Cara Kerja ClickFix: Empat Langkah Penipuan

Serangan ini mengikuti pola yang konsisten di hampir semua kampanye yang terdokumentasi :

1. Umpan: Pengguna mengunjungi situs web yang disusupi atau palsu dan menemukan prompt verifikasi palsu—reCAPTCHA Google tiruan, halaman "Verifikasi Anda Manusia" Cloudflare palsu, notifikasi pembaruan browser palsu, atau layar kesalahan QuickBooks/Booking.com palsu .
2. Instruksi salin-tempel: Halaman tersebut menampilkan instruksi seperti: "Tekan Win + R, lalu tekan Ctrl + V, lalu tekan Enter" untuk menyelesaikan tugas verifikasi .
3. Muatan tersembunyi: Apa yang disalin ke clipboard pengguna sebenarnya adalah perintah PowerShell, mshta, atau curl berbahaya yang mengunduh dan menjalankan loader malware dari server jarak jauh .
4. Eksekusi: Perintah berjalan dengan hak akses pengguna itu sendiri. Karena pengguna sendiri yang menempelkan dan menjalankannya, alat deteksi endpoint sering gagal menandainya sebagai intrusi .

Teknik ini juga dikenal sebagai pastejacking karena mengeksploitasi clipboard sebagai vektor infeksi .

Payload yang Disebarkan dalam Kampanye ClickFix

Penyerang telah menggunakan umpan ClickFix untuk menyebarkan berbagai jenis malware, seringkali dalam rantai infeksi bertingkat:

• HijackLoader: Loader tahap pertama yang diamati dalam rantai ClickFix setidaknya sejak Juni 2025, sering diikuti oleh pencuri informasi DeerStealer .
• CastleLoader (alias CastleBot): Kerangka kerja malware-as-a-service yang aktif sejak awal 2025. Satu kampanye menggunakan situs web penghapus latar belakang palsu untuk mengirimkan CastleLoader, yang kemudian memasang NetSupport RAT dan pencuri .NET khusus yang menargetkan kredensial browser, dompet kripto, dan sesi Telegram .
• NetSupport RAT: Alat administrasi jarak jauh yang sah tetapi disalahgunakan oleh penyerang untuk akses backdoor persisten .
• StealC: Trojan pencuri informasi yang menargetkan kredensial browser dan dompet mata uang kripto .
• Amatera: Pencuri informasi yang didistribusikan melalui kampanye ClickFix yang menggabungkan CAPTCHA palsu dengan skrip Microsoft App-V yang ditandatangani .
• Stealer berbasis Rust: Terdokumentasi dalam kampanye ClickFix polimorfik yang dimulai pada akhir 2025 .
• DeerStealer: Diamati sebagai payload eksekusi akhir setelah HijackLoader .
• ResiLoader: Loader yang baru terdokumentasi, dirancang khusus untuk mematikan lebih dari 140 proses antivirus dan alat keamanan di mesin korban, secara efektif menonaktifkan pertahanan sebelum payload akhir dijalankan .

Metode Distribusi

Penyerang memanfaatkan campuran infrastruktur yang luas untuk menghosting dan mengirimkan serangan ClickFix:

• Penyimpanan Cloudflare R2: Digunakan untuk menghosting biner payload berbahaya .
• Subdomain Cloudflare Pages: Disalahgunakan untuk menyajikan halaman CAPTCHA palsu dengan sertifikat tepercaya Cloudflare .
• Hosting Dedik Services Limited: Diamati sebagai penyedia hosting untuk infrastruktur komando dan kontrol ClickFix .
• Domain kedaluwarsa: Domain kedaluwarsa yang didaftarkan atau didaftarkan ulang digunakan untuk pemanenan kredensial dan pengiriman payload .
• Situs web yang disusupi: Vektor awal yang paling umum. Penyerang menyuntikkan JavaScript atau iframe berbahaya ke situs web sah (seringkali melalui kerentanan plugin atau eksploitasi CMS) yang mengarahkan pengunjung ke halaman arahan ClickFix .
• Racun SEO dan malvertising: Situs instalasi palsu dan portal perangkat lunak bajakan yang dimunculkan melalui hasil mesin pencari .
• Eksploitasi kerentanan Ghost CMS: Pada Mei 2026, penyerang menyalahgunakan kerentanan injeksi SQL kritis Ghost CMS (CVE‑2026‑26980) untuk membajak lebih dari 700 situs web pendidikan dan teknologi yang sah dan menyuntikkan prompt ClickFix .

Signifikansi Ancaman: Mengapa ClickFix Mendominasi

• Laporan Pertahanan Digital Microsoft 2025 mengidentifikasi ClickFix sebagai metode akses awal #1, bertanggung jawab atas 47% dari semua serangan yang diamati oleh Microsoft Defender Experts selama setahun terakhir—melampaui phishing tradisional (35%) .
• Telemetri ESET mencatat lonjakan 517% dalam serangan ClickFix pada paruh pertama tahun 2025 saja .
• Dalam satu kampanye yang didokumentasikan oleh Menlo Labs, ClickFix mengirimkan payload lintas platform: perintah Windows PowerShell, skrip .command macOS, dan skrip Bash Linux dari satu umpan JavaScript polimorfik .
• Departemen Kesehatan dan Layanan Kemanusiaan AS (HHS) mengeluarkan peringatan sektor tentang ClickFix pada Juli 2026, mengonfirmasi jangkauan teknik ini ke infrastruktur kritis .
• Grup Insikt dari Recorded Future menilai pada Maret 2026 bahwa ClickFix kemungkinan besar akan tetap menjadi vektor akses awal yang dominan sepanjang tahun 2026 .

Langkah Pertahanan: Rekomendasi Peneliti

Karena ClickFix mengeksploitasi perilaku manusia daripada kerentanan perangkat lunak, pertahanan sangat bergantung pada kontrol teknis dan kesadaran pengguna :

• Batasi eksekusi PowerShell: Blokir pengguna non-administratif untuk menjalankan skrip PowerShell. Tetapkan kebijakan eksekusi ke Restricted melalui Kebijakan Grup dan catat semua peristiwa eksekusi PowerShell .
• Nonaktifkan kotak Run Windows: Modifikasi registri (kebijakan NoRun) dapat mencegah Win+R digunakan untuk menempel dan menjalankan perintah .
• Anggap instruksi command-prompt yang tidak diminta sebagai bendera merah: Tidak ada situs web atau layanan sah yang meminta pengguna menekan Win+R, menempelkan perintah, dan menekan Enter. Ini harus menjadi item teratas dalam pelatihan kesadaran pengguna .
• Blokir mshta, cscript, dan curl dari eksekusi konteks pengguna: Gunakan AppLocker atau Windows Defender Application Control untuk membatasi juru bahasa skrip .
• Terapkan aturan deteksi endpoint: Pantau proses induk powershell.exe -ep bypass yang tidak biasa, silsilah proses dari explorer.exe ke juru bahasa skrip, dan artefak registri RunMRU .
• Gunakan fitur keamanan clipboard: Perlindungan clipboard tingkat browser dapat mencegah mekanisme salin-tempel inti yang diandalkan ClickFix.

Fitur Paste Protect Opera

Opera memperkenalkan fitur Paste Protect asli (tersedia di Opera 100+ di Windows, macOS, dan Linux) yang mencegat dan memblokir serangan pastejacking berbasis clipboard. Saat situs web mencoba menulis payload mencurigakan ke clipboard secara terprogram dan kemudian meminta pengguna untuk menempelkannya, Paste Protect memperingatkan pengguna dan memblokir operasi agar tidak selesai. Ini secara langsung mengurangi teknik ClickFix inti tanpa memerlukan instalasi ekstensi apa pun.

Cara Kerja ClickFix: Empat Langkah Penipuan

Serangan ini mengikuti pola yang konsisten di hampir semua kampanye yang terdokumentasi :

1. Umpan: Pengguna mengunjungi situs web yang disusupi atau palsu dan menemukan prompt verifikasi palsu—reCAPTCHA Google tiruan, halaman "Verifikasi Anda Manusia" Cloudflare palsu, notifikasi pembaruan browser palsu, atau layar kesalahan QuickBooks/Booking.com palsu .
2. Instruksi salin-tempel: Halaman tersebut menampilkan instruksi seperti: "Tekan Win + R, lalu tekan Ctrl + V, lalu tekan Enter" untuk menyelesaikan tugas verifikasi .
3. Muatan tersembunyi: Apa yang disalin ke clipboard pengguna sebenarnya adalah perintah PowerShell, mshta, atau curl berbahaya yang mengunduh dan menjalankan loader malware dari server jarak jauh .
4. Eksekusi: Perintah berjalan dengan hak akses pengguna itu sendiri. Karena pengguna sendiri yang menempelkan dan menjalankannya, alat deteksi endpoint sering gagal menandainya sebagai intrusi .

Teknik ini juga dikenal sebagai pastejacking karena mengeksploitasi clipboard sebagai vektor infeksi .

Payload yang Disebarkan dalam Kampanye ClickFix

Penyerang telah menggunakan umpan ClickFix untuk menyebarkan berbagai jenis malware, seringkali dalam rantai infeksi bertingkat:

• HijackLoader: Loader tahap pertama yang diamati dalam rantai ClickFix setidaknya sejak Juni 2025, sering diikuti oleh pencuri informasi DeerStealer .
• CastleLoader (alias CastleBot): Kerangka kerja malware-as-a-service yang aktif sejak awal 2025. Satu kampanye menggunakan situs web penghapus latar belakang palsu untuk mengirimkan CastleLoader, yang kemudian memasang NetSupport RAT dan pencuri .NET khusus yang menargetkan kredensial browser, dompet kripto, dan sesi Telegram .
• NetSupport RAT: Alat administrasi jarak jauh yang sah tetapi disalahgunakan oleh penyerang untuk akses backdoor persisten .
• StealC: Trojan pencuri informasi yang menargetkan kredensial browser dan dompet mata uang kripto .
• Amatera: Pencuri informasi yang didistribusikan melalui kampanye ClickFix yang menggabungkan CAPTCHA palsu dengan skrip Microsoft App-V yang ditandatangani .
• Stealer berbasis Rust: Terdokumentasi dalam kampanye ClickFix polimorfik yang dimulai pada akhir 2025 .
• DeerStealer: Diamati sebagai payload eksekusi akhir setelah HijackLoader .
• ResiLoader: Loader yang baru terdokumentasi, dirancang khusus untuk mematikan lebih dari 140 proses antivirus dan alat keamanan di mesin korban, secara efektif menonaktifkan pertahanan sebelum payload akhir dijalankan .

Metode Distribusi

Penyerang memanfaatkan campuran infrastruktur yang luas untuk menghosting dan mengirimkan serangan ClickFix:

• Penyimpanan Cloudflare R2: Digunakan untuk menghosting biner payload berbahaya .
• Subdomain Cloudflare Pages: Disalahgunakan untuk menyajikan halaman CAPTCHA palsu dengan sertifikat tepercaya Cloudflare .
• Hosting Dedik Services Limited: Diamati sebagai penyedia hosting untuk infrastruktur komando dan kontrol ClickFix .
• Domain kedaluwarsa: Domain kedaluwarsa yang didaftarkan atau didaftarkan ulang digunakan untuk pemanenan kredensial dan pengiriman payload .
• Situs web yang disusupi: Vektor awal yang paling umum. Penyerang menyuntikkan JavaScript atau iframe berbahaya ke situs web sah (seringkali melalui kerentanan plugin atau eksploitasi CMS) yang mengarahkan pengunjung ke halaman arahan ClickFix .
• Racun SEO dan malvertising: Situs instalasi palsu dan portal perangkat lunak bajakan yang dimunculkan melalui hasil mesin pencari .
• Eksploitasi kerentanan Ghost CMS: Pada Mei 2026, penyerang menyalahgunakan kerentanan injeksi SQL kritis Ghost CMS (CVE‑2026‑26980) untuk membajak lebih dari 700 situs web pendidikan dan teknologi yang sah dan menyuntikkan prompt ClickFix .

Signifikansi Ancaman: Mengapa ClickFix Mendominasi

• Laporan Pertahanan Digital Microsoft 2025 mengidentifikasi ClickFix sebagai metode akses awal #1, bertanggung jawab atas 47% dari semua serangan yang diamati oleh Microsoft Defender Experts selama setahun terakhir—melampaui phishing tradisional (35%) .
• Telemetri ESET mencatat lonjakan 517% dalam serangan ClickFix pada paruh pertama tahun 2025 saja .
• Dalam satu kampanye yang didokumentasikan oleh Menlo Labs, ClickFix mengirimkan payload lintas platform: perintah Windows PowerShell, skrip .command macOS, dan skrip Bash Linux dari satu umpan JavaScript polimorfik .
• Departemen Kesehatan dan Layanan Kemanusiaan AS (HHS) mengeluarkan peringatan sektor tentang ClickFix pada Juli 2026, mengonfirmasi jangkauan teknik ini ke infrastruktur kritis .
• Grup Insikt dari Recorded Future menilai pada Maret 2026 bahwa ClickFix kemungkinan besar akan tetap menjadi vektor akses awal yang dominan sepanjang tahun 2026 .

Langkah Pertahanan: Rekomendasi Peneliti

Karena ClickFix mengeksploitasi perilaku manusia daripada kerentanan perangkat lunak, pertahanan sangat bergantung pada kontrol teknis dan kesadaran pengguna :

• Batasi eksekusi PowerShell: Blokir pengguna non-administratif untuk menjalankan skrip PowerShell. Tetapkan kebijakan eksekusi ke Restricted melalui Kebijakan Grup dan catat semua peristiwa eksekusi PowerShell .
• Nonaktifkan kotak Run Windows: Modifikasi registri (kebijakan NoRun) dapat mencegah Win+R digunakan untuk menempel dan menjalankan perintah .
• Anggap instruksi command-prompt yang tidak diminta sebagai bendera merah: Tidak ada situs web atau layanan sah yang meminta pengguna menekan Win+R, menempelkan perintah, dan menekan Enter. Ini harus menjadi item teratas dalam pelatihan kesadaran pengguna .
• Blokir mshta, cscript, dan curl dari eksekusi konteks pengguna: Gunakan AppLocker atau Windows Defender Application Control untuk membatasi juru bahasa skrip .
• Terapkan aturan deteksi endpoint: Pantau proses induk powershell.exe -ep bypass yang tidak biasa, silsilah proses dari explorer.exe ke juru bahasa skrip, dan artefak registri RunMRU .
• Gunakan fitur keamanan clipboard: Perlindungan clipboard tingkat browser dapat mencegah mekanisme salin-tempel inti yang diandalkan ClickFix.

Fitur Paste Protect Opera

Opera memperkenalkan fitur Paste Protect asli (tersedia di Opera 100+ di Windows, macOS, dan Linux) yang mencegat dan memblokir serangan pastejacking berbasis clipboard. Saat situs web mencoba menulis payload mencurigakan ke clipboard secara terprogram dan kemudian meminta pengguna untuk menempelkannya, Paste Protect memperingatkan pengguna dan memblokir operasi agar tidak selesai. Ini secara langsung mengurangi teknik ClickFix inti tanpa memerlukan instalasi ekstensi apa pun.