Nowe oblicze cyberzagrożeń: ClickFix, malware z AI i upadek opłacalności ransomware

Pełny "ESET Threat Report H1 2026" nie został jeszcze opublikowany w chwili pisania tego tekstu. Poniższe wnioski pochodzą z ESET Threat Report H2 2025 (opublikowanego w czerwcu 2026, obejmującego II połowę 2025) , ESET MDR Threat Report Q1 2026 oraz kilku innych publikacji badawczych ESET wydanych w I połowie 2026 roku. Wszystkie twierdzenia są opatrzone odpowiednimi cytatami.

ClickFix: Technika socjotechniczna, która eksplodowała o 517%

ClickFix to technika socjotechniczna, która nakłania użytkowników do kopiowania i wklejania złośliwych poleceń (do PowerShell, okna dialogowego Uruchamianie w Windows lub terminala) pod pretekstem naprawy fałszywych błędów, CAPTCHA lub przywracania przeglądarki . Raport ESET za I połowę 2025 dokumentował, że ClickFix zanotował wzrost o 517% w ciągu sześciu miesięcy, stając się drugim najczęstszym wektorem ataku po phishingu, odpowiadając za prawie 8% wszystkich zablokowanych ataków .

Nowe warianty: CrashFix, ConsentFix i AI-Fix

CrashFix — Zidentyfikowany przez Microsoft Defender w styczniu 2026 roku, ten wariant celowo zawiesza przeglądarkę ofiary, a następnie zachęca ją do wykonania złośliwych poleceń w celu "przywrócenia" jej funkcjonalności .

ConsentFix — Natywny dla przeglądarki wariant, który nadużywa mechanizmów autoryzacji OAuth do przejęcia kont Microsoft bez użycia złośliwego oprogramowania, kradzieży danych logowania, a nawet bez konieczności wklejania polecenia przez użytkownika . Firma bezpieczeństwa revel8 zaobserwowała w I kwartale 2026 roku siedem aktywnych wariantów ClickFix, w tym ConsentFix i wariant "AI-fix" ukierunkowany na procesy wdrażania narzędzi AI .

Analiza około 3000 aktywnych ładunków ClickFix przeprowadzona przez Threadlinqs Intelligence wykazała, że serwery backendowe dynamicznie generują świeżo zaciemnione polecenia PowerShell przy użyciu Base64, AES, TripleDES, Rijndael i kompresji Deflate .

Ponad 3000 złośliwych umiejętności AI i malware PromptSpy na Androida

Złośliwe umiejętności AI / Agentic Skills — Według raportu El País (8 lipca 2026) powołującego się na najnowsze dane ESET o zagrożeniach, ESET ostrzegł, że w ciągu zaledwie dwóch miesięcy liczba analizowanych unikalnych "AI Skills" (wtyczek dla agentów AI) wzrosła z około 60 000 do blisko 900 000. Spośród nich liczba złośliwych lub podejrzanych umiejętności AI przekroczyła 3000 . Oznacza to gwałtowny wzrost liczby narzędzi ataków opartych na agentach AI.

PromptSpy — ESET Research odkrył PromptSpy, pierwsze znane złośliwe oprogramowanie na Androida wykorzystujące generatywną sztuczną inteligencję w swoim przepływie wykonywania . Malware wysyła zapytania do modelu Google Gemini w celu interpretacji elementów ekranu na zainfekowanym urządzeniu i dynamicznego określenia, gdzie dotknąć – rozwiązując problem nieprzewidywalnych układów ekranu w tysiącach modeli telefonów i języków . Jego podstawową funkcją jest wdrożenie modułu VNC do zdalnego sterowania . Naukowcy zauważyli, że może to być dowód słuszności koncepcji, ale sygnalizuje on znaczącą zmianę w kierunku złośliwego oprogramowania mobilnego wspomaganego przez AI .

Wzrost ransomware, proliferacja narzędzi EDR-Killer i historyczny spadek płatności

Liczba ataków ransomware wciąż rośnie. Firma Comparitech odnotowała 4217 ataków ransomware na całym świecie w I połowie 2026 roku – to wzrost o 11% w porównaniu z II połową 2025 roku (3809), co daje średnio 23 ataki dziennie . ESET prognozował 40% wzrost liczby ofiar ransomware rok do roku na podstawie danych ze stron wyciekowych za 2025 rok .

Ponad 100 narzędzi do zabijania EDR. Raport ESET Threat Report H2 2025 wskazuje, że narzędzia do zabijania EDR nadal się rozprzestrzeniają, a Akira, Qilin i Warlock należą do ich największych użytkowników . Dogłębna analiza ESET gangu ransomware-as-a-service (RaaS) Gentlemen udokumentowała jego wykorzystanie zarówno niestandardowych, jak i zewnętrznych/wyciekłych narzędzi EDR-killer, w tym HexKiller . Raport ESET MDR Q1 2026 potwierdza, że narzędzia EDR-killer są obecnie standardowym elementem operacji ransomware . Wiele źródeł potwierdza, że ekosystem różnych narzędzi do zabijania EDR przekroczył 100, wykorzystując techniki BYOVD (Bring Your Own Vulnerable Driver) .

Wskaźniki płatności okupu spadają do historycznych minimów. Firma Coveware poinformowała, że w IV kwartale 2025 roku wskaźnik płatności okupu spadł do 23% (historyczne minimum), a w IV kwartale 2025 roku spadł dalej do 20% – co oznacza, że mniej niż 1 na 5 ofiar zapłaciła . Firma Chainalysis oszacowała całkowite płatności ransomware w sieci blockchain na około 820 milionów dolarów w 2025 roku, co jest najniższą roczną wartością od 2021 roku i spadkiem o 8% w porównaniu z 2024 rokiem . Pomimo mniejszej liczby ofiar płacących, mediana płatności okupu gwałtownie wzrosła (o 132% kwartał do kwartału, do 325 000 dolarów), co sugeruje, że atakujący koncentrują się na celach o wyższej wartości .