Як працює ClickFix: чотири кроки обману

Атака дотримується стандартної схеми майже у всіх задокументованих кампаніях :

1. Приманка: Користувач потрапляє на зламаний або шахрайський сайт і бачить підроблене вікно перевірки — фальшиву Google reCAPTCHA, підроблену сторінку Cloudflare "Verify you are human", сповіщення про оновлення браузера або фейкову помилку QuickBooks чи Booking.com .
2. Інструкція копіювати-вставити: Сторінка відображає вказівки: "Натисніть Win + R, потім Ctrl + V, потім Enter" для завершення перевірки .
3. Приховане навантаження: Те, що потрапило до буфера обміну, є шкідливою командою PowerShell, mshta або curl, яка завантажує та виконує шкідливий лоадер з віддаленого сервера .
4. Виконання: Команда запускається з правами самого користувача. Оскільки користувач вставив і запустив її самостійно, засоби виявлення на кінцевих точках часто не позначають це як вторгнення .

Цю техніку також називають pastejacking, оскільки вона використовує буфер обміну як вектор зараження .

Навантаження, що доставляються в кампаніях ClickFix

Зловмисники використовували приманки ClickFix для доставки широкого спектра шкідливого ПЗ, часто в багатоетапних ланцюжках зараження:

• HijackLoader: Лоадер першого етапу, який спостерігається в ланцюжках ClickFix щонайменше з червня 2025 року, часто з подальшим завантаженням інфостілера DeerStealer .
• CastleLoader (також CastleBot): Фреймворк "шкідливе ПЗ як послуга", активний з початку 2025 року. Одна кампанія використовувала фальшивий сайт для видалення фону, щоб доставити CastleLoader, який потім встановлював NetSupport RAT та власний .NET-стейлер, що краде облікові дані браузерів, криптогаманці та сесії Telegram .
• NetSupport RAT: Легітимний інструмент віддаленого адміністрування, який зловмисники перепрофілювали для постійного бекдорного доступу .
• StealC: Троян-крадій інформації, що націлюється на облікові дані браузерів та криптогаманці .
• Amatera: Інфостілер, розповсюджуваний через кампанію ClickFix, яка поєднувала підроблені капчі з підписаними скриптами Microsoft App-V .
• Rust-стейлер: Задокументований у поліморфних кампаніях ClickFix, що почалися наприкінці 2025 року .
• DeerStealer: Спостерігався як кінцеве виконуване навантаження після HijackLoader .
• ResiLoader: Нещодавно задокументований лоадер, спеціально розроблений для завершення понад 140 процесів антивірусів та безпекових інструментів на машині жертви, фактично вимикаючи захист перед запуском основного навантаження .

Методи розповсюдження

Зловмисники використовують широкий спектр інфраструктури для розміщення та доставки атак ClickFix:

• Cloudflare R2 сховище: Використовується для розміщення бінарних файлів шкідливого навантаження .
• Піддомени Cloudflare Pages: Використовуються для обслуговування фальшивих сторінок капчі з власним довіреним сертифікатом Cloudflare .
• Хостинг Dedik Services Limited: Спостерігався як хостинг-провайдер для інфраструктури командування та контролю ClickFix .
• Прострочені домени: Зареєстровані або перереєстровані прострочені домени для збору облікових даних і доставки навантаження .
• Зламані вебсайти: Найпоширеніший первинний вектор. Зловмисники впроваджують шкідливий JavaScript або iframes на легітимні сайти (часто через вразливості плагінів або CMS-експлойти), які перенаправляють відвідувачів на цільові сторінки ClickFix .
• SEO-труєння та шкідлива реклама: Фальшиві сайти-інсталятори та портали піратського ПЗ, які просуваються через результати пошукових систем .
• Експлуатація вразливості Ghost CMS: У травні 2026 року зловмисники використали критичну SQL-ін'єкцію в Ghost CMS (CVE‑2026‑26980), щоб зламати понад 700 легітимних освітніх та технологічних сайтів і впровадити підказки ClickFix .

Значення загрози: чому ClickFix домінує

• Звіт Microsoft про цифровий захист 2025 визначив ClickFix як метод початкового доступу №1, на який припадає 47% усіх атак, зафіксованих Microsoft Defender Experts за попередній рік — випереджаючи традиційний фішинг (35%) .
• Телеметрія ESET зафіксувала сплеск на 517% атак ClickFix лише за перше півріччя 2025 року .
• В одній кампанії, задокументованій Menlo Labs, ClickFix доставляв крос-платформні навантаження: команди Windows PowerShell, macOS .command скрипти та Linux Bash скрипти з одного поліморфного JavaScript-приманки .
• Міністерство охорони здоров'я та соціальних служб США (HHS) випустило галузеве попередження про ClickFix у липні 2026 року, підтвердивши проникнення техніки в критичну інфраструктуру .
• Група Insikt компанії Recorded Future у березні 2026 року оцінила, що ClickFix, найімовірніше, залишиться домінуючим вектором початкового доступу протягом усього 2026 року .

Захисні заходи: що рекомендують дослідники

Оскільки ClickFix експлуатує людську поведінку, а не вразливість програмного забезпечення, захист значною мірою покладається на технічні засоби контролю та обізнаність користувачів :

• Обмежте виконання PowerShell: Заблокуйте неадміністративним користувачам запуск скриптів PowerShell. Встановіть політику виконання Restricted через групові політики та реєструйте всі події виконання PowerShell .
• Вимкніть діалогове вікно "Виконати" Windows: Модифікація реєстру (політика NoRun) може запобігти використанню Win+R для вставки та виконання команд .
• Ставтеся до небажаних інструкцій у командному рядку як до червоних прапорців: Жоден легітимний вебсайт чи служба не просить користувача натиснути Win+R, вставити команду та натиснути Enter. Це має бути найважливішим пунктом навчання користувачів .
• Заблокуйте виконання mshta, cscript та curl у контексті користувача: Використовуйте AppLocker або Windows Defender Application Control для обмеження інтерпретаторів скриптів .
• Розгорніть правила виявлення на кінцевих точках: Моніторте незвичайні батьківські процеси powershell.exe -ep bypass, ланцюжки процесів від explorer.exe до інтерпретаторів скриптів та артефакти реєстру RunMRU .
• Використовуйте функції безпеки буфера обміну: Захист буфера обміну на рівні браузера може запобігти основному механізму копіювання-вставки, на який покладається ClickFix.

Функція Opera Paste Protect

Opera представила власну функцію Paste Protect (доступна в Opera 100+ на Windows, macOS та Linux), яка перехоплює та блокує атаки pastejacking на основі буфера обміну. Коли вебсайт намагається програмно записати підозріле навантаження до буфера обміну, а потім пропонує користувачеві вставити його, Paste Protect попереджає користувача та блокує завершення операції. Це безпосередньо нейтралізує основну техніку ClickFix без необхідності встановлення будь-яких розширень.

Як працює ClickFix: чотири кроки обману

Атака дотримується стандартної схеми майже у всіх задокументованих кампаніях :

1. Приманка: Користувач потрапляє на зламаний або шахрайський сайт і бачить підроблене вікно перевірки — фальшиву Google reCAPTCHA, підроблену сторінку Cloudflare "Verify you are human", сповіщення про оновлення браузера або фейкову помилку QuickBooks чи Booking.com .
2. Інструкція копіювати-вставити: Сторінка відображає вказівки: "Натисніть Win + R, потім Ctrl + V, потім Enter" для завершення перевірки .
3. Приховане навантаження: Те, що потрапило до буфера обміну, є шкідливою командою PowerShell, mshta або curl, яка завантажує та виконує шкідливий лоадер з віддаленого сервера .
4. Виконання: Команда запускається з правами самого користувача. Оскільки користувач вставив і запустив її самостійно, засоби виявлення на кінцевих точках часто не позначають це як вторгнення .

Цю техніку також називають pastejacking, оскільки вона використовує буфер обміну як вектор зараження .

Навантаження, що доставляються в кампаніях ClickFix

Зловмисники використовували приманки ClickFix для доставки широкого спектра шкідливого ПЗ, часто в багатоетапних ланцюжках зараження:

• HijackLoader: Лоадер першого етапу, який спостерігається в ланцюжках ClickFix щонайменше з червня 2025 року, часто з подальшим завантаженням інфостілера DeerStealer .
• CastleLoader (також CastleBot): Фреймворк "шкідливе ПЗ як послуга", активний з початку 2025 року. Одна кампанія використовувала фальшивий сайт для видалення фону, щоб доставити CastleLoader, який потім встановлював NetSupport RAT та власний .NET-стейлер, що краде облікові дані браузерів, криптогаманці та сесії Telegram .
• NetSupport RAT: Легітимний інструмент віддаленого адміністрування, який зловмисники перепрофілювали для постійного бекдорного доступу .
• StealC: Троян-крадій інформації, що націлюється на облікові дані браузерів та криптогаманці .
• Amatera: Інфостілер, розповсюджуваний через кампанію ClickFix, яка поєднувала підроблені капчі з підписаними скриптами Microsoft App-V .
• Rust-стейлер: Задокументований у поліморфних кампаніях ClickFix, що почалися наприкінці 2025 року .
• DeerStealer: Спостерігався як кінцеве виконуване навантаження після HijackLoader .
• ResiLoader: Нещодавно задокументований лоадер, спеціально розроблений для завершення понад 140 процесів антивірусів та безпекових інструментів на машині жертви, фактично вимикаючи захист перед запуском основного навантаження .

Методи розповсюдження

Зловмисники використовують широкий спектр інфраструктури для розміщення та доставки атак ClickFix:

• Cloudflare R2 сховище: Використовується для розміщення бінарних файлів шкідливого навантаження .
• Піддомени Cloudflare Pages: Використовуються для обслуговування фальшивих сторінок капчі з власним довіреним сертифікатом Cloudflare .
• Хостинг Dedik Services Limited: Спостерігався як хостинг-провайдер для інфраструктури командування та контролю ClickFix .
• Прострочені домени: Зареєстровані або перереєстровані прострочені домени для збору облікових даних і доставки навантаження .
• Зламані вебсайти: Найпоширеніший первинний вектор. Зловмисники впроваджують шкідливий JavaScript або iframes на легітимні сайти (часто через вразливості плагінів або CMS-експлойти), які перенаправляють відвідувачів на цільові сторінки ClickFix .
• SEO-труєння та шкідлива реклама: Фальшиві сайти-інсталятори та портали піратського ПЗ, які просуваються через результати пошукових систем .
• Експлуатація вразливості Ghost CMS: У травні 2026 року зловмисники використали критичну SQL-ін'єкцію в Ghost CMS (CVE‑2026‑26980), щоб зламати понад 700 легітимних освітніх та технологічних сайтів і впровадити підказки ClickFix .

Значення загрози: чому ClickFix домінує

• Звіт Microsoft про цифровий захист 2025 визначив ClickFix як метод початкового доступу №1, на який припадає 47% усіх атак, зафіксованих Microsoft Defender Experts за попередній рік — випереджаючи традиційний фішинг (35%) .
• Телеметрія ESET зафіксувала сплеск на 517% атак ClickFix лише за перше півріччя 2025 року .
• В одній кампанії, задокументованій Menlo Labs, ClickFix доставляв крос-платформні навантаження: команди Windows PowerShell, macOS .command скрипти та Linux Bash скрипти з одного поліморфного JavaScript-приманки .
• Міністерство охорони здоров'я та соціальних служб США (HHS) випустило галузеве попередження про ClickFix у липні 2026 року, підтвердивши проникнення техніки в критичну інфраструктуру .
• Група Insikt компанії Recorded Future у березні 2026 року оцінила, що ClickFix, найімовірніше, залишиться домінуючим вектором початкового доступу протягом усього 2026 року .

Захисні заходи: що рекомендують дослідники

Оскільки ClickFix експлуатує людську поведінку, а не вразливість програмного забезпечення, захист значною мірою покладається на технічні засоби контролю та обізнаність користувачів :

• Обмежте виконання PowerShell: Заблокуйте неадміністративним користувачам запуск скриптів PowerShell. Встановіть політику виконання Restricted через групові політики та реєструйте всі події виконання PowerShell .
• Вимкніть діалогове вікно "Виконати" Windows: Модифікація реєстру (політика NoRun) може запобігти використанню Win+R для вставки та виконання команд .
• Ставтеся до небажаних інструкцій у командному рядку як до червоних прапорців: Жоден легітимний вебсайт чи служба не просить користувача натиснути Win+R, вставити команду та натиснути Enter. Це має бути найважливішим пунктом навчання користувачів .
• Заблокуйте виконання mshta, cscript та curl у контексті користувача: Використовуйте AppLocker або Windows Defender Application Control для обмеження інтерпретаторів скриптів .
• Розгорніть правила виявлення на кінцевих точках: Моніторте незвичайні батьківські процеси powershell.exe -ep bypass, ланцюжки процесів від explorer.exe до інтерпретаторів скриптів та артефакти реєстру RunMRU .
• Використовуйте функції безпеки буфера обміну: Захист буфера обміну на рівні браузера може запобігти основному механізму копіювання-вставки, на який покладається ClickFix.

Функція Opera Paste Protect

Opera представила власну функцію Paste Protect (доступна в Opera 100+ на Windows, macOS та Linux), яка перехоплює та блокує атаки pastejacking на основі буфера обміну. Коли вебсайт намагається програмно записати підозріле навантаження до буфера обміну, а потім пропонує користувачеві вставити його, Paste Protect попереджає користувача та блокує завершення операції. Це безпосередньо нейтралізує основну техніку ClickFix без необхідності встановлення будь-яких розширень.