere en kritisk Ghost CMS SQL-injektionssårbarhed (CVE‑2026‑26980) til at kapre over 700 legitime uddannelses- og teknologihjemmesider og injicere ClickFix-prompter .

Truslens betydning: Hvorfor ClickFix dominerer

• Microsofts 2025 Digital Defense Report identificerede ClickFix som den #1 initialangrebsmetode, ansvarlig for 47 % af alle angreb observeret af Microsoft Defender Experts i løbet af det foregående år – og overgik dermed almindeligt phishing (35 %) .
• ESET-telemetri registrerede en 517 % stigning i ClickFix-angreb i første halvdel af 2025 alene .
• I en kampagne dokumenteret af Menlo Labs leverede ClickFix platformsuafhængige nyttelaster: Windows PowerShell-kommandoer, macOS .command-scripts og Linux Bash-scripts fra en enkelt polymorf JavaScript-lokkemad .
• Det amerikanske sundhedsministerium (HHS) udsendte en sektoralarm om ClickFix i juli 2026, hvilket bekræfter metodens rækkevidde ind i kritisk infrastruktur .
• Recorded Futures Insikt Group vurderede i marts 2026, at ClickFix sandsynligvis vil forblive den dominerende initialangrebsvektor gennem 2026 .

Forsvarsforanstaltninger: Hvad forskerne anbefaler

Fordi ClickFix udnytter menneskelig adfærd frem for en softwaresårbarhed, afhænger forsvar i høj grad af tekniske kontroller og brugerbevidsthed :

• Begræns PowerShell-udførelse: Bloker ikke-administrative brugere fra at køre PowerShell-scripts. Indstil udførelsespolitikken til Restricted via Group Policy, og log alle PowerShell-udførelseshændelser .
• Deaktiver Windows Run-boksen: En registry-modifikation (NoRun-politik) kan forhindre Win+R i at blive brugt til at indsætte og udføre kommandoer .
• Behandl uopfordrede kommandoprompter som røde flag: Ingen legitim hjemmeside eller tjeneste beder en bruger om at trykke Win+R, indsætte en kommando og trykke Enter. Dette bør være det øverste punkt i brugerbevidsthedstræning .
• Bloker mshta, cscript og curl fra brugerkontekstudførelse: Brug AppLocker eller Windows Defender Application Control til at begrænse scriptfortolkere .
• Implementér endpoint-detektionsregler: Overvåg for usædvanlige powershell.exe -ep bypass-overordnede processer, procesafstamning fra explorer.exe til scriptfortolkere og RunMRU-registry-artefakter .
• Brug udklipsholdersikkerhedsfunktioner: Beskyttelse af udklipsholderen på browserniveau kan forhindre den centrale kopier-indsæt-mekanisme, som ClickFix er afhængig af.

Operas Paste Protect-funktion

Opera introducerede en indbygget Paste Protect-funktion (tilgængelig i Opera 100+ på tværs af Windows, macOS og Linux), der opsnapper og blokerer udklipsholderbaserede pastejacking-angreb. Når en hjemmeside forsøger at skrive en mistænkelig nyttelast til udklipsholderen programmatisk og derefter beder brugeren om at indsætte den, advarer Paste Protect brugeren og blokerer handlingen. Dette afbøder direkte ClickFixs kerneteknik uden at kræve installation af nogen udvidelse.