Hoe ClickFix werkt: de vier stappen van het bedrog

De aanval volgt een consistent patroon in vrijwel alle gedocumenteerde campagnes :

1. Het lokmiddel: Een gebruiker bezoekt een gecompromitteerde of malafide website en ziet een nagemaakte verificatieprompt – een nep-Google-reCAPTCHA, een vervalste 'Verify you are human'-pagina van Cloudflare, een vals browsermeldingsscherm of een frauduleuze foutpagina van QuickBooks of Booking.com .
2. Kopieer-plak-instructie: De pagina geeft instructies zoals: 'Druk op Win + R, dan Ctrl + V, dan Enter' om de verificatie te voltooien .
3. De verborgen payload: Wat er naar het klembord van de gebruiker is gekopieerd, is een schadelijk PowerShell-, mshta- of curl-commando dat een malwaredownloader van een externe server ophaalt .
4. Uitvoering: Het commando draait met de rechten van de gebruiker. Omdat de gebruiker het zelf heeft geplakt en gestart, zien endpointdetectietools het vaak niet aan als een inbraak .

Deze techniek wordt ook wel pastejacking genoemd, omdat het klembord als infectievector wordt misbruikt .

Geleverde payloads in ClickFix-campagnes

Aanvallers hebben ClickFix-e lokmiddelen gebruikt om een breed scala aan malware te verspreiden, vaak in meertrapsinfectieketens:

• HijackLoader: Een eerste-trapssysteemaflader die sinds minstens juni 2025 in ClickFix-ketens is waargenomen, vaak gevolgd door de DeerStealer .
• CastleLoader (ook wel CastleBot): Een malware-as-a-service-framework dat sinds begin 2025 actief is. Eén campagne gebruikte een neppe website voor het verwijderen van achtergronden om CastleLoader te leveren, die vervolgens NetSupport RAT en een aangepaste .NET-stealer installeerde .
• NetSupport RAT: Een legitiem extern beheerprogramma dat door aanvallers wordt gebruikt voor persistente backdoor-toegang .
• StealC: Een informatiestelende trojan die gericht is op browsergegevens en cryptocurrency-portemonnees .
• Amatera: Een infostealer die via een ClickFix-campagne met nep-CAPTCHA's en ondertekende Microsoft App-V-scripts wordt verspreid .
• Rust-gebaseerde stealer: Gedocumenteerd in polymorfe ClickFix-campagnes die eind 2025 begonnen .
• DeerStealer: Waargenomen als de uiteindelijke payload na HijackLoader .
• ResiLoader: Een nieuw gedocumenteerde loader die specifiek is ontworpen om meer dan 140 antivirus- en beveiligingsprocessen op de machine van het slachtoffer te stoppen, waardoor de verdediging effectief wordt uitgeschakeld voordat de uiteindelijke payload wordt uitgevoerd .

Distributiemethoden

Aanvallers gebruiken een breed scala aan infrastructuur om ClickFix-aanvallen te hosten en te verspreiden:

• Cloudflare R2-opslag: Wordt gebruikt om schadelijke payloads te hosten .
• Cloudflare Pages-subdomeinen: Misbruikt om neppe CAPTCHA-pagina's te serveren met Cloudflares eigen vertrouwde certificaat .
• Dedik Services Limited-hosting: Waargenomen als hostingprovider voor ClickFix-command-and-control-infrastructuur .
• Verlopen domeinen: Geregistreerde of opnieuw geregistreerde verlopen domeinen die worden gebruikt voor het verzamelen van inloggegevens en het leveren van payloads .
• Gecompromitteerde websites: De meest voorkomende initiële vector. Aanvallers injecteren schadelijk JavaScript of iframes in legitieme sites (vaak via plug-in-kwetsbaarheden of CMS-exploits) die bezoekers doorverwijzen naar ClickFix-landingspagina's .
• SEO-vergiftiging en malvertising: Nep-installatiesites en portals voor gekraakte software die via zoekmachineresultaten worden gepusht .
• Exploitatie van Ghost CMS-kwetsbaarheid: In mei 2026 misbruikten aanvallers een kritieke SQL-injectiekwetsbaarheid in Ghost CMS (CVE-2026-26980) om meer dan 700 legitieme onderwijs- en technologiesites te kapen en ClickFix-prompts te injecteren .

Waarom ClickFix zo dominant is

• Microsofts Digital Defense Report 2025 identificeerde ClickFix als de #1 initiële toegangsmethode, verantwoordelijk voor 47% van alle aanvallen die door Microsoft Defender Experts werden waargenomen in het voorgaande jaar – meer dan traditionele phishing (35%) .
• ESET-telemetrie registreerde een 517%-stijging in ClickFix-aanvallen in de eerste helft van 2025 .
• In één campagne van Menlo Labs leverde ClickFix cross-platform-payloads: PowerShell-commando's voor Windows, .command-scripts voor macOS en Bash-scripts voor Linux vanuit één enkel polymorf JavaScript-lokmiddel .
• Het Amerikaanse Ministerie van Volksgezondheid en Sociale Zaken (HHS) gaf in juli 2026 een sectoralert uit over ClickFix, waarmee de reikwijdte van de techniek naar kritieke infrastructuur werd bevestigd .
• Recorded Future's Insikt Group stelde in maart 2026 dat ClickFix waarschijnlijk de dominante initiële toegangsvector zal blijven gedurende 2026 .

Verdedigingsmaatregelen: wat onderzoekers aanbevelen

Omdat ClickFix menselijk gedrag uitbuit in plaats van een softwarekwetsbaarheid, is verdediging sterk afhankelijk van technische controles en gebruikersbewustzijn :

• Beperk PowerShell-uitvoering: Blokkeer niet-administratieve gebruikers van het uitvoeren van PowerShell-scripts. Stel het uitvoeringsbeleid in op Restricted via Groepsbeleid en log alle PowerShell-uitvoeringsgebeurtenissen .
• Schakel het Windows Run-venster uit: Een registeraanpassing (NoRun-beleid) kan voorkomen dat Win+R wordt gebruikt om commando's te plakken en uit te voeren .
• Behandel ongevraagde instructies voor de opdrachtprompt als rode vlaggen: Geen enkele legitieme website of dienst vraagt een gebruiker om Win+R in te drukken, een commando te plakken en op Enter te drukken. Dit moet het belangrijkste onderwerp zijn in gebruikersbewustzijnstrainingen .
• Blokkeer mshta, cscript en curl voor uitvoering in gebruikerscontext: Gebruik AppLocker of Windows Defender Application Control om scriptinterpreters te beperken .
• Implementeer endpointdetectieregels: Monitor op ongebruikelijke powershell.exe -ep bypass-ouderprocessen, processen die verlopen van explorer.exe naar scriptinterpreters en RunMRU-registerartefacten .
• Gebruik klembordbeveiligingsfuncties: Klembordbeveiliging op browserniveau kan het kernkopieer-plakmechanisme voorkomen waar ClickFix op vertrouwt.

Opera's Paste Protect-functie

Opera introduceerde een native Paste Protect-functie (beschikbaar in Opera 100+ op Windows, macOS en Linux) die op het klembord gebaseerde pastejacking-aanvallen onderschept en blokkeert. Wanneer een website programmatisch een verdachte payload naar het klembord probeert te schrijven en de gebruiker vervolgens vraagt deze te plakken, waarschuwt Paste Protect de gebruiker en blokkeert het de voltooiing van de bewerking. Dit verhelpt direct de kern van de ClickFix-techniek zonder dat er een extensie geïnstalleerd hoeft te worden.

Hoe ClickFix werkt: de vier stappen van het bedrog

De aanval volgt een consistent patroon in vrijwel alle gedocumenteerde campagnes :

1. Het lokmiddel: Een gebruiker bezoekt een gecompromitteerde of malafide website en ziet een nagemaakte verificatieprompt – een nep-Google-reCAPTCHA, een vervalste 'Verify you are human'-pagina van Cloudflare, een vals browsermeldingsscherm of een frauduleuze foutpagina van QuickBooks of Booking.com .
2. Kopieer-plak-instructie: De pagina geeft instructies zoals: 'Druk op Win + R, dan Ctrl + V, dan Enter' om de verificatie te voltooien .
3. De verborgen payload: Wat er naar het klembord van de gebruiker is gekopieerd, is een schadelijk PowerShell-, mshta- of curl-commando dat een malwaredownloader van een externe server ophaalt .
4. Uitvoering: Het commando draait met de rechten van de gebruiker. Omdat de gebruiker het zelf heeft geplakt en gestart, zien endpointdetectietools het vaak niet aan als een inbraak .

Deze techniek wordt ook wel pastejacking genoemd, omdat het klembord als infectievector wordt misbruikt .

Geleverde payloads in ClickFix-campagnes

Aanvallers hebben ClickFix-e lokmiddelen gebruikt om een breed scala aan malware te verspreiden, vaak in meertrapsinfectieketens:

• HijackLoader: Een eerste-trapssysteemaflader die sinds minstens juni 2025 in ClickFix-ketens is waargenomen, vaak gevolgd door de DeerStealer .
• CastleLoader (ook wel CastleBot): Een malware-as-a-service-framework dat sinds begin 2025 actief is. Eén campagne gebruikte een neppe website voor het verwijderen van achtergronden om CastleLoader te leveren, die vervolgens NetSupport RAT en een aangepaste .NET-stealer installeerde .
• NetSupport RAT: Een legitiem extern beheerprogramma dat door aanvallers wordt gebruikt voor persistente backdoor-toegang .
• StealC: Een informatiestelende trojan die gericht is op browsergegevens en cryptocurrency-portemonnees .
• Amatera: Een infostealer die via een ClickFix-campagne met nep-CAPTCHA's en ondertekende Microsoft App-V-scripts wordt verspreid .
• Rust-gebaseerde stealer: Gedocumenteerd in polymorfe ClickFix-campagnes die eind 2025 begonnen .
• DeerStealer: Waargenomen als de uiteindelijke payload na HijackLoader .
• ResiLoader: Een nieuw gedocumenteerde loader die specifiek is ontworpen om meer dan 140 antivirus- en beveiligingsprocessen op de machine van het slachtoffer te stoppen, waardoor de verdediging effectief wordt uitgeschakeld voordat de uiteindelijke payload wordt uitgevoerd .

Distributiemethoden

Aanvallers gebruiken een breed scala aan infrastructuur om ClickFix-aanvallen te hosten en te verspreiden:

• Cloudflare R2-opslag: Wordt gebruikt om schadelijke payloads te hosten .
• Cloudflare Pages-subdomeinen: Misbruikt om neppe CAPTCHA-pagina's te serveren met Cloudflares eigen vertrouwde certificaat .
• Dedik Services Limited-hosting: Waargenomen als hostingprovider voor ClickFix-command-and-control-infrastructuur .
• Verlopen domeinen: Geregistreerde of opnieuw geregistreerde verlopen domeinen die worden gebruikt voor het verzamelen van inloggegevens en het leveren van payloads .
• Gecompromitteerde websites: De meest voorkomende initiële vector. Aanvallers injecteren schadelijk JavaScript of iframes in legitieme sites (vaak via plug-in-kwetsbaarheden of CMS-exploits) die bezoekers doorverwijzen naar ClickFix-landingspagina's .
• SEO-vergiftiging en malvertising: Nep-installatiesites en portals voor gekraakte software die via zoekmachineresultaten worden gepusht .
• Exploitatie van Ghost CMS-kwetsbaarheid: In mei 2026 misbruikten aanvallers een kritieke SQL-injectiekwetsbaarheid in Ghost CMS (CVE-2026-26980) om meer dan 700 legitieme onderwijs- en technologiesites te kapen en ClickFix-prompts te injecteren .

Waarom ClickFix zo dominant is

• Microsofts Digital Defense Report 2025 identificeerde ClickFix als de #1 initiële toegangsmethode, verantwoordelijk voor 47% van alle aanvallen die door Microsoft Defender Experts werden waargenomen in het voorgaande jaar – meer dan traditionele phishing (35%) .
• ESET-telemetrie registreerde een 517%-stijging in ClickFix-aanvallen in de eerste helft van 2025 .
• In één campagne van Menlo Labs leverde ClickFix cross-platform-payloads: PowerShell-commando's voor Windows, .command-scripts voor macOS en Bash-scripts voor Linux vanuit één enkel polymorf JavaScript-lokmiddel .
• Het Amerikaanse Ministerie van Volksgezondheid en Sociale Zaken (HHS) gaf in juli 2026 een sectoralert uit over ClickFix, waarmee de reikwijdte van de techniek naar kritieke infrastructuur werd bevestigd .
• Recorded Future's Insikt Group stelde in maart 2026 dat ClickFix waarschijnlijk de dominante initiële toegangsvector zal blijven gedurende 2026 .

Verdedigingsmaatregelen: wat onderzoekers aanbevelen

Omdat ClickFix menselijk gedrag uitbuit in plaats van een softwarekwetsbaarheid, is verdediging sterk afhankelijk van technische controles en gebruikersbewustzijn :

• Beperk PowerShell-uitvoering: Blokkeer niet-administratieve gebruikers van het uitvoeren van PowerShell-scripts. Stel het uitvoeringsbeleid in op Restricted via Groepsbeleid en log alle PowerShell-uitvoeringsgebeurtenissen .
• Schakel het Windows Run-venster uit: Een registeraanpassing (NoRun-beleid) kan voorkomen dat Win+R wordt gebruikt om commando's te plakken en uit te voeren .
• Behandel ongevraagde instructies voor de opdrachtprompt als rode vlaggen: Geen enkele legitieme website of dienst vraagt een gebruiker om Win+R in te drukken, een commando te plakken en op Enter te drukken. Dit moet het belangrijkste onderwerp zijn in gebruikersbewustzijnstrainingen .
• Blokkeer mshta, cscript en curl voor uitvoering in gebruikerscontext: Gebruik AppLocker of Windows Defender Application Control om scriptinterpreters te beperken .
• Implementeer endpointdetectieregels: Monitor op ongebruikelijke powershell.exe -ep bypass-ouderprocessen, processen die verlopen van explorer.exe naar scriptinterpreters en RunMRU-registerartefacten .
• Gebruik klembordbeveiligingsfuncties: Klembordbeveiliging op browserniveau kan het kernkopieer-plakmechanisme voorkomen waar ClickFix op vertrouwt.

Opera's Paste Protect-functie

Opera introduceerde een native Paste Protect-functie (beschikbaar in Opera 100+ op Windows, macOS en Linux) die op het klembord gebaseerde pastejacking-aanvallen onderschept en blokkeert. Wanneer een website programmatisch een verdachte payload naar het klembord probeert te schrijven en de gebruiker vervolgens vraagt deze te plakken, waarschuwt Paste Protect de gebruiker en blokkeert het de voltooiing van de bewerking. Dit verhelpt direct de kern van de ClickFix-techniek zonder dat er een extensie geïnstalleerd hoeft te worden.