Så fungerar ClickFix – bedrägeriet i fyra steg

Attacken följer ett tydligt mönster i nästan alla dokumenterade kampanjer :

1. Lockbetet: En användare besöker en komprometterad eller skadlig webbplats och möts av ett falskt verifieringsmeddelande – ett fejkat Google reCAPTCHA, en falsk Cloudflare-sida med texten "Verify you are human", ett meddelande om en webbläsaruppdatering eller en bedräglig QuickBooks- eller Booking.com-felsida .
2. Instruktioner om att kopiera och klistra in: Sidan visar instruktioner som: "Tryck på Win + R, tryck sedan Ctrl + V och tryck på Enter" för att slutföra verifieringen .
3. Dold angreppskod: Det som har kopierats till användarens urklipp är i själva verket ett skadligt PowerShell-, mshta- eller curl-kommando som laddar ner en skadlig programvara från en fjärrserver .
4. Exekvering: Kommandot körs med användarens egna behörigheter. Eftersom användaren själv har klistrat in och kört det, flaggar sällan säkerhetsprogrammet det som ett intrång .

Tekniken kallas även pastejacking eftersom den använder urklippet som smittväg .

Skadeprogram som sprids med ClickFix

Angripare har använt ClickFix-lockbeten för att sprida en rad olika skadeprogram, ofta i flera steg:

• HijackLoader: En första lastare som observerats i ClickFix-kedjor sedan åtminstone juni 2025, ofta följd av informationsstöldaren DeerStealer .
• CastleLoader (även CastleBot): Ett skadeprogram-som-tjänst som varit aktivt sedan tidigt 2025. En kampanj använde en falsk webbplats för borttagning av bakgrundsbilder för att leverera CastleLoader, som sedan installerade NetSupport RAT och en egenutvecklad .NET-stöldare som riktade in sig på webbinloggningar, kryptovaluta-plånböcker och Telegram-sessioner .
• NetSupport RAT: Ett legitimt fjärradministrationsverktyg som används av angripare för ihållande bakdörrsåtkomst .
• StealC: En informationsstöldare som riktar in sig på webbinloggningar och kryptovaluta-plånböcker .
• Amatera: En informationsstöldare som spridits via en ClickFix-kampanj som kombinerade falska CAPTCHAs med signerade Microsoft App-V-skript .
• Rust-baserad stöldare: Dokumenterad i polymorfa ClickFix-kampanjer som började i slutet av 2025 .
• DeerStealer: Observerades som det slutliga skadeprogrammet efter HijackLoader .
• ResiLoader: En nyligen dokumenterad lastare som är designad för att stoppa över 140 antivirus- och säkerhetsprogram på offrets dator, vilket effektivt inaktiverar försvaret innan den slutliga lasten körs .

Distributionsmetoder

Angripare använder en bred blandning av infrastruktur för att vara värd för och leverera ClickFix-attacker:

• Cloudflare R2-lagring: Används för att vara värd för skadliga programfiler .
• Cloudflare Pages-subdomäner: Utnyttjas för att leverera falska CAPTCHA-sidor med Cloudflares betrodda certifikat .
• Dedik Services Limited hosting: Observerats som värd för ClickFix-kommandon och kontrollinfrastruktur .
• Utgångna domäner: Registrerade eller återregistrerade utgångna domäner som används för att samla in inloggningsuppgifter och leverera skadeprogram .
• Komprometterade webbplatser: Den vanligaste smittvägen. Angripare injicerar skadlig JavaScript eller iframes på legitima webbplatser (ofta via sårbarheter i plugin-program eller CMS-attacker) som omdirigerar besökare till ClickFix-sidor .
• SEO-förgiftning och skadlig annonsering: Falska installationssidor och portaler med piratkopierad programvara som marknadsförs via sökresultat .
• Ghost CMS-sårbarhet: I maj 2026 utnyttjade angripare en allvarlig Ghost CMS SQL-injektionssårbarhet (CVE‑2026‑26980) för att kapa över 700 legitima utbildnings- och teknikwebbplatser och injicera ClickFix-meddelanden .

Varför ClickFix dominerar hotbilden

• Microsofts rapport om digitalt försvar 2025 identifierade ClickFix som den vanligaste metoden för första intrång, ansvarig för 47 % av alla attacker som observerats av Microsoft Defender Experts under det senaste året – vilket överträffar traditionella nätfiskeattacker (35 %) .
• ESETs telemetri visade en ökning på 517 % i ClickFix-attacker under första halvåret 2025 .
• I en kampanj som dokumenterats av Menlo Labs levererade ClickFix plattformsoberoende skadeprogram: Windows PowerShell-kommandon, macOS .command-skript och Linux Bash-skript från en enda polymorf JavaScript-lure .
• Den amerikanska myndigheten för hälsa och socialtjänst (HHS) utfärdade en sektorsvarning om ClickFix i juli 2026, vilket bekräftar att tekniken når kritisk infrastruktur .
• Recorded Futures Insikt Group bedömde i mars 2026 att ClickFix med stor sannolikhet kommer att förbli den dominerande metoden för första intrång under hela 2026 .

Försvarsåtgärder – så skyddar du dig

Eftersom ClickFix utnyttjar mänskligt beteende snarare än en programvarusårbarhet bygger försvaret i hög grad på tekniska kontroller och användarmedvetenhet :

• Begränsa PowerShell-exekvering: Blockera icke-administrativa användare från att köra PowerShell-skript. Ställ in exekveringspolicyn till Restricted via Group Policy och logga alla PowerShell-exekveringshändelser .
• Inaktivera Windows kör-rutan: En registerändring (policyn NoRun) kan förhindra att Win+R används för att klistra in och köra kommandon .
• Betrakta oanmodade kommandotolksinstruktioner som röda flaggor: Ingen legitim webbplats eller tjänst ber en användare att trycka på Win+R, klistra in ett kommando och trycka på Enter. Detta bör vara den viktigaste punkten i användarutbildningen .
• Blockera mshta, cscript och curl från användarkontextexekvering: Använd AppLocker eller Windows Defender Application Control för att begränsa skripttolkare .
• Implementera regler för slutpunktsdetektering: Övervaka efter ovanliga powershell.exe -ep bypass-föräldraprocesser, processlinjer från explorer.exe till skripttolkare och RunMRU-registerartefakter .
• Använd funktioner för urklippssäkerhet: Webbläsarbaserade urklippsskydd kan förhindra den centrala kopiera-klistra-mekanism som ClickFix utnyttjar.

Operas Paste Protect-funktion

Opera har introducerat en inbyggd Paste Protect-funktion (tillgänglig i Opera 100+ på Windows, macOS och Linux) som fångar upp och blockerar urklippsbaserade pastejacking-attacker. När en webbplats försöker programmatiskt skriva en misstänkt nyttolast till urklippet och sedan uppmanar användaren att klistra in det, varnar Paste Protect användaren och blockerar att åtgärden slutförs. Detta mildrar direkt den centrala ClickFix-tekniken utan att kräva någon tilläggsinstallation.

Så fungerar ClickFix – bedrägeriet i fyra steg

Attacken följer ett tydligt mönster i nästan alla dokumenterade kampanjer :

1. Lockbetet: En användare besöker en komprometterad eller skadlig webbplats och möts av ett falskt verifieringsmeddelande – ett fejkat Google reCAPTCHA, en falsk Cloudflare-sida med texten "Verify you are human", ett meddelande om en webbläsaruppdatering eller en bedräglig QuickBooks- eller Booking.com-felsida .
2. Instruktioner om att kopiera och klistra in: Sidan visar instruktioner som: "Tryck på Win + R, tryck sedan Ctrl + V och tryck på Enter" för att slutföra verifieringen .
3. Dold angreppskod: Det som har kopierats till användarens urklipp är i själva verket ett skadligt PowerShell-, mshta- eller curl-kommando som laddar ner en skadlig programvara från en fjärrserver .
4. Exekvering: Kommandot körs med användarens egna behörigheter. Eftersom användaren själv har klistrat in och kört det, flaggar sällan säkerhetsprogrammet det som ett intrång .

Tekniken kallas även pastejacking eftersom den använder urklippet som smittväg .

Skadeprogram som sprids med ClickFix

Angripare har använt ClickFix-lockbeten för att sprida en rad olika skadeprogram, ofta i flera steg:

• HijackLoader: En första lastare som observerats i ClickFix-kedjor sedan åtminstone juni 2025, ofta följd av informationsstöldaren DeerStealer .
• CastleLoader (även CastleBot): Ett skadeprogram-som-tjänst som varit aktivt sedan tidigt 2025. En kampanj använde en falsk webbplats för borttagning av bakgrundsbilder för att leverera CastleLoader, som sedan installerade NetSupport RAT och en egenutvecklad .NET-stöldare som riktade in sig på webbinloggningar, kryptovaluta-plånböcker och Telegram-sessioner .
• NetSupport RAT: Ett legitimt fjärradministrationsverktyg som används av angripare för ihållande bakdörrsåtkomst .
• StealC: En informationsstöldare som riktar in sig på webbinloggningar och kryptovaluta-plånböcker .
• Amatera: En informationsstöldare som spridits via en ClickFix-kampanj som kombinerade falska CAPTCHAs med signerade Microsoft App-V-skript .
• Rust-baserad stöldare: Dokumenterad i polymorfa ClickFix-kampanjer som började i slutet av 2025 .
• DeerStealer: Observerades som det slutliga skadeprogrammet efter HijackLoader .
• ResiLoader: En nyligen dokumenterad lastare som är designad för att stoppa över 140 antivirus- och säkerhetsprogram på offrets dator, vilket effektivt inaktiverar försvaret innan den slutliga lasten körs .

Distributionsmetoder

Angripare använder en bred blandning av infrastruktur för att vara värd för och leverera ClickFix-attacker:

• Cloudflare R2-lagring: Används för att vara värd för skadliga programfiler .
• Cloudflare Pages-subdomäner: Utnyttjas för att leverera falska CAPTCHA-sidor med Cloudflares betrodda certifikat .
• Dedik Services Limited hosting: Observerats som värd för ClickFix-kommandon och kontrollinfrastruktur .
• Utgångna domäner: Registrerade eller återregistrerade utgångna domäner som används för att samla in inloggningsuppgifter och leverera skadeprogram .
• Komprometterade webbplatser: Den vanligaste smittvägen. Angripare injicerar skadlig JavaScript eller iframes på legitima webbplatser (ofta via sårbarheter i plugin-program eller CMS-attacker) som omdirigerar besökare till ClickFix-sidor .
• SEO-förgiftning och skadlig annonsering: Falska installationssidor och portaler med piratkopierad programvara som marknadsförs via sökresultat .
• Ghost CMS-sårbarhet: I maj 2026 utnyttjade angripare en allvarlig Ghost CMS SQL-injektionssårbarhet (CVE‑2026‑26980) för att kapa över 700 legitima utbildnings- och teknikwebbplatser och injicera ClickFix-meddelanden .

Varför ClickFix dominerar hotbilden

• Microsofts rapport om digitalt försvar 2025 identifierade ClickFix som den vanligaste metoden för första intrång, ansvarig för 47 % av alla attacker som observerats av Microsoft Defender Experts under det senaste året – vilket överträffar traditionella nätfiskeattacker (35 %) .
• ESETs telemetri visade en ökning på 517 % i ClickFix-attacker under första halvåret 2025 .
• I en kampanj som dokumenterats av Menlo Labs levererade ClickFix plattformsoberoende skadeprogram: Windows PowerShell-kommandon, macOS .command-skript och Linux Bash-skript från en enda polymorf JavaScript-lure .
• Den amerikanska myndigheten för hälsa och socialtjänst (HHS) utfärdade en sektorsvarning om ClickFix i juli 2026, vilket bekräftar att tekniken når kritisk infrastruktur .
• Recorded Futures Insikt Group bedömde i mars 2026 att ClickFix med stor sannolikhet kommer att förbli den dominerande metoden för första intrång under hela 2026 .

Försvarsåtgärder – så skyddar du dig

Eftersom ClickFix utnyttjar mänskligt beteende snarare än en programvarusårbarhet bygger försvaret i hög grad på tekniska kontroller och användarmedvetenhet :

• Begränsa PowerShell-exekvering: Blockera icke-administrativa användare från att köra PowerShell-skript. Ställ in exekveringspolicyn till Restricted via Group Policy och logga alla PowerShell-exekveringshändelser .
• Inaktivera Windows kör-rutan: En registerändring (policyn NoRun) kan förhindra att Win+R används för att klistra in och köra kommandon .
• Betrakta oanmodade kommandotolksinstruktioner som röda flaggor: Ingen legitim webbplats eller tjänst ber en användare att trycka på Win+R, klistra in ett kommando och trycka på Enter. Detta bör vara den viktigaste punkten i användarutbildningen .
• Blockera mshta, cscript och curl från användarkontextexekvering: Använd AppLocker eller Windows Defender Application Control för att begränsa skripttolkare .
• Implementera regler för slutpunktsdetektering: Övervaka efter ovanliga powershell.exe -ep bypass-föräldraprocesser, processlinjer från explorer.exe till skripttolkare och RunMRU-registerartefakter .
• Använd funktioner för urklippssäkerhet: Webbläsarbaserade urklippsskydd kan förhindra den centrala kopiera-klistra-mekanism som ClickFix utnyttjar.

Operas Paste Protect-funktion

Opera har introducerat en inbyggd Paste Protect-funktion (tillgänglig i Opera 100+ på Windows, macOS och Linux) som fångar upp och blockerar urklippsbaserade pastejacking-attacker. När en webbplats försöker programmatiskt skriva en misstänkt nyttolast till urklippet och sedan uppmanar användaren att klistra in det, varnar Paste Protect användaren och blockerar att åtgärden slutförs. Detta mildrar direkt den centrala ClickFix-tekniken utan att kräva någon tilläggsinstallation.