ClickFix: 2025-2026'nın En Büyük Siber Tehdidi Artık Türkiye'de de Kapıda

ClickFix, Windows veya herhangi bir uygulamadaki bir güvenlik açığı değildir. Tamamen kullanıcının kendi eylemlerine dayanan bir sosyal mühendislik tekniğidir ve 2025-2026 döneminde saldırganların sistemlere ilk erişimi sağlamak için kullandıkları en yaygın yöntem haline gelmiştir . Siber suç grupları ve hatta devlet destekli aktörler, sahte Google reCAPTCHA ve Cloudflare doğrulama sayfaları kullanarak kurbanları kendi makinelerinde kötü amaçlı komutlar çalıştırmaya ikna etmektedir .

ClickFix Nasıl Çalışır? Dört Adımlı Aldatma

Saldırı, belgelenen tüm kampanyalarda tutarlı bir model izler :

1. Yem: Kullanıcı, ele geçirilmiş veya sahte bir web sitesini ziyaret eder ve sahte bir doğrulama istemiyle karşılaşır. Bu, sahte bir Google reCAPTCHA, taklit bir Cloudflare "İnsan olduğunuzu doğrulayın" sayfası, sahte bir tarayıcı güncelleme mesajı veya dolandırıcı bir QuickBooks ya da Booking.com hata ekranı olabilir .
2. Kopyala-yapıştır talimatı: Sayfa, doğrulama işlemini tamamlamak için "Win+R tuşlarına basın, ardından Ctrl+V (Yapıştır) yapın ve Enter'a basın" gibi talimatlar gösterir .
3. Gizli yük: Kullanıcının panosuna kopyalanan şey, uzak bir sunucudan kötü amaçlı bir yük indirip çalıştıran bir PowerShell, mshta veya curl komutudur .
4. Çalıştırma: Komut, kullanıcının kendi yetkileriyle çalışır. Kullanıcı kodu kendisi yapıştırıp başlattığı için, uç nokta tespit araçları (EDR) bunu genellikle bir izinsiz giriş olarak işaretleyemez .

Bu teknik, bulaşma vektörü olarak panoyu kullandığı için pastejacking olarak da adlandırılır .

ClickFix Kampanyalarında Dağıtılan Zararlı Yazılımlar

Saldırganlar ClickFix tuzaklarını kullanarak çeşitli kötü amaçlı yazılımları, genellikle çok aşamalı bulaşma zincirleriyle dağıtmaktadır:

• HijackLoader: En az Haziran 2025'ten bu yana ClickFix zincirlerinde gözlemlenen bir ilk aşama yükleyicidir. Genellikle ardından DeerStealer bilgi hırsızı gelir .
• CastleLoader (CastleBot olarak da bilinir): 2025 başlarından beri aktif olan bir hizmet olarak kötü amaçlı yazılım (MaaS) çerçevesidir. Bir kampanyada, CastleLoader'ı dağıtmak için sahte bir arka plan temizleme web sitesi kullanılmış; bu yazılım daha sonra NetSupport RAT ve tarayıcı kimlik bilgilerini, kripto para cüzdanlarını ve Telegram oturumlarını hedef alan özel bir .NET hırsızı yüklemiştir .
• NetSupport RAT: Saldırganlar tarafından kalıcı arka kapı erişimi için kullanılan, meşru bir uzaktan yönetim aracıdır .
• StealC: Tarayıcı kimlik bilgilerini ve kripto para cüzdanlarını hedef alan bir bilgi çalma trojanıdır .
• Amatera: Sahte CAPTCHA'ları imzalı Microsoft App-V betikleriyle birleştiren bir ClickFix kampanyası aracılığıyla dağıtılan bir bilgi hırsızıdır .
• Rust tabanlı hırsız: 2025 sonlarında başlayan polimorfik ClickFix kampanyalarında belgelenmiştir .
• DeerStealer: HijackLoader'dan sonra teslim edilen nihai yürütülebilir yük olarak gözlemlenmiştir .
• ResiLoader: Kurbanın makinesindeki 140'tan fazla antivirüs ve güvenlik aracı işlemini sonlandırmak üzere tasarlanmış, yeni belgelenmiş bir yükleyicidir. Bu sayede nihai yük çalışmadan önce savunmalar etkisiz hale getirilir .

Dağıtım Yöntemleri

Saldırganlar ClickFix saldırılarını barındırmak ve dağıtmak için geniş bir altyapı yelpazesinden yararlanır:

• Cloudflare R2 depolama: Kötü amaçlı yük ikili dosyalarını barındırmak için kullanılır .
• Cloudflare Pages alt alan adları: Cloudflare'in kendi güvenilir sertifikasına sahip sahte CAPTCHA sayfaları sunmak için kötüye kullanılır .
• Dedik Services Limited barındırma: ClickFix komuta ve kontrol altyapısı için bir barındırma sağlayıcısı olarak gözlemlenmiştir .
• Süresi dolmuş alan adları: Kimlik avı ve yük dağıtımı için kullanılan, süresi dolmuş veya yeniden kaydedilmiş alan adlarıdır .
• Ele geçirilmiş web siteleri: En yaygın ilk bulaşma vektörüdür. Saldırganlar, meşru sitelere (genellikle eklenti açıkları veya CMS istismarları yoluyla) ziyaretçileri ClickFix açılış sayfalarına yönlendiren kötü amaçlı JavaScript veya iframe'ler enjekte eder .
• SEO zehirleme ve kötü amaçlı reklamcılık (malvertising): Arama motoru sonuçları aracılığıyla yayılan sahte yükleyici siteleri ve korsan yazılım portallarıdır .
• Ghost CMS zafiyetinin istismarı: Mayıs 2026'da saldırganlar, kritik bir Ghost CMS SQL enjeksiyon açığını (CVE‑2026‑26980) kullanarak 700'den fazla meşru eğitim ve teknoloji web sitesini ele geçirmiş ve ClickFix istemlerini enjekte etmiştir .

Tehdidin Önemi: ClickFix Neden Baskın?

• Microsoft'un 2025 Dijital Savunma Raporu, ClickFix'i #1 ilk erişim yöntemi olarak tanımlamış ve Microsoft Defender Uzmanları tarafından bir önceki yıl gözlemlenen tüm saldırıların %47'sinden sorumlu olduğunu belirtmiştir. Bu oran, geleneksel kimlik avını (%35) geride bırakmıştır .
• ESET telemetrisi, yalnızca 2025'in ilk yarısında ClickFix saldırılarında %517'lik bir artış kaydetmiştir .
• Menlo Labs tarafından belgelenen bir kampanyada ClickFix, tek bir polimorfik JavaScript tuzağıyla çapraz platform yükleri (Windows PowerShell komutları, macOS .command betikleri ve Linux Bash betikleri) teslim etmiştir .
• ABD Sağlık ve İnsan Hizmetleri Bakanlığı (HHS), Temmuz 2026'da ClickFix ile ilgili bir sektör uyarısı yayınlayarak tekniğin kritik altyapıya kadar ulaştığını doğrulamıştır .
• Recorded Future'ın Insikt Grubu, Mart 2026'da yaptığı değerlendirmede ClickFix'in 2026 boyunca baskın ilk erişim vektörü olarak kalmasının muhtemel olduğunu belirtmiştir .

Savunma Önlemleri: Araştırmacılar Ne Öneriyor?

ClickFix bir yazılım güvenlik açığından ziyade insan davranışını istismar ettiği için savunma büyük ölçüde teknik kontrollere ve kullanıcı farkındalığına dayanır :

• PowerShell yürütmesini kısıtlayın: Yönetici olmayan kullanıcıların PowerShell betikleri çalıştırmasını engelleyin. Grup İlkesi (GPO) ile yürütme politikasını Kısıtlı (Restricted) olarak ayarlayın ve tüm PowerShell yürütme olaylarını günlüğe kaydedin .
• Windows Çalıştır kutusunu devre dışı bırakın: Bir kayıt defteri değişikliği (NoRun politikası) ile Win+R tuşlarının komut yapıştırmak ve çalıştırmak için kullanılması engellenebilir .
• İstenmeyen komut istemi talimatlarını kırmızı bayrak olarak kabul edin: Hiçbir meşru web sitesi veya hizmet, bir kullanıcıdan Win+R tuşuna basmasını, bir komutu yapıştırmasını ve Enter'a basmasını istemez. Bu, kullanıcı farkındalığı eğitimlerinin en önemli maddesi olmalıdır .
• mshta, cscript ve curl'un kullanıcı bağlamında çalışmasını engelleyin: Betik yorumlayıcılarını kısıtlamak için AppLocker veya Windows Defender Uygulama Denetimi (WDAC) kullanın .
• Uç nokta tespit kuralları dağıtın: Olağandışı

  powershell.exe -ep bypass

  üst süreçlerini, explorer.exe'den betik yorumlayıcılarına giden süreç soy ağacını ve RunMRU kayıt defteri yapılarını izleyin .
• Pano güvenlik özelliklerini kullanın: Tarayıcı düzeyindeki pano korumaları, ClickFix'in dayandığı temel kopyala-yapıştır mekanizmasını engelleyebilir.

Opera'nın Paste Protect Özelliği

Opera, pano tabanlı pastejacking saldırılarını yakalayıp engelleyen yerel bir Paste Protect özelliği sunmaktadır (Windows, macOS ve Linux'ta Opera 100 ve üzeri sürümlerde mevcuttur). Bir web sitesi programatik olarak panoya şüpheli bir yük yazmaya çalıştığında ve ardından kullanıcıdan bunu yapıştırmasını istediğinde, Paste Protect kullanıcıyı uyarır ve işlemin tamamlanmasını engeller. Bu, herhangi bir eklenti kurulumu gerektirmeden doğrudan ClickFix tekniğini etkisiz hale getirir.