คำตอบเผยแพร่แล้ว2 เดือนที่ผ่านมาLast edited 2 เดือนที่ผ่านมา35 แหล่งที่มา

ClickFix แคมเปญมัลแวร์คัดลอก-วาง: ภัยคุกคามอันดับหนึ่งของการเข้าถึงระบบครั้งแรกในปี 2025–2026

ClickFix เป็นเทคนิคทางวิศวกรรมสังคมที่หลอกให้ผู้ใช้คัดลอก วาง และรันคำสั่งอันตรายด้วยตัวเอง คิดเป็น 47% ของการโจมตีเพื่อเข้าถึงระบบครั้งแรกที่ Microsoft ตรวจพบในปี 2025 โดย ESET รายงานว่าการโจมตีพุ่งสูงขึ้น 517% ในครึ... ผู้โจมตีปลอมหน้า Google reCAPTCHA และ Cloudflare แสดงคำสั่ง เช่น 'กด Win+R, วาง, แล้วกด Enter' เ...

ค้นหาและตรวจสอบข้อเท็จจริงด้วย Studio Global AI ดูหน้าที่กำลังมาแรงเพิ่มเติม

คำตอบการวิจัย

ประเด็นสำคัญ

ClickFix เป็นเทคนิคทางวิศวกรรมสังคมที่หลอกให้ผู้ใช้คัดลอก วาง และรันคำสั่งอันตรายด้วยตัวเอง คิดเป็น 47% ของการโจมตีเพื่อเข้าถึงระบบครั้งแรกที่ Microsoft ตรวจพบในปี 2025 โดย ESET รายงานว่าการโจมตีพุ่งสูงขึ้น 517% ในครึ...
ผู้โจมตีปลอมหน้า Google reCAPTCHA และ Cloudflare แสดงคำสั่ง เช่น 'กด Win+R, วาง, แล้วกด Enter' เพื่อโหลดคำสั่ง PowerShell ที่เป็นอันตราย ซึ่งจะดาวน์โหลดมัลแวร์ขโมยข้อมูล (Infostealer) ตัวโหลด (Loader) และ RAT ไปยังเคร...
เพย์โหลดที่พบ ได้แก่ HijackLoader, CastleLoader, NetSupport RAT, StealC, Amatera, DeerStealer, Rust based stealer และ ResiLoader ซึ่งออกแบบมาเพื่อยุติกระบวนการของโปรแกรมป้องกันไวรัสกว่า 140 ตัวก่อนส่งเพย์โหลดหลัก [1][...

Spoofed Google reCAPTCHA and Cloudflare verification pages used in ClickFix malware social engineering campaigns to trick Windows users into pasting malicious PowerShell commands. — Search & fact-check with cited sources for What is the ClickFix malware campaign that has been active since late 2025, how does its social eClickFix attacks use fake verification pages that instruct users to copy, paste, and execute malicious commands.
AI พรอมต์
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the ClickFix malware campaign that has been active since late 2025, how does its social e. Article summary: Here is a comprehensive, fact-checked breakdown of the ClickFix malware campaign and related topics.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visua
openai.com

ClickFix ไม่ใช่ช่องโหว่ของ Windows หรือข้อบกพร่องของแอปพลิเคชันใดๆ แต่มันคือเทคนิคทางวิศวกรรมสังคมที่อาศัยการกระทำของผู้ใช้เพียงอย่างเดียว — และได้กลายเป็นวิธีการที่ผู้โจมตีใช้ในการเข้าถึงระบบครั้งแรกมากที่สุด ^F^E^M ภายในปี 2025–2026 กลุ่มอาชญากรไซเบอร์และแม้แต่แฮกเกอร์ที่รัฐให้การสนับสนุนต่างนำเทคนิคนี้มาใช้ในวงกว้าง โดยใช้หน้า Google reCAPTCHA และ Cloudflare ปลอมเพื่อหลอกให้เหยื่อรันคำสั่งอันตรายบนเครื่องของตัวเอง ^F^S^P

กลไกของ ClickFix: การหลอกลวง 4 ขั้นตอน

การโจมตีเป็นไปตามรูปแบบที่สอดคล้องกันในเกือบทุกแคมเปญที่ถูกบันทึกไว้ ^E^F^S:

เหยื่อล่อ: ผู้ใช้เข้าชมเว็บไซต์ที่ถูกบุกรุกหรือเป็นเว็บไซต์หลอกลวง และพบกับหน้าโปรแกรมยืนยันตัวตนปลอม — Google reCAPTCHA ปลอม, หน้า 'Verify you are human' ของ Cloudflare ปลอม, ข้อความอัปเดตเบราว์เซอร์ปลอม หรือหน้าข้อผิดพลาดของ QuickBooks หรือ Booking.com ปลอม ^E^F^E
คำสั่งคัดลอก-วาง: หน้าเว็บแสดงคำสั่งเช่น: 'กดปุ่ม Win + R, จากนั้นกด Ctrl + V, จากนั้นกด Enter' เพื่อให้การยืนยันตัวตนเสร็จสมบูรณ์ ^E^R
เพย์โหลดที่ซ่อนอยู่: สิ่งที่ถูกคัดลอกไปยังคลิปบอร์ดของผู้ใช้จริงๆ คือคำสั่ง PowerShell, mshta หรือ curl ที่เป็นอันตราย ซึ่งจะดาวน์โหลดและเรียกใช้ตัวโหลดมัลแวร์จากเซิร์ฟเวอร์ระยะไกล ^H^E^S
การทำงาน: คำสั่งทำงานด้วยสิทธิ์ของผู้ใช้เอง เนื่องจากผู้ใช้เป็นคนวางและเรียกใช้มันด้วยตัวเอง เครื่องมือตรวจจับบน endpoints จึงมักไม่สามารถระบุได้ว่าเป็นการบุกรุก ^P

เทคนิคนี้ยังถูกเรียกว่า pastejacking เนื่องจากใช้คลิปบอร์ดเป็นพาหะนำเชื้อ ^R^N

เพย์โหลดที่ส่งมอบในแคมเปญ ClickFix

ผู้โจมตีใช้เหยื่อล่อแบบ ClickFix เพื่อส่งมัลแวร์หลากหลายชนิด ซึ่งมักจะอยู่ในห่วงโซ่การติดเชื้อหลายขั้นตอน:

HijackLoader: ตัวโหลดในขั้นแรกที่ถูกพบในห่วงโซ่ ClickFix ตั้งแต่เดือนมิถุนายน 2025 เป็นอย่างน้อย มักตามมาด้วย DeerStealer infostealer ^S^M
CastleLoader (หรือ CastleBot): เฟรมเวิร์กมัลแวร์ในรูปแบบบริการ (MaaS) ที่เริ่มใช้งานตั้งแต่ต้นปี 2025 แคมเปญหนึ่งใช้เว็บไซต์ลบพื้นหลังปลอมเพื่อส่ง CastleLoader ซึ่งจากนั้นจะติดตั้ง NetSupport RAT และ .NET stealer แบบกำหนดเองที่กำหนดเป้าหมายข้อมูลรับรองเบราว์เซอร์, กระเป๋าเงินคริปโตเคอเรนซี และเซสชัน Telegram ^F^M^H
NetSupport RAT: เครื่องมือการดูแลระบบระยะไกลที่ถูกต้องตามกฎหมาย แต่ถูกผู้โจมตีนำมาใช้เป็นช่องทางถาวรสำหรับการเข้าถึงระบบ ^F^E^S
StealC: โทรจันขโมยข้อมูลที่กำหนดเป้าหมายข้อมูลรับรองเบราว์เซอร์และกระเป๋าเงินคริปโตเคอเรนซี ^C^C
Amatera: Infostealer ที่ถูกเผยแพร่ผ่านแคมเปญ ClickFix ซึ่งรวม CAPTCHA ปลอมเข้ากับสคริปต์ Microsoft App-V ที่ได้รับการลงนาม ^T
Rust-based stealer: ถูกบันทึกไว้ในแคมเปญ ClickFix แบบ polymorphic ที่เริ่มขึ้นในช่วงปลายปี 2025 ^F
DeerStealer: ถูกพบว่าเป็นเพย์โหลดปฏิบัติการขั้นสุดท้ายที่ถูกส่งหลังจาก HijackLoader ^S
ResiLoader: ตัวโหลดที่ถูกบันทึกไว้ใหม่ ออกแบบมาโดยเฉพาะเพื่อยุติกระบวนการป้องกันไวรัสและเครื่องมือรักษาความปลอดภัยกว่า 140 ตัวบนเครื่องของเหยื่อ ซึ่งเป็นการปิดเกราะป้องกันก่อนที่เพย์โหลดตัวจริงจะทำงาน ^H^P

วิธีการเผยแพร่

ผู้โจมตีใช้โครงสร้างพื้นฐานที่หลากหลายเพื่อโฮสต์และส่งการโจมตีแบบ ClickFix:

Cloudflare R2 storage: ใช้โฮสต์ไฟล์ไบนารีของเพย์โหลดที่เป็นอันตราย ^H
Cloudflare Pages subdomains: ถูกนำไปใช้ในทางที่ผิดเพื่อให้บริการหน้า CAPTCHA ปลอมพร้อมใบรับรองที่เชื่อถือได้ของ Cloudflare เอง ^H
Dedik Services Limited hosting: ถูกพบว่าเป็นผู้ให้บริการโฮสติ้งสำหรับโครงสร้างพื้นฐาน Command-and-Control ของ ClickFix ^H
โดเมนหมดอายุ: โดเมนที่ลงทะเบียนหรือลงทะเบียนใหม่ซึ่งใช้สำหรับการเก็บเกี่ยวข้อมูลรับรองและการส่งเพย์โหลด ^H
เว็บไซต์ที่ถูกบุกรุก: เวกเตอร์เริ่มต้นที่พบบ่อยที่สุด ผู้โจมตีฉีด JavaScript หรือ iframe ที่เป็นอันตรายเข้าไปในเว็บไซต์ที่ถูกต้องตามกฎหมาย (มักผ่านช่องโหว่ของปลั๊กอินหรือช่องโหว่ของ CMS) เพื่อเปลี่ยนเส้นทางผู้เยี่ยมชมไปยังหน้า Landing Page ของ ClickFix ^F^E^M
SEO poisoning และ malvertising: เว็บไซต์ติดตั้งปลอมและพอร์ทัลซอฟต์แวร์ละเมิดลิขสิทธิ์ที่ถูกผลักดันผ่านผลการค้นหา ^M^S
การใช้ประโยชน์จากช่องโหว่ Ghost CMS: ในเดือนพฤษภาคม 2026 ผู้โจมตีใช้ประโยชน์จากช่องโหว่ SQL Injection ที่ร้ายแรงของ Ghost CMS (CVE‑2026‑26980) เพื่อเข้าควบคุมเว็บไซต์ด้านการศึกษาและเทคโนโลยีที่ถูกต้องตามกฎหมายกว่า 700 แห่งและฉีดข้อความแจ้งเตือนแบบ ClickFix ^M

ความสำคัญของภัยคุกคาม: ทำไม ClickFix ถึงครองอันดับหนึ่ง

รายงาน Digital Defense Report ปี 2025 ของ Microsoft ระบุว่า ClickFix เป็น วิธีการเข้าถึงระบบครั้งแรกอันดับ 1 ซึ่งคิดเป็น 47% ของการโจมตีทั้งหมด ที่ Microsoft Defender Experts ตรวจพบในปีที่ผ่านมา ซึ่งมากกว่าฟิชชิ่งแบบดั้งเดิม (35%) ^F^C^M^B
Telemetry จาก ESET บันทึกการเพิ่มขึ้นของการโจมตีแบบ ClickFix ถึง 517% ในช่วงครึ่งแรกของปี 2025 เพียงปีเดียว ^F^C^O
ในแคมเปญหนึ่งที่บันทึกโดย Menlo Labs ClickFix ส่งเพย์โหลดข้ามแพลตฟอร์ม: คำสั่ง PowerShell สำหรับ Windows, สคริปต์ .command สำหรับ macOS และสคริปต์ Bash สำหรับ Linux จากเหยื่อล่อ JavaScript แบบ polymorphic เพียงตัวเดียว ^F
กระทรวงสาธารณสุขและบริการมนุษย์ของสหรัฐอเมริกา (HHS) ออกการแจ้งเตือนภาคส่วนเกี่ยวกับ ClickFix ในเดือนกรกฎาคม 2026 ซึ่งยืนยันว่ากลยุทธ์นี้ไปถึงโครงสร้างพื้นฐานที่สำคัญ ^H
Insikt Group ของ Recorded Future ประเมินในเดือนมีนาคม 2026 ว่า ClickFix มีแนวโน้มที่จะยังคงเป็นเวกเตอร์การเข้าถึงครั้งแรกที่โดดเด่นตลอดปี 2026 ^B

มาตรการป้องกัน: นักวิจัยแนะนำอะไร

เนื่องจาก ClickFix ใช้ประโยชน์จากพฤติกรรมของมนุษย์มากกว่าช่องโหว่ของซอฟต์แวร์ การป้องกันจึงขึ้นอยู่กับการควบคุมทางเทคนิคและการรับรู้ของผู้ใช้เป็นหลัก ^H^E^M:

จำกัดการทำงานของ PowerShell: ปิดกั้นผู้ใช้ที่ไม่ใช่ผู้ดูแลระบบจากการรันสคริปต์ PowerShell ตั้งค่านโยบายการดำเนินการเป็น Restricted ผ่าน Group Policy และบันทึกเหตุการณ์การทำงานของ PowerShell ทั้งหมด ^H^E
ปิดการใช้งาน Windows Run box: การปรับเปลี่ยนรีจิสทรี (นโยบาย NoRun) สามารถป้องกันไม่ให้ใช้ Win+R เพื่อวางและรันคำสั่ง ^E^H
ถือว่าคำแนะนำคำสั่งพรอมต์ที่ไม่ได้รับการร้องขอเป็นสัญญาณอันตราย: ไม่มีเว็บไซต์หรือบริการที่ถูกต้องตามกฎหมายใดขอให้ผู้ใช้กด Win+R วางคำสั่ง แล้วกด Enter นี่ควรเป็นหัวข้อหลักในการฝึกอบรมการรับรู้ของผู้ใช้ ^H^F^M
บล็อกการทำงานของ mshta, cscript และ curl ในบริบทของผู้ใช้: ใช้ AppLocker หรือ Windows Defender Application Control เพื่อจำกัดสคริปต์อินเทอร์พรีเตอร์ ^H^E
ปรับใช้กฎการตรวจจับบน Endpoint: ตรวจสอบกระบวนการหลักที่ผิดปกติของ powershell.exe -ep bypass, สายเลือดกระบวนการจาก explorer.exe ไปยังสคริปต์อินเทอร์พรีเตอร์ และอาร์ติแฟกต์ของรีจิสทรี RunMRU ^F^U
ใช้คุณสมบัติความปลอดภัยของคลิปบอร์ด: การป้องกันคลิปบอร์ดในระดับเบราว์เซอร์สามารถป้องกันกลไกการคัดลอก-วางที่ ClickFix อาศัยเป็นหลักได้

ฟีเจอร์ Paste Protect ของ Opera

Opera ได้เปิดตัวฟีเจอร์ Paste Protect (มีให้ใช้งานใน Opera 100+ บน Windows, macOS และ Linux) ที่คอยสกัดกั้นและบล็อกการโจมตีแบบ pastejacking ที่อาศัยคลิปบอร์ด เมื่อเว็บไซต์พยายามเขียนเพย์โหลดที่น่าสงสัยไปยังคลิปบอร์ดโดยใช้โปรแกรม และจากนั้นแจ้งให้ผู้ใช้วางมัน Paste Protect จะเตือนผู้ใช้และบล็อกการทำงานไม่ให้สำเร็จ ซึ่งจะช่วยลดผลกระทบจากเทคนิค ClickFix ได้โดยตรงโดยไม่ต้องติดตั้งส่วนขยายใดๆ

Studio Global AI

ทำการวิจัยต่อ

หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global

ค้นหาและตรวจสอบข้อเท็จจริงด้วย Studio Global AI

คนยังถาม

คำตอบสั้น ๆ สำหรับ "ClickFix แคมเปญมัลแวร์คัดลอก-วาง: ภัยคุกคามอันดับหนึ่งของการเข้าถึงระบบครั้งแรกในปี 2025–2026" คืออะไร

ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?

ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ?

เพย์โหลดที่พบ ได้แก่ HijackLoader, CastleLoader, NetSupport RAT, StealC, Amatera, DeerStealer, Rust based stealer และ ResiLoader ซึ่งออกแบบมาเพื่อยุติกระบวนการของโปรแกรมป้องกันไวรัสกว่า 140 ตัวก่อนส่งเพย์โหลดหลัก [1][...

แหล่งที่มา