ClickFix แคมเปญมัลแวร์คัดลอก-วาง: ภัยคุกคามอันดับหนึ่งของการเข้าถึงระบบครั้งแรกในปี 2025–2026

1. เหยื่อล่อ: ผู้ใช้เข้าชมเว็บไซต์ที่ถูกบุกรุกหรือเป็นเว็บไซต์หลอกลวง และพบกับหน้าโปรแกรมยืนยันตัวตนปลอม — Google reCAPTCHA ปลอม, หน้า 'Verify you are human' ของ Cloudflare ปลอม, ข้อความอัปเดตเบราว์เซอร์ปลอม หรือหน้าข้อผิดพลาดของ QuickBooks หรือ Booking.com ปลอม
2. คำสั่งคัดลอก-วาง: หน้าเว็บแสดงคำสั่งเช่น: 'กดปุ่ม Win + R, จากนั้นกด Ctrl + V, จากนั้นกด Enter' เพื่อให้การยืนยันตัวตนเสร็จสมบูรณ์
3. เพย์โหลดที่ซ่อนอยู่: สิ่งที่ถูกคัดลอกไปยังคลิปบอร์ดของผู้ใช้จริงๆ คือคำสั่ง PowerShell, mshta หรือ curl ที่เป็นอันตราย ซึ่งจะดาวน์โหลดและเรียกใช้ตัวโหลดมัลแวร์จากเซิร์ฟเวอร์ระยะไกล
4. การทำงาน: คำสั่งทำงานด้วยสิทธิ์ของผู้ใช้เอง เนื่องจากผู้ใช้เป็นคนวางและเรียกใช้มันด้วยตัวเอง เครื่องมือตรวจจับบน endpoints จึงมักไม่สามารถระบุได้ว่าเป็นการบุกรุก

เทคนิคนี้ยังถูกเรียกว่า pastejacking เนื่องจากใช้คลิปบอร์ดเป็นพาหะนำเชื้อ

เพย์โหลดที่ส่งมอบในแคมเปญ ClickFix

ผู้โจมตีใช้เหยื่อล่อแบบ ClickFix เพื่อส่งมัลแวร์หลากหลายชนิด ซึ่งมักจะอยู่ในห่วงโซ่การติดเชื้อหลายขั้นตอน:

• HijackLoader: ตัวโหลดในขั้นแรกที่ถูกพบในห่วงโซ่ ClickFix ตั้งแต่เดือนมิถุนายน 2025 เป็นอย่างน้อย มักตามมาด้วย DeerStealer infostealer
• CastleLoader (หรือ CastleBot): เฟรมเวิร์กมัลแวร์ในรูปแบบบริการ (MaaS) ที่เริ่มใช้งานตั้งแต่ต้นปี 2025 แคมเปญหนึ่งใช้เว็บไซต์ลบพื้นหลังปลอมเพื่อส่ง CastleLoader ซึ่งจากนั้นจะติดตั้ง NetSupport RAT และ .NET stealer แบบกำหนดเองที่กำหนดเป้าหมายข้อมูลรับรองเบราว์เซอร์, กระเป๋าเงินคริปโตเคอเรนซี และเซสชัน Telegram
• NetSupport RAT: เครื่องมือการดูแลระบบระยะไกลที่ถูกต้องตามกฎหมาย แต่ถูกผู้โจมตีนำมาใช้เป็นช่องทางถาวรสำหรับการเข้าถึงระบบ
• StealC: โทรจันขโมยข้อมูลที่กำหนดเป้าหมายข้อมูลรับรองเบราว์เซอร์และกระเป๋าเงินคริปโตเคอเรนซี
• Amatera: Infostealer ที่ถูกเผยแพร่ผ่านแคมเปญ ClickFix ซึ่งรวม CAPTCHA ปลอมเข้ากับสคริปต์ Microsoft App-V ที่ได้รับการลงนาม
• Rust-based stealer: ถูกบันทึกไว้ในแคมเปญ ClickFix แบบ polymorphic ที่เริ่มขึ้นในช่วงปลายปี 2025
• DeerStealer: ถูกพบว่าเป็นเพย์โหลดปฏิบัติการขั้นสุดท้ายที่ถูกส่งหลังจาก HijackLoader
• ResiLoader: ตัวโหลดที่ถูกบันทึกไว้ใหม่ ออกแบบมาโดยเฉพาะเพื่อยุติกระบวนการป้องกันไวรัสและเครื่องมือรักษาความปลอดภัยกว่า 140 ตัวบนเครื่องของเหยื่อ ซึ่งเป็นการปิดเกราะป้องกันก่อนที่เพย์โหลดตัวจริงจะทำงาน

วิธีการเผยแพร่

ผู้โจมตีใช้โครงสร้างพื้นฐานที่หลากหลายเพื่อโฮสต์และส่งการโจมตีแบบ ClickFix:

• Cloudflare R2 storage: ใช้โฮสต์ไฟล์ไบนารีของเพย์โหลดที่เป็นอันตราย
• Cloudflare Pages subdomains: ถูกนำไปใช้ในทางที่ผิดเพื่อให้บริการหน้า CAPTCHA ปลอมพร้อมใบรับรองที่เชื่อถือได้ของ Cloudflare เอง
• Dedik Services Limited hosting: ถูกพบว่าเป็นผู้ให้บริการโฮสติ้งสำหรับโครงสร้างพื้นฐาน Command-and-Control ของ ClickFix
• โดเมนหมดอายุ: โดเมนที่ลงทะเบียนหรือลงทะเบียนใหม่ซึ่งใช้สำหรับการเก็บเกี่ยวข้อมูลรับรองและการส่งเพย์โหลด
• เว็บไซต์ที่ถูกบุกรุก: เวกเตอร์เริ่มต้นที่พบบ่อยที่สุด ผู้โจมตีฉีด JavaScript หรือ iframe ที่เป็นอันตรายเข้าไปในเว็บไซต์ที่ถูกต้องตามกฎหมาย (มักผ่านช่องโหว่ของปลั๊กอินหรือช่องโหว่ของ CMS) เพื่อเปลี่ยนเส้นทางผู้เยี่ยมชมไปยังหน้า Landing Page ของ ClickFix
• SEO poisoning และ malvertising: เว็บไซต์ติดตั้งปลอมและพอร์ทัลซอฟต์แวร์ละเมิดลิขสิทธิ์ที่ถูกผลักดันผ่านผลการค้นหา
• การใช้ประโยชน์จากช่องโหว่ Ghost CMS: ในเดือนพฤษภาคม 2026 ผู้โจมตีใช้ประโยชน์จากช่องโหว่ SQL Injection ที่ร้ายแรงของ Ghost CMS (CVE‑2026‑26980) เพื่อเข้าควบคุมเว็บไซต์ด้านการศึกษาและเทคโนโลยีที่ถูกต้องตามกฎหมายกว่า 700 แห่งและฉีดข้อความแจ้งเตือนแบบ ClickFix

ความสำคัญของภัยคุกคาม: ทำไม ClickFix ถึงครองอันดับหนึ่ง

• รายงาน Digital Defense Report ปี 2025 ของ Microsoft ระบุว่า ClickFix เป็น วิธีการเข้าถึงระบบครั้งแรกอันดับ 1 ซึ่งคิดเป็น 47% ของการโจมตีทั้งหมด ที่ Microsoft Defender Experts ตรวจพบในปีที่ผ่านมา ซึ่งมากกว่าฟิชชิ่งแบบดั้งเดิม (35%)
• Telemetry จาก ESET บันทึกการเพิ่มขึ้นของการโจมตีแบบ ClickFix ถึง 517% ในช่วงครึ่งแรกของปี 2025 เพียงปีเดียว
• ในแคมเปญหนึ่งที่บันทึกโดย Menlo Labs ClickFix ส่งเพย์โหลดข้ามแพลตฟอร์ม: คำสั่ง PowerShell สำหรับ Windows, สคริปต์ .command สำหรับ macOS และสคริปต์ Bash สำหรับ Linux จากเหยื่อล่อ JavaScript แบบ polymorphic เพียงตัวเดียว
• กระทรวงสาธารณสุขและบริการมนุษย์ของสหรัฐอเมริกา (HHS) ออกการแจ้งเตือนภาคส่วนเกี่ยวกับ ClickFix ในเดือนกรกฎาคม 2026 ซึ่งยืนยันว่ากลยุทธ์นี้ไปถึงโครงสร้างพื้นฐานที่สำคัญ
• Insikt Group ของ Recorded Future ประเมินในเดือนมีนาคม 2026 ว่า ClickFix มีแนวโน้มที่จะยังคงเป็นเวกเตอร์การเข้าถึงครั้งแรกที่โดดเด่นตลอดปี 2026

มาตรการป้องกัน: นักวิจัยแนะนำอะไร

เนื่องจาก ClickFix ใช้ประโยชน์จากพฤติกรรมของมนุษย์มากกว่าช่องโหว่ของซอฟต์แวร์ การป้องกันจึงขึ้นอยู่กับการควบคุมทางเทคนิคและการรับรู้ของผู้ใช้เป็นหลัก :

• จำกัดการทำงานของ PowerShell: ปิดกั้นผู้ใช้ที่ไม่ใช่ผู้ดูแลระบบจากการรันสคริปต์ PowerShell ตั้งค่านโยบายการดำเนินการเป็น Restricted ผ่าน Group Policy และบันทึกเหตุการณ์การทำงานของ PowerShell ทั้งหมด
• ปิดการใช้งาน Windows Run box: การปรับเปลี่ยนรีจิสทรี (นโยบาย NoRun) สามารถป้องกันไม่ให้ใช้ Win+R เพื่อวางและรันคำสั่ง
• ถือว่าคำแนะนำคำสั่งพรอมต์ที่ไม่ได้รับการร้องขอเป็นสัญญาณอันตราย: ไม่มีเว็บไซต์หรือบริการที่ถูกต้องตามกฎหมายใดขอให้ผู้ใช้กด Win+R วางคำสั่ง แล้วกด Enter นี่ควรเป็นหัวข้อหลักในการฝึกอบรมการรับรู้ของผู้ใช้
• บล็อกการทำงานของ mshta, cscript และ curl ในบริบทของผู้ใช้: ใช้ AppLocker หรือ Windows Defender Application Control เพื่อจำกัดสคริปต์อินเทอร์พรีเตอร์
• ปรับใช้กฎการตรวจจับบน Endpoint: ตรวจสอบกระบวนการหลักที่ผิดปกติของ

  powershell.exe -ep bypass

  , สายเลือดกระบวนการจาก explorer.exe ไปยังสคริปต์อินเทอร์พรีเตอร์ และอาร์ติแฟกต์ของรีจิสทรี RunMRU
• ใช้คุณสมบัติความปลอดภัยของคลิปบอร์ด: การป้องกันคลิปบอร์ดในระดับเบราว์เซอร์สามารถป้องกันกลไกการคัดลอก-วางที่ ClickFix อาศัยเป็นหลักได้

ฟีเจอร์ Paste Protect ของ Opera

Opera ได้เปิดตัวฟีเจอร์ Paste Protect (มีให้ใช้งานใน Opera 100+ บน Windows, macOS และ Linux) ที่คอยสกัดกั้นและบล็อกการโจมตีแบบ pastejacking ที่อาศัยคลิปบอร์ด เมื่อเว็บไซต์พยายามเขียนเพย์โหลดที่น่าสงสัยไปยังคลิปบอร์ดโดยใช้โปรแกรม และจากนั้นแจ้งให้ผู้ใช้วางมัน Paste Protect จะเตือนผู้ใช้และบล็อกการทำงานไม่ให้สำเร็จ ซึ่งจะช่วยลดผลกระทบจากเทคนิค ClickFix ได้โดยตรงโดยไม่ต้องติดตั้งส่วนขยายใดๆ