איך ClickFix עובד: ארבעת שלבי ההונאה

המתקפה עוקבת אחר דפוס עקבי כמעט בכל הקמפיינים המתועדים :

1. הפיתיון: המשתמש מגיע לאתר שנפרץ או לאתר זדוני ונתקל בהנחיית אימות מזויפת – CAPTCHA מזויף של גוגל, דף 'Verify you are human' של Cloudflare, הודעת עדכון דפדפן מזויפת, או מסך שגיאה מזויף של QuickBooks או Booking.com .
2. הוראת ההעתקה-הדבקה: הדף מציג הוראות כמו: "לחץ Win + R, אחר כך Ctrl + V, ואז Enter" כדי להשלים את תהליך האימות .
3. המטען הנסתר: מה שהועתק ללוח המשתמש הוא למעשה פקודת PowerShell, mshta או curl זדונית, המורידה ומריצה מטען נוזקה משרת מרוחק .
4. ביצוע: הפקודה רצה עם ההרשאות של המשתמש עצמו. מכיוון שהמשתמש הוא שהדביק והריץ אותה, כלי זיהוי בקצה (Endpoint Detection) לעיתים קרובות לא מצליחים לסמן אותה כחדירה .

טכניקה זו מכונה גם Pastejacking, מכיוון שהיא מנצלת את לוח ההעתקה (Clipboard) כווקטור ההדבקה .

מטענים שמועברים בקמפיינים של ClickFix

התוקפים משתמשים בפיתיונות ClickFix כדי להפיץ מגוון רחב של נוזקות, לעיתים קרובות בשרשראות הדבקה מרובות-שלבים:

• HijackLoader: מטען ראשוני שנצפה בשרשראות ClickFix לפחות מאז יוני 2025, ולאחריו מגיע לעיתים קרובות גונב המידע DeerStealer .
• CastleLoader (aka CastleBot): פלטפורמת נוזקה כשירות (Malware-as-a-Service) פעילה מתחילת 2025. קמפיין אחד השתמש באתר מזויף להסרת רקע על מנת להעביר את CastleLoader, שהתקין לאחר מכן את NetSupport RAT ו-gנב .NET מותאם אישית שכוון נגד פרטי כניסה בדפדפנים, ארנקי קריפטו וסשנים של Telegram .
• NetSupport RAT: כלי ניהול מרחוק לגיטימי שהפך לכלי גישה עורפית (Backdoor) נפוץ אצל תוקפים .
• StealC: סוס טרויאני גונב מידע המכוון נגד פרטי כניסה בדפדפנים וארנקי קריפטו .
• Amatera: גונב מידע שהופץ באמצעות קמפיין ClickFix ששילב CAPTCHAs מזויפים עם סקריפטים חתומים של Microsoft App-V .
• גנב מבוסס Rust: תועד בקמפיינים פולימורפיים של ClickFix שהחלו בסוף 2025 .
• DeerStealer: נצפה כמטען הסופי שהועבר לאחר HijackLoader .
• ResiLoader: מטען חדש שתוכנן במיוחד לחסל מעל 140 תהליכים של תוכנות אנטי-וירוס ואבטחה במחשב הקורבן, תוך השבתת ההגנות לפני הרצת המטען הסופי .

שיטות הפצה

התוקפים מנצלים תשתיות מגוונות לאחסון והפצת מתקפות ClickFix:

• אחסון Cloudflare R2: משמש לאחסון קבצי נוזקה .
• תת-דומיינים של Cloudflare Pages: מנוצלים להצגת דפי CAPTCHA מזויפים עם תעודת אבטחה מהימנה של Cloudflare .
• אחסון Dedik Services Limited: זוהה כספק אחסון לתשתיות פיקוד ושליטה (C2) של ClickFix .
• דומיינים שפג תוקפם: דומיינים שפגו תוקפם אשר נרשמו מחדש ושימשו לאיסוף פרטי כניסה ולהפצת מטענים .
• אתרים שנפרצו: וקטור ההתחלתי הנפוץ ביותר. תוקפים משתילים קוד JavaScript זדוני או iframes באתרים לגיטימיים (לעיתים קרובות דרך פרצות תוספים או ניצול פרצות CMS) שמנתבים מבקרים לדפי ClickFix .
• SEO Poisoning ו-Malvertising: אתרי מתקינים מזויפים ופורטלי תוכנה פיראטית שמקודמים בתוצאות מנועי החיפוש .
• ניצול פרצת Ghost CMS: במאי 2026, תוקפים ניצלו פרצת SQL Injection קריטית במערכת Ghost CMS (CVE‑2026‑26980) כדי להשתלט על יותר מ-700 אתרי חינוך וטכנולוגיה לגיטימיים ולהזריק בהם הנחיות ClickFix .

חומרת האיום: למה ClickFix שולטת

• דוח ההגנה הדיגיטלית של מיקרוסופט ל-2025 זיהה את ClickFix כשיטת הגישה הראשונית מספר 1, האחראית ל47% מכלל המתקפות שנצפו על-ידי מומחי Microsoft Defender במהלך השנה הקודמת – ועוקפת את הפישינג המסורתי (35%) .
• הטלמטריה של ES FT תיעדה זינוק של 517% במתקפות ClickFix במחצית הראשונה של 2025 בלבד .
• בקמפיין אחד שתועד על-ידי Menlo Labs, ClickFix העבירה מטענים חוצי-פלטפורמה: פקודות PowerShell ל-Windows, סקריפטים .command ל-macOS, וסקריפטים Bash ללינוקס – מפיתיון JavaScript פולימורפי יחיד .
• משרד הבריאות ושירותי האנוש האמריקאי (HHS) פרסם התרעת מגזר על ClickFix ביולי 2026, המאשרת את הגעתה של הטכניקה לתשתיות קריטיות .
• קבוצת Insikt של Recorded Future העריכה במרץ 2026 כי ClickFix תמשיך להיות וקטור הגישה הראשונית הדומיננטי לאורך 2026 .

אמצעי הגנה: מה ממליצים החוקרים

מכיוון ש-ClickFix מנצלת התנהגות אנושית ולא פרצת תוכנה, ההגנה מסתמכת בעיקר על בקרות טכניות ומודעות משתמשים :

• הגבל הרצת PowerShell: חסום משתמשים לא-מנהלים מהרצת סקריפטים של PowerShell. הגדר את מדיניות ההרצה ל-Restricted באמצעות Group Policy ותעד את כל אירועי הרצת PowerShell .
• השבת את חלון ההרצה Run: שינוי ברישום (מדיניות NoRun) יכול למנוע שימוש ב-Win+R להדבקת פקודות .
• התייחס להוראות לא-מבוקשות להדבקת פקודות כדגל אדום: שום אתר לגיטימי לא מבקש מהמשתמש ללחוץ Win+R, להדביק פקודה וללחוץ Enter. זה צריך להיות נושא ההדרכה העליון עבור משתמשים .
• חסום הרצת mshta, cscript ו-curl בהקשר משתמש: השתמש ב-AppLocker או ב-Windows Defender Application Control כדי להגביל מפרשני סקריפטים .
• הטמע כללי זיהוי בקצה: נטר אחר תהליכי אב חריגים של powershell.exe -ep bypass, שושלת תהליכים מ-explorer.exe למפרשני סקריפטים, וארטיפקטים של RunMRU ברישום .
• השתמש בתכונות אבטחת לוח: הגנות לוח ברמת הדפדפן יכולות למנוע את מנגנון ההעתקה-הדבקה המרכזי ש-ClickFix מתבססת עליו.

תכונת Paste Protect של אופרה

אופרה הציגה תכונת Paste Protect מובנית (זמינה ב-Opera 100+ ב-Windows, macOS ולינוקס) המיירטת וחוסמת התקפות Pastejacking מבוססות לוח. כאשר אתר מנסה לכתוב מטען חשוד ללוח ולבקש מהמשתמש להדביק אותו, Paste Protect מזהירה את המשתמש וחוסמת את השלמת הפעולה. זה מנטרל ישירות את טכניקת ClickFix המרכזית מבלי להתקין תוספים.

איך ClickFix עובד: ארבעת שלבי ההונאה

המתקפה עוקבת אחר דפוס עקבי כמעט בכל הקמפיינים המתועדים :

1. הפיתיון: המשתמש מגיע לאתר שנפרץ או לאתר זדוני ונתקל בהנחיית אימות מזויפת – CAPTCHA מזויף של גוגל, דף 'Verify you are human' של Cloudflare, הודעת עדכון דפדפן מזויפת, או מסך שגיאה מזויף של QuickBooks או Booking.com .
2. הוראת ההעתקה-הדבקה: הדף מציג הוראות כמו: "לחץ Win + R, אחר כך Ctrl + V, ואז Enter" כדי להשלים את תהליך האימות .
3. המטען הנסתר: מה שהועתק ללוח המשתמש הוא למעשה פקודת PowerShell, mshta או curl זדונית, המורידה ומריצה מטען נוזקה משרת מרוחק .
4. ביצוע: הפקודה רצה עם ההרשאות של המשתמש עצמו. מכיוון שהמשתמש הוא שהדביק והריץ אותה, כלי זיהוי בקצה (Endpoint Detection) לעיתים קרובות לא מצליחים לסמן אותה כחדירה .

טכניקה זו מכונה גם Pastejacking, מכיוון שהיא מנצלת את לוח ההעתקה (Clipboard) כווקטור ההדבקה .

מטענים שמועברים בקמפיינים של ClickFix

התוקפים משתמשים בפיתיונות ClickFix כדי להפיץ מגוון רחב של נוזקות, לעיתים קרובות בשרשראות הדבקה מרובות-שלבים:

• HijackLoader: מטען ראשוני שנצפה בשרשראות ClickFix לפחות מאז יוני 2025, ולאחריו מגיע לעיתים קרובות גונב המידע DeerStealer .
• CastleLoader (aka CastleBot): פלטפורמת נוזקה כשירות (Malware-as-a-Service) פעילה מתחילת 2025. קמפיין אחד השתמש באתר מזויף להסרת רקע על מנת להעביר את CastleLoader, שהתקין לאחר מכן את NetSupport RAT ו-gנב .NET מותאם אישית שכוון נגד פרטי כניסה בדפדפנים, ארנקי קריפטו וסשנים של Telegram .
• NetSupport RAT: כלי ניהול מרחוק לגיטימי שהפך לכלי גישה עורפית (Backdoor) נפוץ אצל תוקפים .
• StealC: סוס טרויאני גונב מידע המכוון נגד פרטי כניסה בדפדפנים וארנקי קריפטו .
• Amatera: גונב מידע שהופץ באמצעות קמפיין ClickFix ששילב CAPTCHAs מזויפים עם סקריפטים חתומים של Microsoft App-V .
• גנב מבוסס Rust: תועד בקמפיינים פולימורפיים של ClickFix שהחלו בסוף 2025 .
• DeerStealer: נצפה כמטען הסופי שהועבר לאחר HijackLoader .
• ResiLoader: מטען חדש שתוכנן במיוחד לחסל מעל 140 תהליכים של תוכנות אנטי-וירוס ואבטחה במחשב הקורבן, תוך השבתת ההגנות לפני הרצת המטען הסופי .

שיטות הפצה

התוקפים מנצלים תשתיות מגוונות לאחסון והפצת מתקפות ClickFix:

• אחסון Cloudflare R2: משמש לאחסון קבצי נוזקה .
• תת-דומיינים של Cloudflare Pages: מנוצלים להצגת דפי CAPTCHA מזויפים עם תעודת אבטחה מהימנה של Cloudflare .
• אחסון Dedik Services Limited: זוהה כספק אחסון לתשתיות פיקוד ושליטה (C2) של ClickFix .
• דומיינים שפג תוקפם: דומיינים שפגו תוקפם אשר נרשמו מחדש ושימשו לאיסוף פרטי כניסה ולהפצת מטענים .
• אתרים שנפרצו: וקטור ההתחלתי הנפוץ ביותר. תוקפים משתילים קוד JavaScript זדוני או iframes באתרים לגיטימיים (לעיתים קרובות דרך פרצות תוספים או ניצול פרצות CMS) שמנתבים מבקרים לדפי ClickFix .
• SEO Poisoning ו-Malvertising: אתרי מתקינים מזויפים ופורטלי תוכנה פיראטית שמקודמים בתוצאות מנועי החיפוש .
• ניצול פרצת Ghost CMS: במאי 2026, תוקפים ניצלו פרצת SQL Injection קריטית במערכת Ghost CMS (CVE‑2026‑26980) כדי להשתלט על יותר מ-700 אתרי חינוך וטכנולוגיה לגיטימיים ולהזריק בהם הנחיות ClickFix .

חומרת האיום: למה ClickFix שולטת

• דוח ההגנה הדיגיטלית של מיקרוסופט ל-2025 זיהה את ClickFix כשיטת הגישה הראשונית מספר 1, האחראית ל47% מכלל המתקפות שנצפו על-ידי מומחי Microsoft Defender במהלך השנה הקודמת – ועוקפת את הפישינג המסורתי (35%) .
• הטלמטריה של ES FT תיעדה זינוק של 517% במתקפות ClickFix במחצית הראשונה של 2025 בלבד .
• בקמפיין אחד שתועד על-ידי Menlo Labs, ClickFix העבירה מטענים חוצי-פלטפורמה: פקודות PowerShell ל-Windows, סקריפטים .command ל-macOS, וסקריפטים Bash ללינוקס – מפיתיון JavaScript פולימורפי יחיד .
• משרד הבריאות ושירותי האנוש האמריקאי (HHS) פרסם התרעת מגזר על ClickFix ביולי 2026, המאשרת את הגעתה של הטכניקה לתשתיות קריטיות .
• קבוצת Insikt של Recorded Future העריכה במרץ 2026 כי ClickFix תמשיך להיות וקטור הגישה הראשונית הדומיננטי לאורך 2026 .

אמצעי הגנה: מה ממליצים החוקרים

מכיוון ש-ClickFix מנצלת התנהגות אנושית ולא פרצת תוכנה, ההגנה מסתמכת בעיקר על בקרות טכניות ומודעות משתמשים :

• הגבל הרצת PowerShell: חסום משתמשים לא-מנהלים מהרצת סקריפטים של PowerShell. הגדר את מדיניות ההרצה ל-Restricted באמצעות Group Policy ותעד את כל אירועי הרצת PowerShell .
• השבת את חלון ההרצה Run: שינוי ברישום (מדיניות NoRun) יכול למנוע שימוש ב-Win+R להדבקת פקודות .
• התייחס להוראות לא-מבוקשות להדבקת פקודות כדגל אדום: שום אתר לגיטימי לא מבקש מהמשתמש ללחוץ Win+R, להדביק פקודה וללחוץ Enter. זה צריך להיות נושא ההדרכה העליון עבור משתמשים .
• חסום הרצת mshta, cscript ו-curl בהקשר משתמש: השתמש ב-AppLocker או ב-Windows Defender Application Control כדי להגביל מפרשני סקריפטים .
• הטמע כללי זיהוי בקצה: נטר אחר תהליכי אב חריגים של powershell.exe -ep bypass, שושלת תהליכים מ-explorer.exe למפרשני סקריפטים, וארטיפקטים של RunMRU ברישום .
• השתמש בתכונות אבטחת לוח: הגנות לוח ברמת הדפדפן יכולות למנוע את מנגנון ההעתקה-הדבקה המרכזי ש-ClickFix מתבססת עליו.

תכונת Paste Protect של אופרה

אופרה הציגה תכונת Paste Protect מובנית (זמינה ב-Opera 100+ ב-Windows, macOS ולינוקס) המיירטת וחוסמת התקפות Pastejacking מבוססות לוח. כאשר אתר מנסה לכתוב מטען חשוד ללוח ולבקש מהמשתמש להדביק אותו, Paste Protect מזהירה את המשתמש וחוסמת את השלמת הפעולה. זה מנטרל ישירות את טכניקת ClickFix המרכזית מבלי להתקין תוספים.