Jak działa ClickFix – cztery kroki oszustwa

Atak przebiega według stałego schematu, który powtarza się w niemal wszystkich udokumentowanych kampaniach :

1. Przynęta: Użytkownik trafia na przejętą lub fałszywą stronę i widzi podrobiony monit weryfikacyjny – fałszywe Google reCAPTCHA, podrobioną stronę Cloudflare „Zweryfikuj, czy jesteś człowiekiem”, fałszywy komunikat o aktualizacji przeglądarki lub oszukańczy ekran błędu QuickBooks czy Booking.com .
2. Instrukcja kopiuj-wklej: Strona wyświetla polecenie: „Naciśnij Win + R, potem Ctrl + V, potem Enter”, aby dokończyć weryfikację .
3. Ukryty ładunek: To, co trafiło do schowka użytkownika, to złośliwe polecenie PowerShell, mshta lub curl, które pobiera i uruchamia z serwera atakującego loader złośliwego oprogramowania .
4. Wykonanie: Polecenie uruchamia się z uprawnieniami samego użytkownika. Ponieważ to ofiara wkleiła i uruchomiła polecenie, narzędzia do wykrywania zagrożeń często nie klasyfikują tego jako włamania .

Technika ta nazywana jest również pastejackiem, ponieważ infekcja odbywa się za pośrednictwem schowka .

Ładunki dostarczane w kampaniach ClickFix

Atakujący wykorzystali przynęty ClickFix do dystrybucji szerokiej gamy złośliwego oprogramowania, często w wieloetapowych łańcuchach infekcji:

• HijackLoader: Loader pierwszego etapu, obserwowany w łańcuchach ClickFix co najmniej od czerwca 2025 roku, często prowadzący do infostealera DeerStealer .
• CastleLoader (znany też jako CastleBot): Framework malware-as-a-service aktywny od początku 2025 roku. W jednej z kampanii wykorzystano fałszywą stronę do usuwania tła, by dostarczyć CastleLoadera, który następnie instalował NetSupport RAT i własnego .NET stealera kradnącego dane z przeglądarek, portfeli kryptowalut i sesji Telegrama .
• NetSupport RAT: Legalne narzędzie do zdalnego zarządzania, wykorzystywane przez atakujących do utrzymywania trwałego dostępu tylnymi drzwiami .
• StealC: Trojan kradnący informacje, atakujący dane logowania z przeglądarek i portfele kryptowalut .
• Amatera: Infostealer dystrybuowany w kampanii ClickFix łączącej fałszywe CAPTCHA z podpisanymi skryptami Microsoft App-V .
• Stealer napisany w Rust: Udokumentowany w polimorficznych kampaniach ClickFix, które rozpoczęły się pod koniec 2025 roku .
• DeerStealer: Obserwowany jako finalny wykonywalny ładunek dostarczany po HijackLoaderze .
• ResiLoader: Nowo udokumentowany loader zaprojektowany specjalnie do zakończenia ponad 140 procesów antywirusowych i narzędzi bezpieczeństwa na komputerze ofiary, skutecznie wyłączając zabezpieczenia przed uruchomieniem docelowego ładunku .

Metody dystrybucji

Atakujący wykorzystują zróżnicowaną infrastrukturę do hostowania i dostarczania ataków ClickFix:

• Cloudflare R2 storage: Używane do hostowania złośliwych plików binarnych .
• Poddomeny Cloudflare Pages: Wykorzystywane do serwowania fałszywych stron CAPTCHA z zaufanym certyfikatem Cloudflare .
• Hosting Dedik Services Limited: Obserwowany jako dostawca hostingu dla infrastruktury dowodzenia i kontroli (C2) ClickFix .
• Wygasłe domeny: Rejestrowane lub ponownie rejestrowane wygasłe domeny używane do kradzieży danych logowania i dostarczania ładunków .
• Zainfekowane legalne strony: Najczęstszy wektor początkowy. Atakujący wstrzykują złośliwy JavaScript lub iframe do legalnych witryn (często przez podatności we wtyczkach lub exploitach CMS), które przekierowują odwiedzających na strony docelowe ClickFix .
• SEO poisoning i malvertising: Fałszywe strony instalatorów i portale z pirackim oprogramowaniem promowane w wynikach wyszukiwania .
• Eksploatacja podatności Ghost CMS: W maju 2026 roku atakujący wykorzystali krytyczną podatność SQL injection w Ghost CMS (CVE‑2026‑26980) do przejęcia ponad 700 legalnych stron edukacyjnych i technologicznych i wstrzyknięcia na nie monitów ClickFix .

Znaczenie zagrożenia – dlaczego ClickFix dominuje

• Raport Microsoft Digital Defense 2025 określił ClickFix jako główną metodę uzyskiwania wstępnego dostępu, odpowiedzialną za 47% wszystkich ataków zaobserwowanych przez Microsoft Defender Experts w ciągu poprzedniego roku – wyprzedzając tradycyjny phishing (35%) .
• Telemetria ESET odnotowała 517% wzrost ataków ClickFix w pierwszej połowie 2025 roku .
• W jednej z kampanii udokumentowanych przez Menlo Labs ClickFix dostarczał wieloplatformowe ładunki: polecenia PowerShell dla Windows, skrypty .command dla macOS i skrypty Bash dla Linuxa z jednego polimorficznego lure’a JavaScript .
• Amerykański Departament Zdrowia i Opieki Społecznej (HHS) wydał w lipcu 2026 roku alert sektorowy dotyczący ClickFix, potwierdzając zasięg tej techniki w infrastrukturze krytycznej .
• Grupa Insikt z Recorded Future oceniła w marcu 2026 roku, że ClickFix prawdopodobnie pozostanie dominującym wektorem wstępnego dostępu przez cały 2026 rok .

Środki obronne – co zalecają eksperci

Ponieważ ClickFix wykorzystuje ludzkie zachowanie, a nie podatność w oprogramowaniu, obrona opiera się głównie na kontrolach technicznych i świadomości użytkowników :

• Ogranicz wykonywanie PowerShell: Zablokuj uruchamianie skryptów PowerShell przez użytkowników niebędących administratorami. Ustaw politykę wykonawczą na Restricted za pomocą Group Policy i rejestruj wszystkie zdarzenia wykonania PowerShell .
• Wyłącz okno Uruchamianie w Windows: Modyfikacja rejestru (polityka NoRun) może uniemożliwić użycie Win+R do wklejania i uruchamiania poleceń .
• Traktuj nieproszone instrukcje uruchamiania poleceń jako czerwone flagi: Żadna legalna strona internetowa ani usługa nie prosi użytkownika o naciśnięcie Win+R, wklejenie polecenia i naciśnięcie Enter. To powinien być najważniejszy element szkoleń z zakresu cyberbezpieczeństwa .
• Zablokuj mshta, cscript i curl dla kontekstu użytkownika: Użyj AppLocker lub Windows Defender Application Control, aby ograniczyć interpretery skryptów .
• Wdróż reguły wykrywania na punktach końcowych: Monitoruj nietypowe procesy nadrzędne powershell.exe -ep bypass, pochodzenie procesów od explorer.exe do interpreterów skryptów oraz artefakty rejestru RunMRU .
• Korzystaj z funkcji bezpieczeństwa schowka: Ochrona schowka na poziomie przeglądarki może zapobiec mechanizmowi kopiuj-wklej, na którym opiera się ClickFix.

Funkcja Paste Protect w Operze

Opera wprowadziła natywną funkcję Paste Protect (dostępną w Operze 100+ na Windows, macOS i Linux), która przechwytuje i blokuje ataki pastejack oparte na schowku. Gdy strona internetowa próbuje programowo zapisać podejrzany ładunek do schowka, a następnie nakłania użytkownika do jego wklejenia, Paste Protect ostrzega użytkownika i blokuje wykonanie operacji. Rozwiązanie to bezpośrednio neutralizuje główną technikę ClickFix, nie wymagając instalacji żadnych rozszerzeń.

Jak działa ClickFix – cztery kroki oszustwa

Atak przebiega według stałego schematu, który powtarza się w niemal wszystkich udokumentowanych kampaniach :

1. Przynęta: Użytkownik trafia na przejętą lub fałszywą stronę i widzi podrobiony monit weryfikacyjny – fałszywe Google reCAPTCHA, podrobioną stronę Cloudflare „Zweryfikuj, czy jesteś człowiekiem”, fałszywy komunikat o aktualizacji przeglądarki lub oszukańczy ekran błędu QuickBooks czy Booking.com .
2. Instrukcja kopiuj-wklej: Strona wyświetla polecenie: „Naciśnij Win + R, potem Ctrl + V, potem Enter”, aby dokończyć weryfikację .
3. Ukryty ładunek: To, co trafiło do schowka użytkownika, to złośliwe polecenie PowerShell, mshta lub curl, które pobiera i uruchamia z serwera atakującego loader złośliwego oprogramowania .
4. Wykonanie: Polecenie uruchamia się z uprawnieniami samego użytkownika. Ponieważ to ofiara wkleiła i uruchomiła polecenie, narzędzia do wykrywania zagrożeń często nie klasyfikują tego jako włamania .

Technika ta nazywana jest również pastejackiem, ponieważ infekcja odbywa się za pośrednictwem schowka .

Ładunki dostarczane w kampaniach ClickFix

Atakujący wykorzystali przynęty ClickFix do dystrybucji szerokiej gamy złośliwego oprogramowania, często w wieloetapowych łańcuchach infekcji:

• HijackLoader: Loader pierwszego etapu, obserwowany w łańcuchach ClickFix co najmniej od czerwca 2025 roku, często prowadzący do infostealera DeerStealer .
• CastleLoader (znany też jako CastleBot): Framework malware-as-a-service aktywny od początku 2025 roku. W jednej z kampanii wykorzystano fałszywą stronę do usuwania tła, by dostarczyć CastleLoadera, który następnie instalował NetSupport RAT i własnego .NET stealera kradnącego dane z przeglądarek, portfeli kryptowalut i sesji Telegrama .
• NetSupport RAT: Legalne narzędzie do zdalnego zarządzania, wykorzystywane przez atakujących do utrzymywania trwałego dostępu tylnymi drzwiami .
• StealC: Trojan kradnący informacje, atakujący dane logowania z przeglądarek i portfele kryptowalut .
• Amatera: Infostealer dystrybuowany w kampanii ClickFix łączącej fałszywe CAPTCHA z podpisanymi skryptami Microsoft App-V .
• Stealer napisany w Rust: Udokumentowany w polimorficznych kampaniach ClickFix, które rozpoczęły się pod koniec 2025 roku .
• DeerStealer: Obserwowany jako finalny wykonywalny ładunek dostarczany po HijackLoaderze .
• ResiLoader: Nowo udokumentowany loader zaprojektowany specjalnie do zakończenia ponad 140 procesów antywirusowych i narzędzi bezpieczeństwa na komputerze ofiary, skutecznie wyłączając zabezpieczenia przed uruchomieniem docelowego ładunku .

Metody dystrybucji

Atakujący wykorzystują zróżnicowaną infrastrukturę do hostowania i dostarczania ataków ClickFix:

• Cloudflare R2 storage: Używane do hostowania złośliwych plików binarnych .
• Poddomeny Cloudflare Pages: Wykorzystywane do serwowania fałszywych stron CAPTCHA z zaufanym certyfikatem Cloudflare .
• Hosting Dedik Services Limited: Obserwowany jako dostawca hostingu dla infrastruktury dowodzenia i kontroli (C2) ClickFix .
• Wygasłe domeny: Rejestrowane lub ponownie rejestrowane wygasłe domeny używane do kradzieży danych logowania i dostarczania ładunków .
• Zainfekowane legalne strony: Najczęstszy wektor początkowy. Atakujący wstrzykują złośliwy JavaScript lub iframe do legalnych witryn (często przez podatności we wtyczkach lub exploitach CMS), które przekierowują odwiedzających na strony docelowe ClickFix .
• SEO poisoning i malvertising: Fałszywe strony instalatorów i portale z pirackim oprogramowaniem promowane w wynikach wyszukiwania .
• Eksploatacja podatności Ghost CMS: W maju 2026 roku atakujący wykorzystali krytyczną podatność SQL injection w Ghost CMS (CVE‑2026‑26980) do przejęcia ponad 700 legalnych stron edukacyjnych i technologicznych i wstrzyknięcia na nie monitów ClickFix .

Znaczenie zagrożenia – dlaczego ClickFix dominuje

• Raport Microsoft Digital Defense 2025 określił ClickFix jako główną metodę uzyskiwania wstępnego dostępu, odpowiedzialną za 47% wszystkich ataków zaobserwowanych przez Microsoft Defender Experts w ciągu poprzedniego roku – wyprzedzając tradycyjny phishing (35%) .
• Telemetria ESET odnotowała 517% wzrost ataków ClickFix w pierwszej połowie 2025 roku .
• W jednej z kampanii udokumentowanych przez Menlo Labs ClickFix dostarczał wieloplatformowe ładunki: polecenia PowerShell dla Windows, skrypty .command dla macOS i skrypty Bash dla Linuxa z jednego polimorficznego lure’a JavaScript .
• Amerykański Departament Zdrowia i Opieki Społecznej (HHS) wydał w lipcu 2026 roku alert sektorowy dotyczący ClickFix, potwierdzając zasięg tej techniki w infrastrukturze krytycznej .
• Grupa Insikt z Recorded Future oceniła w marcu 2026 roku, że ClickFix prawdopodobnie pozostanie dominującym wektorem wstępnego dostępu przez cały 2026 rok .

Środki obronne – co zalecają eksperci

Ponieważ ClickFix wykorzystuje ludzkie zachowanie, a nie podatność w oprogramowaniu, obrona opiera się głównie na kontrolach technicznych i świadomości użytkowników :

• Ogranicz wykonywanie PowerShell: Zablokuj uruchamianie skryptów PowerShell przez użytkowników niebędących administratorami. Ustaw politykę wykonawczą na Restricted za pomocą Group Policy i rejestruj wszystkie zdarzenia wykonania PowerShell .
• Wyłącz okno Uruchamianie w Windows: Modyfikacja rejestru (polityka NoRun) może uniemożliwić użycie Win+R do wklejania i uruchamiania poleceń .
• Traktuj nieproszone instrukcje uruchamiania poleceń jako czerwone flagi: Żadna legalna strona internetowa ani usługa nie prosi użytkownika o naciśnięcie Win+R, wklejenie polecenia i naciśnięcie Enter. To powinien być najważniejszy element szkoleń z zakresu cyberbezpieczeństwa .
• Zablokuj mshta, cscript i curl dla kontekstu użytkownika: Użyj AppLocker lub Windows Defender Application Control, aby ograniczyć interpretery skryptów .
• Wdróż reguły wykrywania na punktach końcowych: Monitoruj nietypowe procesy nadrzędne powershell.exe -ep bypass, pochodzenie procesów od explorer.exe do interpreterów skryptów oraz artefakty rejestru RunMRU .
• Korzystaj z funkcji bezpieczeństwa schowka: Ochrona schowka na poziomie przeglądarki może zapobiec mechanizmowi kopiuj-wklej, na którym opiera się ClickFix.

Funkcja Paste Protect w Operze

Opera wprowadziła natywną funkcję Paste Protect (dostępną w Operze 100+ na Windows, macOS i Linux), która przechwytuje i blokuje ataki pastejack oparte na schowku. Gdy strona internetowa próbuje programowo zapisać podejrzany ładunek do schowka, a następnie nakłania użytkownika do jego wklejenia, Paste Protect ostrzega użytkownika i blokuje wykonanie operacji. Rozwiązanie to bezpośrednio neutralizuje główną technikę ClickFix, nie wymagając instalacji żadnych rozszerzeń.