ESET:s hotbild H1 2026: ClickFix, AI-drivna attacker och lösenprogrammens nya paradox
ClickFix, en social ingenjörskonst som lurar användare att kopiera och köra skadliga kommandon, ökade med 517 % på sex månader och är nu den näst vanligaste attackvektorn efter phishing. ESET har upptäckt PromptSpy, den första Android malwaren som använder Googles Gemini för att tolka skärmbilder och dynamiskt bestä...
Publicerad avRedigerad med DeepSeek-V4-FlashBilder genererade med GPT Image 1.5
ClickFix, en social ingenjörskonst som lurar användare att kopiera och köra skadliga kommandon, ökade med 517 % på sex månader och är nu den näst vanligaste attackvektorn efter phishing.
ESET har upptäckt PromptSpy, den första Android malwaren som använder Googles Gemini för att tolka skärmbilder och dynamiskt bestämma var den ska trycka.
Antalet lösenprogramsattacker fortsätter att öka (4 217 attacker globalt under H1 2026, en ökning med 11 %), men betalningsgraden har sjunkit till rekordlåga 20 %.
Search & fact-check with cited sources for What are the key findings from ESET's H1 2026 Threat Report regarding the rise of ClickFix socialAI-generated illustration representing the convergence of social engineering, AI-powered malware, and ransomware threats in 2026.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key findings from ESET's H1 2026 Threat Report regarding the rise of ClickFix social. Article summary: **Important clarification:** The publicly available ESET reports covering H1 2026 data that I found are the **ESET H2 2025 Threat Report** (published June 2026, covering H2 2025) [2][3] and the **ESET MDR Threat Report Q. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com
En fullständig "ESET Threat Report H1 2026" har ännu inte publicerats. Resultaten nedan är hämtade från ESET H2 2025 Threat Report (publicerad juni 2026, täcker H2 2025), ESET MDR Threat Report Q1 2026 samt flera andra av ESET:s forskningspublikationer som släppts under H1 2026. Alla påståenden är kopplade till närmast tillgängliga källa.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ESET:s hotbild H1 2026: ClickFix, AI-drivna attacker och lösenprogrammens nya paradox"?
ClickFix, en social ingenjörskonst som lurar användare att kopiera och köra skadliga kommandon, ökade med 517 % på sex månader och är nu den näst vanligaste attackvektorn efter phishing.
What are the key points to validate first?
ClickFix, en social ingenjörskonst som lurar användare att kopiera och köra skadliga kommandon, ökade med 517 % på sex månader och är nu den näst vanligaste attackvektorn efter phishing. ESET har upptäckt PromptSpy, den första Android malwaren som använder Googles Gemini för att tolka skärmbilder och dynamiskt bestämma var den ska trycka.
What should I do next in practice?
Antalet lösenprogramsattacker fortsätter att öka (4 217 attacker globalt under H1 2026, en ökning med 11 %), men betalningsgraden har sjunkit till rekordlåga 20 %.
ESET:s hotbild H1 2026: ClickFix, AI-drivna attacker och lösenprogrammens nya paradox
ClickFix, en social ingenjörskonst som lurar användare att kopiera och köra skadliga kommandon, ökade med 517 % på sex månader och är nu den näst vanligaste attackvektorn efter phishing. ESET har upptäckt PromptSpy, den första Android malwaren som använder Googles Gemini för att tolka skärmbilder och dynamiskt bestä...
Publicerad avRedigerad med DeepSeek-V4-FlashBilder genererade med GPT Image 1.5
ClickFix, en social ingenjörskonst som lurar användare att kopiera och köra skadliga kommandon, ökade med 517 % på sex månader och är nu den näst vanligaste attackvektorn efter phishing.
ESET har upptäckt PromptSpy, den första Android malwaren som använder Googles Gemini för att tolka skärmbilder och dynamiskt bestämma var den ska trycka.
Antalet lösenprogramsattacker fortsätter att öka (4 217 attacker globalt under H1 2026, en ökning med 11 %), men betalningsgraden har sjunkit till rekordlåga 20 %.
Search & fact-check with cited sources for What are the key findings from ESET's H1 2026 Threat Report regarding the rise of ClickFix socialAI-generated illustration representing the convergence of social engineering, AI-powered malware, and ransomware threats in 2026.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key findings from ESET's H1 2026 Threat Report regarding the rise of ClickFix social. Article summary: **Important clarification:** The publicly available ESET reports covering H1 2026 data that I found are the **ESET H2 2025 Threat Report** (published June 2026, covering H2 2025) [2][3] and the **ESET MDR Threat Report Q. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com
En fullständig "ESET Threat Report H1 2026" har ännu inte publicerats. Resultaten nedan är hämtade från ESET H2 2025 Threat Report (publicerad juni 2026, täcker H2 2025), ESET MDR Threat Report Q1 2026 samt flera andra av ESET:s forskningspublikationer som släppts under H1 2026. Alla påståenden är kopplade till närmast tillgängliga källa.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ESET:s hotbild H1 2026: ClickFix, AI-drivna attacker och lösenprogrammens nya paradox"?
ClickFix, en social ingenjörskonst som lurar användare att kopiera och köra skadliga kommandon, ökade med 517 % på sex månader och är nu den näst vanligaste attackvektorn efter phishing.
What are the key points to validate first?
ClickFix, en social ingenjörskonst som lurar användare att kopiera och köra skadliga kommandon, ökade med 517 % på sex månader och är nu den näst vanligaste attackvektorn efter phishing. ESET har upptäckt PromptSpy, den första Android malwaren som använder Googles Gemini för att tolka skärmbilder och dynamiskt bestämma var den ska trycka.
What should I do next in practice?
Antalet lösenprogramsattacker fortsätter att öka (4 217 attacker globalt under H1 2026, en ökning med 11 %), men betalningsgraden har sjunkit till rekordlåga 20 %.
ClickFix: Den sociala ingenjörskonsten som exploderade med 517 %
ClickFix är en social ingenjörskonst som lurar användare att kopiera och klistra in skadliga kommandon (i PowerShell, Windows Run-dialogrutan eller en terminal) under förevändning att åtgärda falska fel, CAPTCHA-utmaningar eller återställningsmeddelanden i webbläsaren. ESET:s H1 2025-rapport dokumenterade att ClickFix ökade med 517 % på sex månader och blev den näst vanligaste attackvektorn efter phishing, med nästan 8 % av alla blockerade attacker.
De nya varianterna: CrashFix, ConsentFix och AI-Fix
CrashFix – Identifierad av Microsoft Defender i januari 2026. Denna variant kraschar offrets webbläsare medvetet och lurar sedan användaren att köra skadliga kommandon för att "återställa" funktionaliteten.
ConsentFix – En webbläsarbaserad variant som missbrukar OAuth-autentiseringsflöden för att kompromettera Microsoft-konton utan skadlig kod, stöld av inloggningsuppgifter eller att användaren ens behöver klistra in ett kommando. Säkerhetsföretaget revel8 observerade sju aktiva ClickFix-varianter under Q1 2026, inklusive ConsentFix och en "AI-fix"-variant som riktar sig mot AI-verktygs introduktionsflöden.
En analys av cirka 3 000 aktiva ClickFix-nyttolaster av Threadlinqs Intelligence visade att backend-servrar dynamiskt genererar nyslumpade PowerShell-kommandon med Base64, AES, TripleDES, Rijndael och Deflate-komprimering.
Över 3 000 skadliga AI-verktyg och PromptSpy Android-malware
Skadliga AI-verktyg / Agentic Skills – Enligt en rapport från El País (8 juli 2026) som citerar ESET:s senaste hotdata, varnade ESET för att antalet unika "AI Skills" (plugins för AI-agenter) som de analyserade på bara två månader växte från cirka 60 000 till nästan 900 000. Av dessa var över 3 000 skadliga eller misstänkta. Detta representerar en explosiv tillväxt av attacker som utnyttjar AI-agenter.
PromptSpy – ESET Research upptäckte PromptSpy, den första kända Android-malwaren som använder generativ AI under sitt exekveringsflöde. Malwaren frågar Googles Gemini-modell för att tolka skärmens innehåll på den komprometterade enheten och dynamiskt bestämma var den ska trycka – vilket löser problemet med oförutsägbara skärmlayouter på tusentals telefonmodeller och språk. Dess primära förmåga är att distribuera en VNC-modul för fjärrkontroll. Forskarna noterade att det kan vara en proof-of-concept, men det signalerar en stor förändring mot AI-assisterad mobil malware.
Lösenprogrammens tillväxt, EDR-dödarnas spridning och historiskt låg betalningsgrad
Attackvolymen för lösenprogram fortsätter att öka. Comparitech registrerade 4 217 lösenprogramsattacker globalt under H1 2026 – en ökning med 11 % jämfört med H2 2025 (3 809), vilket motsvarar 23 attacker per dag. ESET prognostiserade en ökning på 40 % år över år i antalet offer baserat på data från läckagesajter för 2025.
Över 100 EDR-dödande verktyg. ESET:s H2 2025 Threat Report noterar att EDR-dödande verktyg fortsatte att spridas, med Akira, Qilin och Warlock bland de främsta användarna. ESET:s djupdykning i Gentlemen RaaS-gänget dokumenterade dess användning av både egna och tredjeparts/läckta EDR-dödare, inklusive HexKiller. ESET MDR Q1 2026-rapporten bekräftar att EDR-dödare nu är en standardkomponent i lösenprogramsoperationer. Flera källor bekräftar att ekosystemet av distinkta EDR-dödande verktyg har passerat 100, med användning av BYOVD-teknik (Bring Your Own Vulnerable Driver).
Lösenbetalningarna sjunker till historiskt låga nivåer. Coveware rapporterade att betalningsgraden för lösenprogram under Q4 2025 sjönk till 23 % (en historisk lägsta nivå), och under Q4 2025 föll den ytterligare till 20 % – vilket innebär att färre än 1 av 5 offer betalade. Chainalysis spårade totala lösenbetalningar på blockchain till cirka 820 miljoner dollar under 2025, den lägsta helårssiffran sedan 2021 och en minskning med 8 % från 2024. Trots att färre offer betalade, steg den genomsnittliga lösenbetalningen kraftigt (upp 132 % kvartal över kvartal till 325 000 dollar), vilket tyder på att angriparna koncentrerar sig på mer värdefulla mål.
web-assets.eset.com[PDF] ESET Threat Report H1 2025
ClickFix: Den sociala ingenjörskonsten som exploderade med 517 %
ClickFix är en social ingenjörskonst som lurar användare att kopiera och klistra in skadliga kommandon (i PowerShell, Windows Run-dialogrutan eller en terminal) under förevändning att åtgärda falska fel, CAPTCHA-utmaningar eller återställningsmeddelanden i webbläsaren. ESET:s H1 2025-rapport dokumenterade att ClickFix ökade med 517 % på sex månader och blev den näst vanligaste attackvektorn efter phishing, med nästan 8 % av alla blockerade attacker.
De nya varianterna: CrashFix, ConsentFix och AI-Fix
CrashFix – Identifierad av Microsoft Defender i januari 2026. Denna variant kraschar offrets webbläsare medvetet och lurar sedan användaren att köra skadliga kommandon för att "återställa" funktionaliteten.
ConsentFix – En webbläsarbaserad variant som missbrukar OAuth-autentiseringsflöden för att kompromettera Microsoft-konton utan skadlig kod, stöld av inloggningsuppgifter eller att användaren ens behöver klistra in ett kommando. Säkerhetsföretaget revel8 observerade sju aktiva ClickFix-varianter under Q1 2026, inklusive ConsentFix och en "AI-fix"-variant som riktar sig mot AI-verktygs introduktionsflöden.
En analys av cirka 3 000 aktiva ClickFix-nyttolaster av Threadlinqs Intelligence visade att backend-servrar dynamiskt genererar nyslumpade PowerShell-kommandon med Base64, AES, TripleDES, Rijndael och Deflate-komprimering.
Över 3 000 skadliga AI-verktyg och PromptSpy Android-malware
Skadliga AI-verktyg / Agentic Skills – Enligt en rapport från El País (8 juli 2026) som citerar ESET:s senaste hotdata, varnade ESET för att antalet unika "AI Skills" (plugins för AI-agenter) som de analyserade på bara två månader växte från cirka 60 000 till nästan 900 000. Av dessa var över 3 000 skadliga eller misstänkta. Detta representerar en explosiv tillväxt av attacker som utnyttjar AI-agenter.
PromptSpy – ESET Research upptäckte PromptSpy, den första kända Android-malwaren som använder generativ AI under sitt exekveringsflöde. Malwaren frågar Googles Gemini-modell för att tolka skärmens innehåll på den komprometterade enheten och dynamiskt bestämma var den ska trycka – vilket löser problemet med oförutsägbara skärmlayouter på tusentals telefonmodeller och språk. Dess primära förmåga är att distribuera en VNC-modul för fjärrkontroll. Forskarna noterade att det kan vara en proof-of-concept, men det signalerar en stor förändring mot AI-assisterad mobil malware.
Lösenprogrammens tillväxt, EDR-dödarnas spridning och historiskt låg betalningsgrad
Attackvolymen för lösenprogram fortsätter att öka. Comparitech registrerade 4 217 lösenprogramsattacker globalt under H1 2026 – en ökning med 11 % jämfört med H2 2025 (3 809), vilket motsvarar 23 attacker per dag. ESET prognostiserade en ökning på 40 % år över år i antalet offer baserat på data från läckagesajter för 2025.
Över 100 EDR-dödande verktyg. ESET:s H2 2025 Threat Report noterar att EDR-dödande verktyg fortsatte att spridas, med Akira, Qilin och Warlock bland de främsta användarna. ESET:s djupdykning i Gentlemen RaaS-gänget dokumenterade dess användning av både egna och tredjeparts/läckta EDR-dödare, inklusive HexKiller. ESET MDR Q1 2026-rapporten bekräftar att EDR-dödare nu är en standardkomponent i lösenprogramsoperationer. Flera källor bekräftar att ekosystemet av distinkta EDR-dödande verktyg har passerat 100, med användning av BYOVD-teknik (Bring Your Own Vulnerable Driver).
Lösenbetalningarna sjunker till historiskt låga nivåer. Coveware rapporterade att betalningsgraden för lösenprogram under Q4 2025 sjönk till 23 % (en historisk lägsta nivå), och under Q4 2025 föll den ytterligare till 20 % – vilket innebär att färre än 1 av 5 offer betalade. Chainalysis spårade totala lösenbetalningar på blockchain till cirka 820 miljoner dollar under 2025, den lägsta helårssiffran sedan 2021 och en minskning med 8 % från 2024. Trots att färre offer betalade, steg den genomsnittliga lösenbetalningen kraftigt (upp 132 % kvartal över kvartal till 325 000 dollar), vilket tyder på att angriparna koncentrerar sig på mer värdefulla mål.
web-assets.eset.com[PDF] ESET Threat Report H1 2025
theregister.comAndroid malware taps Gemini to navigate infected devices
eset.comESET Research discovers PromptSpy, the first Android threat to use generative AI
app.daily.devReviewing the trends in ransomware attacks in 2026 - daily.dev
whitecloudsecurity.com21 - ClickFix: Social Engineering Zero-Trust Defense