Как работает ClickFix: четыре шага обмана

Атака следует неизменному шаблону, задокументированному почти во всех кампаниях :

1. Приманка. Пользователь заходит на взломанный или поддельный сайт и видит поддельное окно проверки: фальшивую Google reCAPTCHA, поддельную страницу Cloudflare с надписью «Подтвердите, что вы человек», сообщение о необходимости обновить браузер или мошеннический экран с ошибкой от QuickBooks или Booking.com .
2. Инструкция «скопируй и вставь». На странице появляются указания: «Нажмите Win + R, затем Ctrl + V, затем Enter», чтобы завершить проверку .
3. Скрытая нагрузка. В буфер обмена пользователя незаметно копируется вредоносная команда PowerShell, mshta или curl, которая загружает и запускает загрузчик вредоносного ПО с удалённого сервера .
4. Выполнение. Команда запускается с правами самого пользователя. Поскольку пользователь сам вставил и выполнил её, средства обнаружения на конечных точках часто не распознают это как вторжение .

Эта техника также известна как pastejacking (перехват буфера обмена), поскольку инфекционным вектором выступает буфер обмена .

Доставляемые payload’ы в кампаниях ClickFix

Злоумышленники использовали ClickFix для доставки широкого спектра вредоносных программ, часто в виде многоступенчатых цепочек заражения:

• HijackLoader: Загрузчик первого этапа, наблюдаемый в цепочках ClickFix как минимум с июня 2025 года, за которым часто следует стилер DeerStealer .
• CastleLoader (также известен как CastleBot): Фреймворк «Вредоносное ПО как услуга», активный с начала 2025 года. Одна из кампаний использовала поддельный сайт для удаления фона, чтобы доставить CastleLoader, который затем устанавливал NetSupport RAT и кастомный .NET-стилер, нацеленный на кражу учётных данных браузера, криптокошельков и сессий Telegram .
• NetSupport RAT: Легитимный инструмент удалённого администрирования, перепрофилированный злоумышленниками для организации постоянного бэкдора .
• StealC: Троян для кражи информации, нацеленный на учётные данные браузера и криптокошельки .
• Amatera: Стилер, распространяемый через кампанию ClickFix, в которой поддельные капчи сочетались с подписанными скриптами Microsoft App-V .
• Rust-based стилер: Задокументирован в полиморфных кампаниях ClickFix, начавшихся в конце 2025 года .
• DeerStealer: Наблюдался как конечный исполняемый payload после HijackLoader .
• ResiLoader: Недавно задокументированный загрузчик, предназначенный для завершения более 140 антивирусных процессов на машине жертвы, фактически отключая защиту перед запуском основного payload’а .

Методы распространения

Злоумышленники используют разнообразную инфраструктуру для хостинга и доставки атак ClickFix:

• Cloudflare R2 storage: Используется для хостинга вредоносных бинарных файлов .
• Cloudflare Pages subdomains: Используются для размещения поддельных страниц с капчей, имеющих доверенный сертификат Cloudflare .
• Хостинг Dedik Services Limited: Наблюдался в качестве хостинг-провайдера для инфраструктуры управления и контроля (C2) ClickFix .
• Просроченные домены: Зарегистрированные или перерегистрированные просроченные домены используются для кражи учётных данных и доставки вредоносного ПО .
• Взломанные сайты: Самый распространённый начальный вектор. Злоумышленники внедряют вредоносный JavaScript или iframe’ы на легитимные сайты (часто через уязвимости плагинов или CMS), которые перенаправляют посетителей на страницы ClickFix .
• SEO-отравление и вредоносная реклама: Поддельные сайты установщиков и порталы пиратского ПО, продвигаемые через результаты поиска .
• Эксплуатация уязвимости Ghost CMS: В мае 2026 года атакующие использовали критическую уязвимость SQL-инъекции в Ghost CMS (CVE‑2026‑26980), чтобы взломать более 700 легитимных сайтов образовательных и технологических учреждений и внедрить на них подсказки ClickFix .

Значимость угрозы: почему ClickFix доминирует

• Отчёт Microsoft «Digital Defense Report 2025» определил ClickFix как основной метод начального доступа, на который пришлось 47% всех атак, наблюдаемых экспертами Microsoft Defender за предыдущий год — что превышает долю традиционного фишинга в 35% .
• Телеметрия ESET зафиксировала рост атак ClickFix на 517% только в первой половине 2025 года .
• В одной из кампаний, задокументированной Menlo Labs, ClickFix доставлял кроссплатформенные payload’ы: команды PowerShell для Windows, скрипты .command для macOS и bash-скрипты для Linux из единого полиморфного JavaScript-фишинга .
• Министерство здравоохранения и социальных служб США (HHS) выпустило отраслевое предупреждение о ClickFix в июле 2026 года, подтвердив проникновение этой техники в критическую инфраструктуру .
• Аналитическая группа Insikt из Recorded Future в марте 2026 года оценила, что ClickFix, скорее всего, останется доминирующим вектором начального доступа на протяжении всего 2026 года .

Меры защиты: что рекомендуют исследователи

Поскольку ClickFix эксплуатирует поведение человека, а не уязвимости ПО, защита в значительной степени опирается на технические средства контроля и осведомлённость пользователей :

• Ограничьте выполнение PowerShell: Запретите обычным пользователям запускать скрипты PowerShell. Установите политику выполнения в значение Restricted через групповые политики и включите журналирование всех событий выполнения PowerShell .
• Отключите окно «Выполнить»: Изменение реестра (политика NoRun) может предотвратить использование Win+R для вставки и выполнения команд .
• Относитесь к любым инструкциям ввести команду как к подозрительным: Ни один легальный сайт или сервис не попросит вас нажать Win+R, вставить команду и нажать Enter. Это должно быть главным пунктом в обучении пользователей .
• Заблокируйте выполнение mshta, cscript и curl в пользовательском контексте: Используйте AppLocker или Windows Defender Application Control для ограничения интерпретаторов скриптов .
• Разверните правила обнаружения на конечных точках: Отслеживайте необычные родительские процессы powershell.exe -ep bypass, цепочки процессов от explorer.exe к интерпретаторам скриптов, а также артефакты реестра RunMRU .
• Используйте функции безопасности буфера обмена: Встроенные в браузеры механизмы защиты буфера обмена могут предотвратить ключевой механизм копирования-вставки, на который полагается ClickFix.

Функция Paste Protect в браузере Opera

Opera представила нативную функцию Paste Protect (доступна в Opera 100+ на Windows, macOS и Linux), которая перехватывает и блокирует атаки типа pastejacking. Когда сайт пытается программно записать подозрительный payload в буфер обмена, а затем предлагает пользователю вставить его, Paste Protect предупреждает пользователя и блокирует завершение операции. Это напрямую нейтрализует основной механизм атаки ClickFix без необходимости установки каких-либо расширений.

Как работает ClickFix: четыре шага обмана

Атака следует неизменному шаблону, задокументированному почти во всех кампаниях :

1. Приманка. Пользователь заходит на взломанный или поддельный сайт и видит поддельное окно проверки: фальшивую Google reCAPTCHA, поддельную страницу Cloudflare с надписью «Подтвердите, что вы человек», сообщение о необходимости обновить браузер или мошеннический экран с ошибкой от QuickBooks или Booking.com .
2. Инструкция «скопируй и вставь». На странице появляются указания: «Нажмите Win + R, затем Ctrl + V, затем Enter», чтобы завершить проверку .
3. Скрытая нагрузка. В буфер обмена пользователя незаметно копируется вредоносная команда PowerShell, mshta или curl, которая загружает и запускает загрузчик вредоносного ПО с удалённого сервера .
4. Выполнение. Команда запускается с правами самого пользователя. Поскольку пользователь сам вставил и выполнил её, средства обнаружения на конечных точках часто не распознают это как вторжение .

Эта техника также известна как pastejacking (перехват буфера обмена), поскольку инфекционным вектором выступает буфер обмена .

Доставляемые payload’ы в кампаниях ClickFix

Злоумышленники использовали ClickFix для доставки широкого спектра вредоносных программ, часто в виде многоступенчатых цепочек заражения:

• HijackLoader: Загрузчик первого этапа, наблюдаемый в цепочках ClickFix как минимум с июня 2025 года, за которым часто следует стилер DeerStealer .
• CastleLoader (также известен как CastleBot): Фреймворк «Вредоносное ПО как услуга», активный с начала 2025 года. Одна из кампаний использовала поддельный сайт для удаления фона, чтобы доставить CastleLoader, который затем устанавливал NetSupport RAT и кастомный .NET-стилер, нацеленный на кражу учётных данных браузера, криптокошельков и сессий Telegram .
• NetSupport RAT: Легитимный инструмент удалённого администрирования, перепрофилированный злоумышленниками для организации постоянного бэкдора .
• StealC: Троян для кражи информации, нацеленный на учётные данные браузера и криптокошельки .
• Amatera: Стилер, распространяемый через кампанию ClickFix, в которой поддельные капчи сочетались с подписанными скриптами Microsoft App-V .
• Rust-based стилер: Задокументирован в полиморфных кампаниях ClickFix, начавшихся в конце 2025 года .
• DeerStealer: Наблюдался как конечный исполняемый payload после HijackLoader .
• ResiLoader: Недавно задокументированный загрузчик, предназначенный для завершения более 140 антивирусных процессов на машине жертвы, фактически отключая защиту перед запуском основного payload’а .

Методы распространения

Злоумышленники используют разнообразную инфраструктуру для хостинга и доставки атак ClickFix:

• Cloudflare R2 storage: Используется для хостинга вредоносных бинарных файлов .
• Cloudflare Pages subdomains: Используются для размещения поддельных страниц с капчей, имеющих доверенный сертификат Cloudflare .
• Хостинг Dedik Services Limited: Наблюдался в качестве хостинг-провайдера для инфраструктуры управления и контроля (C2) ClickFix .
• Просроченные домены: Зарегистрированные или перерегистрированные просроченные домены используются для кражи учётных данных и доставки вредоносного ПО .
• Взломанные сайты: Самый распространённый начальный вектор. Злоумышленники внедряют вредоносный JavaScript или iframe’ы на легитимные сайты (часто через уязвимости плагинов или CMS), которые перенаправляют посетителей на страницы ClickFix .
• SEO-отравление и вредоносная реклама: Поддельные сайты установщиков и порталы пиратского ПО, продвигаемые через результаты поиска .
• Эксплуатация уязвимости Ghost CMS: В мае 2026 года атакующие использовали критическую уязвимость SQL-инъекции в Ghost CMS (CVE‑2026‑26980), чтобы взломать более 700 легитимных сайтов образовательных и технологических учреждений и внедрить на них подсказки ClickFix .

Значимость угрозы: почему ClickFix доминирует

• Отчёт Microsoft «Digital Defense Report 2025» определил ClickFix как основной метод начального доступа, на который пришлось 47% всех атак, наблюдаемых экспертами Microsoft Defender за предыдущий год — что превышает долю традиционного фишинга в 35% .
• Телеметрия ESET зафиксировала рост атак ClickFix на 517% только в первой половине 2025 года .
• В одной из кампаний, задокументированной Menlo Labs, ClickFix доставлял кроссплатформенные payload’ы: команды PowerShell для Windows, скрипты .command для macOS и bash-скрипты для Linux из единого полиморфного JavaScript-фишинга .
• Министерство здравоохранения и социальных служб США (HHS) выпустило отраслевое предупреждение о ClickFix в июле 2026 года, подтвердив проникновение этой техники в критическую инфраструктуру .
• Аналитическая группа Insikt из Recorded Future в марте 2026 года оценила, что ClickFix, скорее всего, останется доминирующим вектором начального доступа на протяжении всего 2026 года .

Меры защиты: что рекомендуют исследователи

Поскольку ClickFix эксплуатирует поведение человека, а не уязвимости ПО, защита в значительной степени опирается на технические средства контроля и осведомлённость пользователей :

• Ограничьте выполнение PowerShell: Запретите обычным пользователям запускать скрипты PowerShell. Установите политику выполнения в значение Restricted через групповые политики и включите журналирование всех событий выполнения PowerShell .
• Отключите окно «Выполнить»: Изменение реестра (политика NoRun) может предотвратить использование Win+R для вставки и выполнения команд .
• Относитесь к любым инструкциям ввести команду как к подозрительным: Ни один легальный сайт или сервис не попросит вас нажать Win+R, вставить команду и нажать Enter. Это должно быть главным пунктом в обучении пользователей .
• Заблокируйте выполнение mshta, cscript и curl в пользовательском контексте: Используйте AppLocker или Windows Defender Application Control для ограничения интерпретаторов скриптов .
• Разверните правила обнаружения на конечных точках: Отслеживайте необычные родительские процессы powershell.exe -ep bypass, цепочки процессов от explorer.exe к интерпретаторам скриптов, а также артефакты реестра RunMRU .
• Используйте функции безопасности буфера обмена: Встроенные в браузеры механизмы защиты буфера обмена могут предотвратить ключевой механизм копирования-вставки, на который полагается ClickFix.

Функция Paste Protect в браузере Opera

Opera представила нативную функцию Paste Protect (доступна в Opera 100+ на Windows, macOS и Linux), которая перехватывает и блокирует атаки типа pastejacking. Когда сайт пытается программно записать подозрительный payload в буфер обмена, а затем предлагает пользователю вставить его, Paste Protect предупреждает пользователя и блокирует завершение операции. Это напрямую нейтрализует основной механизм атаки ClickFix без необходимости установки каких-либо расширений.