ClickFix Bukan Pepijat, Tapi Perangkap Minda – Inilah Sebabnya Pengguna Windows Disasarkan

1. Umpan: Pengguna melawati laman web yang terjejas atau jahat dan melihat gesaan pengesahan palsu — Google reCAPTCHA palsu, halaman Cloudflare 'Sahkan anda manusia' tiruan, mesej kemas kini penyemak imbas palsu, atau skrin ralat QuickBooks atau Booking.com palsu .
2. Arahan salin-tampal: Halaman tersebut memaparkan arahan seperti: "Tekan Win + R, kemudian tekan Ctrl + V, kemudian tekan Enter" untuk menyelesaikan tugas pengesahan .
3. Muatan tersembunyi: Apa yang disalin ke papan klip pengguna adalah arahan PowerShell, mshta, atau curl berniat jahat yang memuat turun dan menjalankan muatan perisian hasad dari pelayan jauh .
4. Pelaksanaan: Arahan itu berjalan dengan keizinan pengguna sendiri. Oleh kerana pengguna sendiri yang menampal dan melancarkannya, alat pengesanan titik akhir sering gagal mengisytiharkannya sebagai pencerobohan .

Teknik ini juga dikenali sebagai pastejacking kerana ia mengeksploitasi papan klip sebagai vektor jangkitan .

Muatan yang Dihantar dalam Kempen ClickFix

Penyerang telah menggunakan umpan ClickFix untuk menghantar pelbagai jenis perisian hasad, selalunya dalam rantaian jangkitan berbilang peringkat:

• HijackLoader: Pemuat peringkat pertama yang diperhatikan dalam rantaian ClickFix sejak sekurang-kurangnya Jun 2025, sering diikuti oleh perisian curi maklumat DeerStealer .
• CastleLoader (aka CastleBot): Rangka kerja perisian hasad-sebagai-perkhidmatan yang aktif sejak awal 2025. Satu kempen menggunakan laman web penyingkiran latar belakang palsu untuk menghantar CastleLoader, yang kemudian memasang NetSupport RAT dan perisian curi .NET tersuai yang menyasarkan bukti kelayakan penyemak imbas, dompet mata wang kripto, dan sesi Telegram .
• NetSupport RAT: Alat pentadbiran jauh yang sah tetapi disalahgunakan oleh penyerang untuk akses belakang yang berterusan .
• StealC: Trojan pencuri maklumat yang menyasarkan bukti kelayakan penyemak imbas dan dompet mata wang kripto .
• Amatera: Perisian curi maklumat yang diedarkan melalui kempen ClickFix yang menggabungkan CAPTCHA palsu dengan skrip Microsoft App-V yang ditandatangani .
• Perisian curi berasaskan Rust: Didokumenkan dalam kempen ClickFix polimorfik yang bermula pada akhir 2025 .
• DeerStealer: Diperhatikan sebagai muatan boleh laku akhir yang dihantar selepas HijackLoader .
• ResiLoader: Pemuat yang baru didokumenkan, direka khusus untuk menamatkan lebih 140 proses antivirus dan alat keselamatan pada mesin mangsa, dengan berkesan melumpuhkan pertahanan sebelum muatan akhir berjalan .

Kaedah Pengedaran

Penyerang menggunakan pelbagai jenis infrastruktur untuk mengehos dan menghantar serangan ClickFix:

• Storan Cloudflare R2: Digunakan untuk mengehos binari muatan berniat jahat .
• Subdomain Cloudflare Pages: Disalahgunakan untuk menyediakan halaman CAPTCHA palsu dengan sijil dipercayai Cloudflare sendiri .
• Pengehosan Dedik Services Limited: Diperhatikan sebagai penyedia pengehosan untuk infrastruktur arahan-dan-kawalan ClickFix .
• Domain luput: Domain yang didaftarkan atau didaftarkan semula digunakan untuk menuai bukti kelayakan dan menghantar muatan .
• Laman web terjejas: Vektor awal yang paling biasa. Penyerang menyuntik JavaScript berniat jahat atau iframe ke dalam laman web yang sah (sering melalui kelemahan pemalam atau eksploitasi CMS) yang mengalihkan pelawat ke halaman pendaratan ClickFix .
• Keracunan SEO dan malvertising: Laman web pemasang palsu dan portal perisian cetak rompak yang ditolak melalui hasil enjin carian .
• Eksploitasi kelemahan Ghost CMS: Pada Mei 2026, penyerang menyalahgunakan kelemahan suntikan SQL kritikal Ghost CMS (CVE‑2026‑26980) untuk merampas lebih 700 laman web pendidikan dan teknologi yang sah dan menyuntik gesaan ClickFix .

Kepentingan Ancaman: Mengapa ClickFix Mendominasi

• Laporan Pertahanan Digital Microsoft 2025 mengenal pasti ClickFix sebagai kaedah akses awal #1, bertanggungjawab untuk 47% daripada semua serangan yang diperhatikan oleh Pakar Defender Microsoft sepanjang tahun sebelumnya — mengatasi pancingan data tradisional (35%) .
• Telemetri ESET merekodkan lonjakan 517% dalam serangan ClickFix pada separuh pertama 2025 sahaja .
• Dalam satu kempen yang didokumenkan oleh Menlo Labs, ClickFix menghantar muatan merentas platform: arahan PowerShell Windows, skrip .command macOS, dan skrip Bash Linux daripada satu umpan JavaScript polimorfik .
• Jabatan Kesihatan dan Perkhidmatan Manusia AS (HHS) mengeluarkan amaran sektor mengenai ClickFix pada Julai 2026, mengesahkan jangkauan teknik ini ke dalam infrastruktur kritikal .
• Kumpulan Insikt Recorded Future menilai pada Mac 2026 bahawa ClickFix kemungkinan besar akan kekal sebagai vektor akses awal yang dominan sepanjang 2026 .

Langkah Pertahanan: Apa yang Disarankan oleh Penyelidik

Oleh kerana ClickFix mengeksploitasi tingkah laku manusia dan bukannya kelemahan perisian, pertahanan banyak bergantung pada kawalan teknikal dan kesedaran pengguna :

• Hadkan pelaksanaan PowerShell: Sekat pengguna bukan pentadbiran daripada menjalankan skrip PowerShell. Tetapkan dasar pelaksanaan kepada Restricted melalui Dasar Kumpulan dan log semua peristiwa pelaksanaan PowerShell .
• Lumpuhkan kotak Run Windows: Pengubahsuaian pendaftaran (dasar NoRun) boleh menghalang Win+R daripada digunakan untuk menampal dan melaksanakan arahan .
• Anggap arahan command-prompt yang tidak diminta sebagai bendera merah: Tiada laman web atau perkhidmatan yang sah meminta pengguna menekan Win+R, menampal arahan, dan menekan Enter. Ini harus menjadi item latihan kesedaran pengguna yang teratas .
• Sekat mshta, cscript, dan curl daripada pelaksanaan konteks pengguna: Gunakan AppLocker atau Kawalan Aplikasi Windows Defender untuk menyekat jurubahasa skrip .
• Gunakan peraturan pengesanan titik akhir: Pantau untuk proses induk

  powershell.exe -ep bypass

  yang luar biasa, keturunan proses dari explorer.exe ke jurubahasa skrip, dan artifak pendaftaran RunMRU .
• Gunakan ciri keselamatan papan klip: Perlindungan papan klip peringkat penyemak imbas boleh menghalang mekanisme salin-tampal teras yang digunakan oleh ClickFix.

Ciri Paste Protect Opera

Opera memperkenalkan ciri Paste Protect asli (tersedia dalam Opera 100+ merentas Windows, macOS, dan Linux) yang memintas dan menyekat serangan pastejacking berasaskan papan klip. Apabila laman web cuba menulis muatan yang mencurigakan ke papan klip secara pengaturcaraan dan kemudian menggesa pengguna untuk menampalnya, Paste Protect memberi amaran kepada pengguna dan menyekat operasi daripada selesai. Ini secara langsung mengurangkan teknik ClickFix teras tanpa memerlukan pemasangan sambungan.