ESET:s hotbild H1 2026: ClickFix, AI-drivna attacker och lösenprogrammens nya paradox

En fullständig "ESET Threat Report H1 2026" har ännu inte publicerats. Resultaten nedan är hämtade från ESET H2 2025 Threat Report (publicerad juni 2026, täcker H2 2025)^TE, ESET MDR Threat Report Q1 2026^A samt flera andra av ESET:s forskningspublikationer som släppts under H1 2026. Alla påståenden är kopplade till närmast tillgängliga källa.

ClickFix: Den sociala ingenjörskonsten som exploderade med 517 %

ClickFix är en social ingenjörskonst som lurar användare att kopiera och klistra in skadliga kommandon (i PowerShell, Windows Run-dialogrutan eller en terminal) under förevändning att åtgärda falska fel, CAPTCHA-utmaningar eller återställningsmeddelanden i webbläsaren^WW. ESET:s H1 2025-rapport dokumenterade att ClickFix ökade med 517 % på sex månader och blev den näst vanligaste attackvektorn efter phishing, med nästan 8 % av alla blockerade attacker^WE.

De nya varianterna: CrashFix, ConsentFix och AI-Fix

CrashFix – Identifierad av Microsoft Defender i januari 2026. Denna variant kraschar offrets webbläsare medvetet och lurar sedan användaren att köra skadliga kommandon för att "återställa" funktionaliteten^M.

ConsentFix – En webbläsarbaserad variant som missbrukar OAuth-autentiseringsflöden för att kompromettera Microsoft-konton utan skadlig kod, stöld av inloggningsuppgifter eller att användaren ens behöver klistra in ett kommando^R. Säkerhetsföretaget revel8 observerade sju aktiva ClickFix-varianter under Q1 2026, inklusive ConsentFix och en "AI-fix"-variant som riktar sig mot AI-verktygs introduktionsflöden^R.

En analys av cirka 3 000 aktiva ClickFix-nyttolaster av Threadlinqs Intelligence visade att backend-servrar dynamiskt genererar nyslumpade PowerShell-kommandon med Base64, AES, TripleDES, Rijndael och Deflate-komprimering^I.

Över 3 000 skadliga AI-verktyg och PromptSpy Android-malware

Skadliga AI-verktyg / Agentic Skills – Enligt en rapport från El País (8 juli 2026) som citerar ESET:s senaste hotdata, varnade ESET för att antalet unika "AI Skills" (plugins för AI-agenter) som de analyserade på bara två månader växte från cirka 60 000 till nästan 900 000. Av dessa var över 3 000 skadliga eller misstänkta^C. Detta representerar en explosiv tillväxt av attacker som utnyttjar AI-agenter.

PromptSpy – ESET Research upptäckte PromptSpy, den första kända Android-malwaren som använder generativ AI under sitt exekveringsflöde^EW. Malwaren frågar Googles Gemini-modell för att tolka skärmens innehåll på den komprometterade enheten och dynamiskt bestämma var den ska trycka – vilket löser problemet med oförutsägbara skärmlayouter på tusentals telefonmodeller och språk^SW. Dess primära förmåga är att distribuera en VNC-modul för fjärrkontroll^TE. Forskarna noterade att det kan vara en proof-of-concept, men det signalerar en stor förändring mot AI-assisterad mobil malware^AC.

Lösenprogrammens tillväxt, EDR-dödarnas spridning och historiskt låg betalningsgrad

Attackvolymen för lösenprogram fortsätter att öka. Comparitech registrerade 4 217 lösenprogramsattacker globalt under H1 2026 – en ökning med 11 % jämfört med H2 2025 (3 809), vilket motsvarar 23 attacker per dag^C. ESET prognostiserade en ökning på 40 % år över år i antalet offer baserat på data från läckagesajter för 2025^E.

Över 100 EDR-dödande verktyg. ESET:s H2 2025 Threat Report noterar att EDR-dödande verktyg fortsatte att spridas, med Akira, Qilin och Warlock bland de främsta användarna^W. ESET:s djupdykning i Gentlemen RaaS-gänget dokumenterade dess användning av både egna och tredjeparts/läckta EDR-dödare, inklusive HexKiller^D. ESET MDR Q1 2026-rapporten bekräftar att EDR-dödare nu är en standardkomponent i lösenprogramsoperationer^E. Flera källor bekräftar att ekosystemet av distinkta EDR-dödande verktyg har passerat 100, med användning av BYOVD-teknik (Bring Your Own Vulnerable Driver)^GS.

Lösenbetalningarna sjunker till historiskt låga nivåer. Coveware rapporterade att betalningsgraden för lösenprogram under Q4 2025 sjönk till 23 % (en historisk lägsta nivå), och under Q4 2025 föll den ytterligare till 20 % – vilket innebär att färre än 1 av 5 offer betalade^GSS. Chainalysis spårade totala lösenbetalningar på blockchain till cirka 820 miljoner dollar under 2025, den lägsta helårssiffran sedan 2021 och en minskning med 8 % från 2024^S. Trots att färre offer betalade, steg den genomsnittliga lösenbetalningen kraftigt (upp 132 % kvartal över kvartal till 325 000 dollar), vilket tyder på att angriparna koncentrerar sig på mer värdefulla mål^S.