Miten ClickFix toimii: Nelivaiheinen petos

Hyökkäys noudattaa samaa kaavaa lähes kaikissa dokumentoiduissa kampanjoissa :

1. Viehe: Käyttäjä vierailee vaarannetulla tai haitallisella verkkosivulla ja kohtaa väärennetyn vahvistuskehoteen – väärennetyn Google reCAPTCHA:n, Cloudflaren "Vahvista, että olet ihminen" -sivun, väärän selainpäivitysilmoituksen tai petollisen QuickBooks- tai Booking.com-virhenäytön .
2. Kopioi-liitä -ohje: Sivu näyttää ohjeen: "Paina Win + R, paina Ctrl + V ja paina Enter" suorittaaksesi vahvistustehtävän .
3. Piilotettu haittaohjelma: Leikepöydälle on kopioitu haitallinen PowerShell-, mshta- tai curl-komento, joka lataa ja suorittaa haittaohjelman etäpalvelimelta .
4. Suoritus: Komento ajetaan käyttäjän omilla oikeuksilla. Koska käyttäjä itse liittää ja suorittaa sen, päätepisteen suojausohjelmistot eivät usein tunnista sitä tunkeutumiseksi .

Tätä tekniikkaa kutsutaan myös pastejackingiksi, koska se käyttää leikepöytää tartuntavektorina .

ClickFix-kampanjoissa jaetut haittaohjelmat

Hyökkääjät ovat käyttäneet ClickFix-vieheitä monenlaisten haittaohjelmien levittämiseen, usein monivaiheisissa tartuntaketjuissa:

• HijackLoader: Ensimmäisen vaiheen kuormaaja, jota on havaittu ClickFix-ketjuissa ainakin kesäkuusta 2025 lähtien, ja sitä seuraa usein DeerStealer-tietovarastaja .
• CastleLoader (tunnetaan myös nimellä CastleBot): Haittaohjelma-palveluna -viitekehys, joka on ollut aktiivinen vuoden 2025 alusta lähtien. Yksi kampanja käytti väärennettyä taustanpoistosivustoa toimittaakseen CastleLoaderin, joka asensi NetSupport RAT:n ja mukautetun .NET-varastajan, joka kohdistuu selaintunnuksiin, kryptolompakoihin ja Telegram-istuntoihin .
• NetSupport RAT: Laillinen etähallintatyökalu, jota hyökkääjät käyttävät pysyvään takaoveen .
• StealC: Tietovarastaja, joka kohdistuu selaintunnuksiin ja kryptolompakoihin .
• Amatera: Tietovarastaja, jota levitettiin ClickFix-kampanjassa, joka yhdisti väärennetyt CAPTCHA:t allekirjoitettuihin Microsoft App-V -skripteihin .
• Rust-pohjainen varastaja: Dokumentoitu polymorfisissa ClickFix-kampanjoissa, jotka alkoivat vuoden 2025 lopulla .
• DeerStealer: Havaittu lopullisena suoritettavana tiedostona HijackLoaderin jälkeen .
• ResiLoader: Äskettäin dokumentoitu kuormaaja, joka on suunniteltu erityisesti pysäyttämään yli 140 virustorjunta- ja suojausprosessia uhrin koneella, mikä käytännössä poistaa suojauksen ennen lopullisen haittaohjelman suorittamista .

Levitysmenetelmät

Hyökkääjät käyttävät monipuolista infrastruktuuria ClickFix-hyökkäysten isännöintiin ja levittämiseen:

• Cloudflare R2 -tallennustila: Käytetään haitallisten hyötykuormien isännöintiin .
• Cloudflare Pages -alidomainit: Väärinkäytetään väärennettyjen CAPTCHA-sivujen tarjoamiseen Cloudflaren omalla luotetulla varmenteella .
• Dedik Services Limited -isännöinti: Havaittu ClickFix-komento- ja ohjausinfrastruktuurin isännöintipalveluna .
• Vanhentuneet verkkotunnukset: Rekisteröidyt tai uudelleen rekisteröidyt vanhentuneet verkkotunnukset, joita käytetään tunnusten keräämiseen ja haittaohjelmien toimittamiseen .
• Vaarannetut verkkosivustot: Yleisin alkuperäinen vektori. Hyökkääjät lisäävät haitallista JavaScriptiä tai iframeja laillisille sivuille (usein lisäosahaavoittuvuuksien tai CMS-haavoittuvuuksien kautta), jotka ohjaavat kävijät ClickFix-aloitussivuille .
• SEO-myrkytys ja haittamainonta: Väärennetyt asennussivustot ja piraattiohjelmistoportaalit, joita mainostetaan hakukonetuloksissa .
• Ghost CMS -haavoittuvuuden hyväksikäyttö: Toukokuussa 2026 hyökkääjät käyttivät kriittistä Ghost CMS SQL-injektiohaavoittuvuutta (CVE‑2026‑26980) kaapatakseen yli 700 laillista koulutus- ja teknologiaverkkosivustoa ja lisätäkseen niihin ClickFix-kehotteita .

Miksi ClickFix on niin merkittävä uhka

• Microsoftin vuoden 2025 Digital Defense -raportti tunnisti ClickFixin yleisimmäksi alkuperäiseksi pääsymenetelmäksi, joka vastasi 47 %:sta kaikista hyökkäyksistä, joita Microsoft Defender Experts havaitsi edellisen vuoden aikana – ohittaen perinteisen tietojenkalastelun (35 %) .
• ESETin telemetria tallensi 517 %:n kasvun ClickFix-hyökkäyksissä pelkästään vuoden 2025 ensimmäisellä puoliskolla .
• Yhdessä Menlo Labsin dokumentoimassa kampanjassa ClickFix toimitti alustojen välisiä haittaohjelmia: Windows PowerShell -komentoja, macOS .command-skriptejä ja Linux Bash -skriptejä yhdestä polymorfisesta JavaScript-vieheestä .
• Yhdysvaltain terveysministeriö (HHS) antoi toimialakohtaisen hälytyksen ClickFixistä heinäkuussa 2026, mikä vahvistaa tekniikan ulottumisen kriittiseen infrastruktuuriin .
• Recorded Futuren Insikt Group arvioi maaliskuussa 2026, että ClickFix todennäköisesti pysyy hallitsevana alkuperäisenä pääsyvektorina koko vuoden 2026 .

Suojautuminen: Mitä tutkijat suosittelevat

Koska ClickFix hyödyntää ihmisen käyttäytymistä eikä ohjelmistohaavoittuvuutta, suojautuminen perustuu vahvasti teknisiin hallintakeinoihin ja käyttäjien tietoisuuteen :

• Rajoita PowerShellin suorittamista: Estä muita kuin järjestelmänvalvojia suorittamasta PowerShell-skriptejä. Aseta suorituskäytäntö Rajoitettu (Restricted) -tilaan ryhmäkäytännön avulla ja kirjaa kaikki PowerShellin suoritustapahtumat .
• Poista Windowsin Suorita-ikkuna käytöstä: Rekisterimuutoksella (NoRun-käytäntö) voidaan estää Win+R:n käyttö komentojen liittämiseen ja suorittamiseen .
• Pidä pyytämättömiä komentokehoteohjeita hälytysmerkkeinä: Mikään laillinen verkkosivusto tai palvelu ei pyydä käyttäjää painamaan Win+R, liittämään komentoa ja painamaan Enter. Tämän tulisi olla tärkein käyttäjien tietoisuuskoulutuksen aihe .
• Estä mshta, cscript ja curl käyttäjäkontekstin suorituksesta: Käytä AppLockeria tai Windows Defender Application Controlia rajoittaaksesi skriptitulkkeja .
• Ota käyttöön päätepisteen tunnistussäännöt: Tarkkaile epätavallisia powershell.exe -ep bypass -emoprosesseja, prosessiperimää explorer.exe-tiedostosta skriptitulkkeihin ja RunMRU-rekisteritietoja .
• Käytä leikepöydän suojausominaisuuksia: Selainpohjaiset leikepöydän suojaukset voivat estää ydinkopioi-ja-liitä-mekanismin, johon ClickFix perustuu.

Operan Paste Protect -ominaisuus

Opera esitteli natiivin Paste Protect -ominaisuuden (saatavilla Opera 100+ -versiossa Windowsissa, macOS:ssä ja Linuxissa), joka sieppaa ja estää leikepöytään perustuvat pastejacking-hyökkäykset. Kun verkkosivusto yrittää kirjoittaa haitallisen hyötykuorman leikepöydälle ja kehottaa käyttäjää liittämään sen, Paste Protect varoittaa käyttäjää ja estää toiminnon loppuun saattamisen. Tämä lieventää suoraan ClickFixin ydintekniikkaa ilman, että tarvitaan lisäosien asennusta.

Miten ClickFix toimii: Nelivaiheinen petos

Hyökkäys noudattaa samaa kaavaa lähes kaikissa dokumentoiduissa kampanjoissa :

1. Viehe: Käyttäjä vierailee vaarannetulla tai haitallisella verkkosivulla ja kohtaa väärennetyn vahvistuskehoteen – väärennetyn Google reCAPTCHA:n, Cloudflaren "Vahvista, että olet ihminen" -sivun, väärän selainpäivitysilmoituksen tai petollisen QuickBooks- tai Booking.com-virhenäytön .
2. Kopioi-liitä -ohje: Sivu näyttää ohjeen: "Paina Win + R, paina Ctrl + V ja paina Enter" suorittaaksesi vahvistustehtävän .
3. Piilotettu haittaohjelma: Leikepöydälle on kopioitu haitallinen PowerShell-, mshta- tai curl-komento, joka lataa ja suorittaa haittaohjelman etäpalvelimelta .
4. Suoritus: Komento ajetaan käyttäjän omilla oikeuksilla. Koska käyttäjä itse liittää ja suorittaa sen, päätepisteen suojausohjelmistot eivät usein tunnista sitä tunkeutumiseksi .

Tätä tekniikkaa kutsutaan myös pastejackingiksi, koska se käyttää leikepöytää tartuntavektorina .

ClickFix-kampanjoissa jaetut haittaohjelmat

Hyökkääjät ovat käyttäneet ClickFix-vieheitä monenlaisten haittaohjelmien levittämiseen, usein monivaiheisissa tartuntaketjuissa:

• HijackLoader: Ensimmäisen vaiheen kuormaaja, jota on havaittu ClickFix-ketjuissa ainakin kesäkuusta 2025 lähtien, ja sitä seuraa usein DeerStealer-tietovarastaja .
• CastleLoader (tunnetaan myös nimellä CastleBot): Haittaohjelma-palveluna -viitekehys, joka on ollut aktiivinen vuoden 2025 alusta lähtien. Yksi kampanja käytti väärennettyä taustanpoistosivustoa toimittaakseen CastleLoaderin, joka asensi NetSupport RAT:n ja mukautetun .NET-varastajan, joka kohdistuu selaintunnuksiin, kryptolompakoihin ja Telegram-istuntoihin .
• NetSupport RAT: Laillinen etähallintatyökalu, jota hyökkääjät käyttävät pysyvään takaoveen .
• StealC: Tietovarastaja, joka kohdistuu selaintunnuksiin ja kryptolompakoihin .
• Amatera: Tietovarastaja, jota levitettiin ClickFix-kampanjassa, joka yhdisti väärennetyt CAPTCHA:t allekirjoitettuihin Microsoft App-V -skripteihin .
• Rust-pohjainen varastaja: Dokumentoitu polymorfisissa ClickFix-kampanjoissa, jotka alkoivat vuoden 2025 lopulla .
• DeerStealer: Havaittu lopullisena suoritettavana tiedostona HijackLoaderin jälkeen .
• ResiLoader: Äskettäin dokumentoitu kuormaaja, joka on suunniteltu erityisesti pysäyttämään yli 140 virustorjunta- ja suojausprosessia uhrin koneella, mikä käytännössä poistaa suojauksen ennen lopullisen haittaohjelman suorittamista .

Levitysmenetelmät

Hyökkääjät käyttävät monipuolista infrastruktuuria ClickFix-hyökkäysten isännöintiin ja levittämiseen:

• Cloudflare R2 -tallennustila: Käytetään haitallisten hyötykuormien isännöintiin .
• Cloudflare Pages -alidomainit: Väärinkäytetään väärennettyjen CAPTCHA-sivujen tarjoamiseen Cloudflaren omalla luotetulla varmenteella .
• Dedik Services Limited -isännöinti: Havaittu ClickFix-komento- ja ohjausinfrastruktuurin isännöintipalveluna .
• Vanhentuneet verkkotunnukset: Rekisteröidyt tai uudelleen rekisteröidyt vanhentuneet verkkotunnukset, joita käytetään tunnusten keräämiseen ja haittaohjelmien toimittamiseen .
• Vaarannetut verkkosivustot: Yleisin alkuperäinen vektori. Hyökkääjät lisäävät haitallista JavaScriptiä tai iframeja laillisille sivuille (usein lisäosahaavoittuvuuksien tai CMS-haavoittuvuuksien kautta), jotka ohjaavat kävijät ClickFix-aloitussivuille .
• SEO-myrkytys ja haittamainonta: Väärennetyt asennussivustot ja piraattiohjelmistoportaalit, joita mainostetaan hakukonetuloksissa .
• Ghost CMS -haavoittuvuuden hyväksikäyttö: Toukokuussa 2026 hyökkääjät käyttivät kriittistä Ghost CMS SQL-injektiohaavoittuvuutta (CVE‑2026‑26980) kaapatakseen yli 700 laillista koulutus- ja teknologiaverkkosivustoa ja lisätäkseen niihin ClickFix-kehotteita .

Miksi ClickFix on niin merkittävä uhka

• Microsoftin vuoden 2025 Digital Defense -raportti tunnisti ClickFixin yleisimmäksi alkuperäiseksi pääsymenetelmäksi, joka vastasi 47 %:sta kaikista hyökkäyksistä, joita Microsoft Defender Experts havaitsi edellisen vuoden aikana – ohittaen perinteisen tietojenkalastelun (35 %) .
• ESETin telemetria tallensi 517 %:n kasvun ClickFix-hyökkäyksissä pelkästään vuoden 2025 ensimmäisellä puoliskolla .
• Yhdessä Menlo Labsin dokumentoimassa kampanjassa ClickFix toimitti alustojen välisiä haittaohjelmia: Windows PowerShell -komentoja, macOS .command-skriptejä ja Linux Bash -skriptejä yhdestä polymorfisesta JavaScript-vieheestä .
• Yhdysvaltain terveysministeriö (HHS) antoi toimialakohtaisen hälytyksen ClickFixistä heinäkuussa 2026, mikä vahvistaa tekniikan ulottumisen kriittiseen infrastruktuuriin .
• Recorded Futuren Insikt Group arvioi maaliskuussa 2026, että ClickFix todennäköisesti pysyy hallitsevana alkuperäisenä pääsyvektorina koko vuoden 2026 .

Suojautuminen: Mitä tutkijat suosittelevat

Koska ClickFix hyödyntää ihmisen käyttäytymistä eikä ohjelmistohaavoittuvuutta, suojautuminen perustuu vahvasti teknisiin hallintakeinoihin ja käyttäjien tietoisuuteen :

• Rajoita PowerShellin suorittamista: Estä muita kuin järjestelmänvalvojia suorittamasta PowerShell-skriptejä. Aseta suorituskäytäntö Rajoitettu (Restricted) -tilaan ryhmäkäytännön avulla ja kirjaa kaikki PowerShellin suoritustapahtumat .
• Poista Windowsin Suorita-ikkuna käytöstä: Rekisterimuutoksella (NoRun-käytäntö) voidaan estää Win+R:n käyttö komentojen liittämiseen ja suorittamiseen .
• Pidä pyytämättömiä komentokehoteohjeita hälytysmerkkeinä: Mikään laillinen verkkosivusto tai palvelu ei pyydä käyttäjää painamaan Win+R, liittämään komentoa ja painamaan Enter. Tämän tulisi olla tärkein käyttäjien tietoisuuskoulutuksen aihe .
• Estä mshta, cscript ja curl käyttäjäkontekstin suorituksesta: Käytä AppLockeria tai Windows Defender Application Controlia rajoittaaksesi skriptitulkkeja .
• Ota käyttöön päätepisteen tunnistussäännöt: Tarkkaile epätavallisia powershell.exe -ep bypass -emoprosesseja, prosessiperimää explorer.exe-tiedostosta skriptitulkkeihin ja RunMRU-rekisteritietoja .
• Käytä leikepöydän suojausominaisuuksia: Selainpohjaiset leikepöydän suojaukset voivat estää ydinkopioi-ja-liitä-mekanismin, johon ClickFix perustuu.

Operan Paste Protect -ominaisuus

Opera esitteli natiivin Paste Protect -ominaisuuden (saatavilla Opera 100+ -versiossa Windowsissa, macOS:ssä ja Linuxissa), joka sieppaa ja estää leikepöytään perustuvat pastejacking-hyökkäykset. Kun verkkosivusto yrittää kirjoittaa haitallisen hyötykuorman leikepöydälle ja kehottaa käyttäjää liittämään sen, Paste Protect varoittaa käyttäjää ja estää toiminnon loppuun saattamisen. Tämä lieventää suoraan ClickFixin ydintekniikkaa ilman, että tarvitaan lisäosien asennusta.