ClickFix-malware: Slik lurer angripere deg til å infisere din egen PC
ClickFix er en sosial manipulasjonsteknikk som narrer brukere til å kopiere, lime inn og kjøre ondsinnede kommandoer – og sto for 47 % av alle initialangrep observert av Microsoft i 2025, med en ESET økning på 517 %. Angripere forfalsker Google reCAPTCHA og Cloudflare verifiseringssider og gir instruksjoner som 'Try...
Search & fact-check with cited sources for What is the ClickFix malware campaign that has been active since late 2025, how does its social eClickFix attacks use fake verification pages that instruct users to copy, paste, and execute malicious commands.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the ClickFix malware campaign that has been active since late 2025, how does its social e. Article summary: Here is a comprehensive, fact-checked breakdown of the ClickFix malware campaign and related topics.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visua
openai.com
ClickFix er ikke en sårbarhet i Windows eller en feil i en bestemt applikasjon. Det er en sosial manipulasjonsteknikk som utelukkende er avhengig av brukerens egne handlinger – og den har blitt den vanligste måten angripere får innledende tilgang til systemer på . I 2025–2026 har kriminelle nettverk og til og med statlige aktører tatt den i bruk i stor skala, ved hjelp av forfalskede Google reCAPTCHA- og Cloudflare-verifiseringssider for å lure ofre til å kjøre ondsinnede kommandoer på sine egne maskiner .
Slik fungerer ClickFix: Fire trinns bedrag
Angrepet følger et konsekvent mønster på tvers av nesten alle dokumenterte kampanjer :
Lokkematen: En bruker besøker et kompromittert eller ondsinnet nettsted og møter en forfalsket bekreftelsesforespørsel – en falsk Google reCAPTCHA, en forfalsket Cloudflare «Bekreft at du er menneske»-side, en falsk nettleseroppdatering eller en svindelaktig QuickBooks- eller Booking.com-feilmelding .
Kopier-og-lim-instruksjon: Siden viser instruksjoner som: «Trykk Win + R, trykk deretter Ctrl + V, trykk deretter Enter» for å fullføre bekreftelsesoppgaven .
Den skjulte nyttelasten: Det som ble kopiert til brukerens utklippstavle, er en ondsinnet PowerShell-, mshta- eller curl-kommando som laster ned og kjører en skadevarelaster fra en ekstern server .
Utførelse: Kommandoen kjøres med brukerens egne rettigheter. Fordi brukeren selv limte inn og startet kommandoen, klarer ofte ikke endepunktdeteksjonsverktøy å flagge det som et inntrengingsforsøk .
Denne teknikken kalles også pastejacking fordi den utnytter utklippstavlen som infeksjonsvektor .
Skadevare som leveres i ClickFix-kampanjer
Angripere har brukt ClickFix-lokkemater til å levere en lang rekke skadevare, ofte i flertrinns infeksjonskjeder:
HijackLoader: En førstetrinnslaster observert i ClickFix-kjeder siden minst juni 2025, ofte etterfulgt av DeerStealer-infosteleren .
CastleLoader (også kjent som CastleBot): Et skadevare-som-tjeneste-rammeverk aktivt siden tidlig 2025. Én kampanje brukte et falskt nettsted for bakgrunnsfjerning for å levere CastleLoader, som deretter installerte NetSupport RAT og en tilpasset .NET-steler som målrettet nettleserlegitimasjon, kryptovaluta-lommebøker og Telegram-økter .
NetSupport RAT: Et legitimt eksternt administrasjonsverktøy som er omformål av angripere for vedvarende bakdørstilgang .
StealC: En informasjonsstjelingstrojaner som målretter nettleserlegitimasjon og kryptovaluta-lommebøker .
Amatera: En infosteler distribuert via en ClickFix-kampanje som kombinerte falske CAPTCHA-er med signerte Microsoft App-V-skript .
Rust-basert steler: Dokumentert i polymorfe ClickFix-kampanjer som startet i slutten av 2025 .
DeerStealer: Observert som den endelige kjørbare nyttelasten levert etter HijackLoader .
ResiLoader: En ny dokumentert laster spesialdesignet for å stoppe over 140 antivirus- og sikkerhetsverktøyprosesser på offerets maskin, og dermed effektivt deaktivere forsvar før den endelige nyttelasten kjøres .
Distribusjonsmetoder
Angripere utnytter en bred blanding av infrastruktur for å være vert for og levere ClickFix-angrep:
Cloudflare R2-lagring: Brukes til å være vert for ondsinnede nyttelast-binærfiler .
Cloudflare Pages-underdomener: Misbrukes til å tjene falske CAPTCHA-sider med Cloudflares eget pålitelige sertifikat .
Dedik Services Limited-hosting: Observert som en hosting-leverandør for ClickFix-kommando-og-kontroll-infrastruktur .
Utløpte domener: Registrerte eller re-registrerte utløpte domener for høsting av legitimasjon og levering av nyttelast .
Kompromitterte nettsteder: Den vanligste innledende vektoren. Angripere injiserer ondsinnet JavaScript eller iframes i legitime nettsteder (ofte via plugin-sårbarheter eller CMS-utnyttelser) som omdirigerer besøkende til ClickFix-landingssider .
SEO-forgiftning og malvertising: Falske installeringssider og piratkopierte programvareportaler spredt via søkemotorresultater .
Ghost CMS-sårbarhetsutnyttelse: I mai 2026 misbrukte angripere en kritisk Ghost CMS SQL-injeksjonssårbarhet (CVE‑2026‑26980) for å kapre over 700 legitime utdannings- og teknologinettsteder og injisere ClickFix-oppfordringer .
Truslens betydning: Hvorfor ClickFix dominerer
Microsofts 2025 Digital Defense Report identifiserte ClickFix som den #1 innledende tilgangsmetoden, ansvarlig for 47 % av alle angrep observert av Microsoft Defender Experts det foregående året – og overgikk tradisjonell phishing (35 %) .
ESET-telemetri registrerte en 517 % økning i ClickFix-angrep i første halvdel av 2025 alene .
I én kampanje dokumentert av Menlo Labs leverte ClickFix plattformuavhengige nyttelaster: Windows PowerShell-kommandoer, macOS .command-skript og Linux Bash-skript fra én enkelt polymorf JavaScript-lokkemad .
Det amerikanske Department of Health and Human Services (HHS) utstedte en sektorvarsling om ClickFix i juli 2026, noe som bekrefter teknikkens rekkevidde til kritisk infrastruktur .
Recorded Futures Insikt Group vurderte i mars 2026 at ClickFix sannsynligvis vil forbli den dominerende innledende tilgangsvektoren gjennom 2026 .
Forsvarstiltak: Hva forskere anbefaler
Fordi ClickFix utnytter menneskelig atferd i stedet for en programvaresårbarhet, er forsvar sterkt avhengig av tekniske kontroller og brukerbevissthet :
Begrens PowerShell-utførelse: Blokker ikke-administrative brukere fra å kjøre PowerShell-skript. Angi utførelsespolicyen til Restricted via Group Policy og logg alle PowerShell-utførelseshendelser .
Deaktiver Windows Run-boksen: En registermodifikasjon (NoRun-policy) kan hindre Win+R i å bli brukt til å lime inn og kjøre kommandoer .
Behandle uoppfordrede ledetekstinstruksjoner som røde flagg: Ingen legitime nettsteder eller tjenester ber en bruker om å trykke Win+R, lime inn en kommando og trykke Enter. Dette bør være det øverste punktet i brukeropplæring .
Blokker mshta, cscript og curl fra utførelse i brukerkontekst: Bruk AppLocker eller Windows Defender Application Control for å begrense skripttolker .
Distribuer endepunktregistreringsregler: Overvåk etter uvanlige
powershell.exe -ep bypass
-overordnede prosesser, prosesslinjer fra explorer.exe til skripttolker og RunMRU-registerartefakter .
Bruk utklippstavle-sikkerhetsfunksjoner: Nettleserbaserte utklippstavlebeskyttelser kan forhindre kjernemekanismen for kopiering og liming som ClickFix er avhengig av.
Operas Paste Protect-funksjon
Opera introduserte en innebygd Paste Protect-funksjon (tilgjengelig i Opera 100+ på Windows, macOS og Linux) som avskjærer og blokkerer utklippstavlebaserte pastejacking-angrep. Når et nettsted forsøker å programmatisk skrive en mistenkelig nyttelast til utklippstavlen og deretter oppfordrer brukeren til å lime inn, advarer Paste Protect brukeren og blokkerer operasjonen fra å fullføres. Dette reduserer direkte kjerneteknikken i ClickFix uten at det kreves noen utvidelsesinstallasjon.
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
What is the short answer to "ClickFix-malware: Slik lurer angripere deg til å infisere din egen PC"?
ClickFix er en sosial manipulasjonsteknikk som narrer brukere til å kopiere, lime inn og kjøre ondsinnede kommandoer – og sto for 47 % av alle initialangrep observert av Microsoft i 2025, med en ESET økning på 517 %.
What are the key points to validate first?
ClickFix er en sosial manipulasjonsteknikk som narrer brukere til å kopiere, lime inn og kjøre ondsinnede kommandoer – og sto for 47 % av alle initialangrep observert av Microsoft i 2025, med en ESET økning på 517 %. Angripere forfalsker Google reCAPTCHA og Cloudflare verifiseringssider og gir instruksjoner som 'Trykk Win+R, lim inn og trykk Enter', som deretter laster ned infostelere, løsepengeprogramvare og bakdører som NetSuppo...
What should I do next in practice?
Kjente skadevarer inkluderer HijackLoader, CastleLoader, NetSupport RAT, StealC, Amatera, DeerStealer, en Rust basert steler og ResiLoader – sistnevnte er spesialdesignet for å stoppe over 140 antivirusprosesser før d...
