Nowe oblicze cyberzagrożeń: ClickFix, malware z AI i upadek opłacalności ransomware

Pełny "ESET Threat Report H1 2026" nie został jeszcze opublikowany w chwili pisania tego tekstu. Poniższe wnioski pochodzą z ESET Threat Report H2 2025 (opublikowanego w czerwcu 2026, obejmującego II połowę 2025) ^TE, ESET MDR Threat Report Q1 2026^A oraz kilku innych publikacji badawczych ESET wydanych w I połowie 2026 roku. Wszystkie twierdzenia są opatrzone odpowiednimi cytatami.

ClickFix: Technika socjotechniczna, która eksplodowała o 517%

ClickFix to technika socjotechniczna, która nakłania użytkowników do kopiowania i wklejania złośliwych poleceń (do PowerShell, okna dialogowego Uruchamianie w Windows lub terminala) pod pretekstem naprawy fałszywych błędów, CAPTCHA lub przywracania przeglądarki ^WW. Raport ESET za I połowę 2025 dokumentował, że ClickFix zanotował wzrost o 517% w ciągu sześciu miesięcy, stając się drugim najczęstszym wektorem ataku po phishingu, odpowiadając za prawie 8% wszystkich zablokowanych ataków ^WE.

Nowe warianty: CrashFix, ConsentFix i AI-Fix

CrashFix — Zidentyfikowany przez Microsoft Defender w styczniu 2026 roku, ten wariant celowo zawiesza przeglądarkę ofiary, a następnie zachęca ją do wykonania złośliwych poleceń w celu "przywrócenia" jej funkcjonalności ^M.

ConsentFix — Natywny dla przeglądarki wariant, który nadużywa mechanizmów autoryzacji OAuth do przejęcia kont Microsoft bez użycia złośliwego oprogramowania, kradzieży danych logowania, a nawet bez konieczności wklejania polecenia przez użytkownika ^R. Firma bezpieczeństwa revel8 zaobserwowała w I kwartale 2026 roku siedem aktywnych wariantów ClickFix, w tym ConsentFix i wariant "AI-fix" ukierunkowany na procesy wdrażania narzędzi AI ^R.

Analiza około 3000 aktywnych ładunków ClickFix przeprowadzona przez Threadlinqs Intelligence wykazała, że serwery backendowe dynamicznie generują świeżo zaciemnione polecenia PowerShell przy użyciu Base64, AES, TripleDES, Rijndael i kompresji Deflate ^I.

Ponad 3000 złośliwych umiejętności AI i malware PromptSpy na Androida

Złośliwe umiejętności AI / Agentic Skills — Według raportu El País (8 lipca 2026) powołującego się na najnowsze dane ESET o zagrożeniach, ESET ostrzegł, że w ciągu zaledwie dwóch miesięcy liczba analizowanych unikalnych "AI Skills" (wtyczek dla agentów AI) wzrosła z około 60 000 do blisko 900 000. Spośród nich liczba złośliwych lub podejrzanych umiejętności AI przekroczyła 3000 ^C. Oznacza to gwałtowny wzrost liczby narzędzi ataków opartych na agentach AI.

PromptSpy — ESET Research odkrył PromptSpy, pierwsze znane złośliwe oprogramowanie na Androida wykorzystujące generatywną sztuczną inteligencję w swoim przepływie wykonywania ^EW. Malware wysyła zapytania do modelu Google Gemini w celu interpretacji elementów ekranu na zainfekowanym urządzeniu i dynamicznego określenia, gdzie dotknąć – rozwiązując problem nieprzewidywalnych układów ekranu w tysiącach modeli telefonów i języków ^SW. Jego podstawową funkcją jest wdrożenie modułu VNC do zdalnego sterowania ^TE. Naukowcy zauważyli, że może to być dowód słuszności koncepcji, ale sygnalizuje on znaczącą zmianę w kierunku złośliwego oprogramowania mobilnego wspomaganego przez AI ^AC.

Wzrost ransomware, proliferacja narzędzi EDR-Killer i historyczny spadek płatności

Liczba ataków ransomware wciąż rośnie. Firma Comparitech odnotowała 4217 ataków ransomware na całym świecie w I połowie 2026 roku – to wzrost o 11% w porównaniu z II połową 2025 roku (3809), co daje średnio 23 ataki dziennie ^C. ESET prognozował 40% wzrost liczby ofiar ransomware rok do roku na podstawie danych ze stron wyciekowych za 2025 rok ^E.

Ponad 100 narzędzi do zabijania EDR. Raport ESET Threat Report H2 2025 wskazuje, że narzędzia do zabijania EDR nadal się rozprzestrzeniają, a Akira, Qilin i Warlock należą do ich największych użytkowników ^W. Dogłębna analiza ESET gangu ransomware-as-a-service (RaaS) Gentlemen udokumentowała jego wykorzystanie zarówno niestandardowych, jak i zewnętrznych/wyciekłych narzędzi EDR-killer, w tym HexKiller ^D. Raport ESET MDR Q1 2026 potwierdza, że narzędzia EDR-killer są obecnie standardowym elementem operacji ransomware ^E. Wiele źródeł potwierdza, że ekosystem różnych narzędzi do zabijania EDR przekroczył 100, wykorzystując techniki BYOVD (Bring Your Own Vulnerable Driver) ^GS.

Wskaźniki płatności okupu spadają do historycznych minimów. Firma Coveware poinformowała, że w IV kwartale 2025 roku wskaźnik płatności okupu spadł do 23% (historyczne minimum), a w IV kwartale 2025 roku spadł dalej do 20% – co oznacza, że mniej niż 1 na 5 ofiar zapłaciła ^GSS. Firma Chainalysis oszacowała całkowite płatności ransomware w sieci blockchain na około 820 milionów dolarów w 2025 roku, co jest najniższą roczną wartością od 2021 roku i spadkiem o 8% w porównaniu z 2024 rokiem ^S. Pomimo mniejszej liczby ofiar płacących, mediana płatności okupu gwałtownie wzrosła (o 132% kwartał do kwartału, do 325 000 dolarów), co sugeruje, że atakujący koncentrują się na celach o wyższej wartości ^S.