ClickFix-malware: Slik lurer angripere deg til å infisere din egen PC

Slik fungerer ClickFix: Fire trinns bedrag

Angrepet følger et konsekvent mønster på tvers av nesten alle dokumenterte kampanjer ^EFS:

1. Lokkematen: En bruker besøker et kompromittert eller ondsinnet nettsted og møter en forfalsket bekreftelsesforespørsel – en falsk Google reCAPTCHA, en forfalsket Cloudflare «Bekreft at du er menneske»-side, en falsk nettleseroppdatering eller en svindelaktig QuickBooks- eller Booking.com-feilmelding ^EFE.
2. Kopier-og-lim-instruksjon: Siden viser instruksjoner som: «Trykk Win + R, trykk deretter Ctrl + V, trykk deretter Enter» for å fullføre bekreftelsesoppgaven ^ER.
3. Den skjulte nyttelasten: Det som ble kopiert til brukerens utklippstavle, er en ondsinnet PowerShell-, mshta- eller curl-kommando som laster ned og kjører en skadevarelaster fra en ekstern server ^HES.
4. Utførelse: Kommandoen kjøres med brukerens egne rettigheter. Fordi brukeren selv limte inn og startet kommandoen, klarer ofte ikke endepunktdeteksjonsverktøy å flagge det som et inntrengingsforsøk ^P.

Denne teknikken kalles også pastejacking fordi den utnytter utklippstavlen som infeksjonsvektor ^RN.

Skadevare som leveres i ClickFix-kampanjer

Angripere har brukt ClickFix-lokkemater til å levere en lang rekke skadevare, ofte i flertrinns infeksjonskjeder:

• HijackLoader: En førstetrinnslaster observert i ClickFix-kjeder siden minst juni 2025, ofte etterfulgt av DeerStealer-infosteleren ^SM.
• CastleLoader (også kjent som CastleBot): Et skadevare-som-tjeneste-rammeverk aktivt siden tidlig 2025. Én kampanje brukte et falskt nettsted for bakgrunnsfjerning for å levere CastleLoader, som deretter installerte NetSupport RAT og en tilpasset .NET-steler som målrettet nettleserlegitimasjon, kryptovaluta-lommebøker og Telegram-økter ^FMH.
• NetSupport RAT: Et legitimt eksternt administrasjonsverktøy som er omformål av angripere for vedvarende bakdørstilgang ^FES.
• StealC: En informasjonsstjelingstrojaner som målretter nettleserlegitimasjon og kryptovaluta-lommebøker ^CC.
• Amatera: En infosteler distribuert via en ClickFix-kampanje som kombinerte falske CAPTCHA-er med signerte Microsoft App-V-skript ^T.
• Rust-basert steler: Dokumentert i polymorfe ClickFix-kampanjer som startet i slutten av 2025 ^F.
• DeerStealer: Observert som den endelige kjørbare nyttelasten levert etter HijackLoader ^S.
• ResiLoader: En ny dokumentert laster spesialdesignet for å stoppe over 140 antivirus- og sikkerhetsverktøyprosesser på offerets maskin, og dermed effektivt deaktivere forsvar før den endelige nyttelasten kjøres ^HP.

Distribusjonsmetoder

Angripere utnytter en bred blanding av infrastruktur for å være vert for og levere ClickFix-angrep:

• Cloudflare R2-lagring: Brukes til å være vert for ondsinnede nyttelast-binærfiler ^H.
• Cloudflare Pages-underdomener: Misbrukes til å tjene falske CAPTCHA-sider med Cloudflares eget pålitelige sertifikat ^H.
• Dedik Services Limited-hosting: Observert som en hosting-leverandør for ClickFix-kommando-og-kontroll-infrastruktur ^H.
• Utløpte domener: Registrerte eller re-registrerte utløpte domener for høsting av legitimasjon og levering av nyttelast ^H.
• Kompromitterte nettsteder: Den vanligste innledende vektoren. Angripere injiserer ondsinnet JavaScript eller iframes i legitime nettsteder (ofte via plugin-sårbarheter eller CMS-utnyttelser) som omdirigerer besøkende til ClickFix-landingssider ^FEM.
• SEO-forgiftning og malvertising: Falske installeringssider og piratkopierte programvareportaler spredt via søkemotorresultater ^MS.
• Ghost CMS-sårbarhetsutnyttelse: I mai 2026 misbrukte angripere en kritisk Ghost CMS SQL-injeksjonssårbarhet (CVE‑2026‑26980) for å kapre over 700 legitime utdannings- og teknologinettsteder og injisere ClickFix-oppfordringer ^M.

Truslens betydning: Hvorfor ClickFix dominerer

• Microsofts 2025 Digital Defense Report identifiserte ClickFix som den #1 innledende tilgangsmetoden, ansvarlig for 47 % av alle angrep observert av Microsoft Defender Experts det foregående året – og overgikk tradisjonell phishing (35 %) ^FCMB.
• ESET-telemetri registrerte en 517 % økning i ClickFix-angrep i første halvdel av 2025 alene ^FCO.
• I én kampanje dokumentert av Menlo Labs leverte ClickFix plattformuavhengige nyttelaster: Windows PowerShell-kommandoer, macOS .command-skript og Linux Bash-skript fra én enkelt polymorf JavaScript-lokkemad ^F.
• Det amerikanske Department of Health and Human Services (HHS) utstedte en sektorvarsling om ClickFix i juli 2026, noe som bekrefter teknikkens rekkevidde til kritisk infrastruktur ^H.
• Recorded Futures Insikt Group vurderte i mars 2026 at ClickFix sannsynligvis vil forbli den dominerende innledende tilgangsvektoren gjennom 2026 ^B.

Forsvarstiltak: Hva forskere anbefaler

Fordi ClickFix utnytter menneskelig atferd i stedet for en programvaresårbarhet, er forsvar sterkt avhengig av tekniske kontroller og brukerbevissthet ^HEM:

• Begrens PowerShell-utførelse: Blokker ikke-administrative brukere fra å kjøre PowerShell-skript. Angi utførelsespolicyen til Restricted via Group Policy og logg alle PowerShell-utførelseshendelser ^HE.
• Deaktiver Windows Run-boksen: En registermodifikasjon (NoRun-policy) kan hindre Win+R i å bli brukt til å lime inn og kjøre kommandoer ^EH.
• Behandle uoppfordrede ledetekstinstruksjoner som røde flagg: Ingen legitime nettsteder eller tjenester ber en bruker om å trykke Win+R, lime inn en kommando og trykke Enter. Dette bør være det øverste punktet i brukeropplæring ^HFM.
• Blokker mshta, cscript og curl fra utførelse i brukerkontekst: Bruk AppLocker eller Windows Defender Application Control for å begrense skripttolker ^HE.
• Distribuer endepunktregistreringsregler: Overvåk etter uvanlige powershell.exe -ep bypass-overordnede prosesser, prosesslinjer fra explorer.exe til skripttolker og RunMRU-registerartefakter ^FU.
• Bruk utklippstavle-sikkerhetsfunksjoner: Nettleserbaserte utklippstavlebeskyttelser kan forhindre kjernemekanismen for kopiering og liming som ClickFix er avhengig av.

Operas Paste Protect-funksjon

Opera introduserte en innebygd Paste Protect-funksjon (tilgjengelig i Opera 100+ på Windows, macOS og Linux) som avskjærer og blokkerer utklippstavlebaserte pastejacking-angrep. Når et nettsted forsøker å programmatisk skrive en mistenkelig nyttelast til utklippstavlen og deretter oppfordrer brukeren til å lime inn, advarer Paste Protect brukeren og blokkerer operasjonen fra å fullføres. Dette reduserer direkte kjerneteknikken i ClickFix uten at det kreves noen utvidelsesinstallasjon.