ClickFix: najgroźniejsza socjotechnika 2025 roku – jak działa i jak się chronić

Jak działa ClickFix – cztery kroki oszustwa

Atak przebiega według stałego schematu, który powtarza się w niemal wszystkich udokumentowanych kampaniach ^EFS:

1. Przynęta: Użytkownik trafia na przejętą lub fałszywą stronę i widzi podrobiony monit weryfikacyjny – fałszywe Google reCAPTCHA, podrobioną stronę Cloudflare „Zweryfikuj, czy jesteś człowiekiem”, fałszywy komunikat o aktualizacji przeglądarki lub oszukańczy ekran błędu QuickBooks czy Booking.com ^EFE.
2. Instrukcja kopiuj-wklej: Strona wyświetla polecenie: „Naciśnij Win + R, potem Ctrl + V, potem Enter”, aby dokończyć weryfikację ^ER.
3. Ukryty ładunek: To, co trafiło do schowka użytkownika, to złośliwe polecenie PowerShell, mshta lub curl, które pobiera i uruchamia z serwera atakującego loader złośliwego oprogramowania ^HES.
4. Wykonanie: Polecenie uruchamia się z uprawnieniami samego użytkownika. Ponieważ to ofiara wkleiła i uruchomiła polecenie, narzędzia do wykrywania zagrożeń często nie klasyfikują tego jako włamania ^P.

Technika ta nazywana jest również pastejackiem, ponieważ infekcja odbywa się za pośrednictwem schowka ^RN.

Ładunki dostarczane w kampaniach ClickFix

Atakujący wykorzystali przynęty ClickFix do dystrybucji szerokiej gamy złośliwego oprogramowania, często w wieloetapowych łańcuchach infekcji:

• HijackLoader: Loader pierwszego etapu, obserwowany w łańcuchach ClickFix co najmniej od czerwca 2025 roku, często prowadzący do infostealera DeerStealer ^SM.
• CastleLoader (znany też jako CastleBot): Framework malware-as-a-service aktywny od początku 2025 roku. W jednej z kampanii wykorzystano fałszywą stronę do usuwania tła, by dostarczyć CastleLoadera, który następnie instalował NetSupport RAT i własnego .NET stealera kradnącego dane z przeglądarek, portfeli kryptowalut i sesji Telegrama ^FMH.
• NetSupport RAT: Legalne narzędzie do zdalnego zarządzania, wykorzystywane przez atakujących do utrzymywania trwałego dostępu tylnymi drzwiami ^FES.
• StealC: Trojan kradnący informacje, atakujący dane logowania z przeglądarek i portfele kryptowalut ^CC.
• Amatera: Infostealer dystrybuowany w kampanii ClickFix łączącej fałszywe CAPTCHA z podpisanymi skryptami Microsoft App-V ^T.
• Stealer napisany w Rust: Udokumentowany w polimorficznych kampaniach ClickFix, które rozpoczęły się pod koniec 2025 roku ^F.
• DeerStealer: Obserwowany jako finalny wykonywalny ładunek dostarczany po HijackLoaderze ^S.
• ResiLoader: Nowo udokumentowany loader zaprojektowany specjalnie do zakończenia ponad 140 procesów antywirusowych i narzędzi bezpieczeństwa na komputerze ofiary, skutecznie wyłączając zabezpieczenia przed uruchomieniem docelowego ładunku ^HP.

Metody dystrybucji

Atakujący wykorzystują zróżnicowaną infrastrukturę do hostowania i dostarczania ataków ClickFix:

• Cloudflare R2 storage: Używane do hostowania złośliwych plików binarnych ^H.
• Poddomeny Cloudflare Pages: Wykorzystywane do serwowania fałszywych stron CAPTCHA z zaufanym certyfikatem Cloudflare ^H.
• Hosting Dedik Services Limited: Obserwowany jako dostawca hostingu dla infrastruktury dowodzenia i kontroli (C2) ClickFix ^H.
• Wygasłe domeny: Rejestrowane lub ponownie rejestrowane wygasłe domeny używane do kradzieży danych logowania i dostarczania ładunków ^H.
• Zainfekowane legalne strony: Najczęstszy wektor początkowy. Atakujący wstrzykują złośliwy JavaScript lub iframe do legalnych witryn (często przez podatności we wtyczkach lub exploitach CMS), które przekierowują odwiedzających na strony docelowe ClickFix ^FEM.
• SEO poisoning i malvertising: Fałszywe strony instalatorów i portale z pirackim oprogramowaniem promowane w wynikach wyszukiwania ^MS.
• Eksploatacja podatności Ghost CMS: W maju 2026 roku atakujący wykorzystali krytyczną podatność SQL injection w Ghost CMS (CVE‑2026‑26980) do przejęcia ponad 700 legalnych stron edukacyjnych i technologicznych i wstrzyknięcia na nie monitów ClickFix ^M.

Znaczenie zagrożenia – dlaczego ClickFix dominuje

• Raport Microsoft Digital Defense 2025 określił ClickFix jako główną metodę uzyskiwania wstępnego dostępu, odpowiedzialną za 47% wszystkich ataków zaobserwowanych przez Microsoft Defender Experts w ciągu poprzedniego roku – wyprzedzając tradycyjny phishing (35%) ^FCMB.
• Telemetria ESET odnotowała 517% wzrost ataków ClickFix w pierwszej połowie 2025 roku ^FCO.
• W jednej z kampanii udokumentowanych przez Menlo Labs ClickFix dostarczał wieloplatformowe ładunki: polecenia PowerShell dla Windows, skrypty .command dla macOS i skrypty Bash dla Linuxa z jednego polimorficznego lure’a JavaScript ^F.
• Amerykański Departament Zdrowia i Opieki Społecznej (HHS) wydał w lipcu 2026 roku alert sektorowy dotyczący ClickFix, potwierdzając zasięg tej techniki w infrastrukturze krytycznej ^H.
• Grupa Insikt z Recorded Future oceniła w marcu 2026 roku, że ClickFix prawdopodobnie pozostanie dominującym wektorem wstępnego dostępu przez cały 2026 rok ^B.

Środki obronne – co zalecają eksperci

Ponieważ ClickFix wykorzystuje ludzkie zachowanie, a nie podatność w oprogramowaniu, obrona opiera się głównie na kontrolach technicznych i świadomości użytkowników ^HEM:

• Ogranicz wykonywanie PowerShell: Zablokuj uruchamianie skryptów PowerShell przez użytkowników niebędących administratorami. Ustaw politykę wykonawczą na Restricted za pomocą Group Policy i rejestruj wszystkie zdarzenia wykonania PowerShell ^HE.
• Wyłącz okno Uruchamianie w Windows: Modyfikacja rejestru (polityka NoRun) może uniemożliwić użycie Win+R do wklejania i uruchamiania poleceń ^EH.
• Traktuj nieproszone instrukcje uruchamiania poleceń jako czerwone flagi: Żadna legalna strona internetowa ani usługa nie prosi użytkownika o naciśnięcie Win+R, wklejenie polecenia i naciśnięcie Enter. To powinien być najważniejszy element szkoleń z zakresu cyberbezpieczeństwa ^HFM.
• Zablokuj mshta, cscript i curl dla kontekstu użytkownika: Użyj AppLocker lub Windows Defender Application Control, aby ograniczyć interpretery skryptów ^HE.
• Wdróż reguły wykrywania na punktach końcowych: Monitoruj nietypowe procesy nadrzędne powershell.exe -ep bypass, pochodzenie procesów od explorer.exe do interpreterów skryptów oraz artefakty rejestru RunMRU ^FU.
• Korzystaj z funkcji bezpieczeństwa schowka: Ochrona schowka na poziomie przeglądarki może zapobiec mechanizmowi kopiuj-wklej, na którym opiera się ClickFix.

Funkcja Paste Protect w Operze

Opera wprowadziła natywną funkcję Paste Protect (dostępną w Operze 100+ na Windows, macOS i Linux), która przechwytuje i blokuje ataki pastejack oparte na schowku. Gdy strona internetowa próbuje programowo zapisać podejrzany ładunek do schowka, a następnie nakłania użytkownika do jego wklejenia, Paste Protect ostrzega użytkownika i blokuje wykonanie operacji. Rozwiązanie to bezpośrednio neutralizuje główną technikę ClickFix, nie wymagając instalacji żadnych rozszerzeń.