ما هو هجوم ClickFix وكيف يعمل بالتفصيل؟

الأخبار الرقمية » الموارد » ما هو هجوم ClickFix وكيف يعمل بالتفصيل

أصبحت هجمات ClickFix واحدة من أكثر حيل الهندسة الاجتماعية شيوعًا في عالم الجرائم الإلكترونية: حملات تبدو غير ضارة، مع تحذيرات متصفح مزيفة أو فحوصات أمنية، ولكنها تنتهي بجعل المستخدم يقوم بتشغيل رمز ضار على جهاز الكمبيوتر الخاص به، دون أن يدرك ذلك تقريبًا.

بعيدًا عن كونه مجرد فضول تقني، فقد شوهد برنامج ClickFix بالفعل في حملات حقيقية في أمريكا اللاتينية وأوروبا ومناطق أخرى ، حيث يقوم بتوزيع برامج سرقة المعلومات، وبرامج الوصول عن بعد (RATs)، وبرامج التحميل المعقدة مثل GHOSTPULSE أو NetSupport RAT، بل ويستغل مقاطع الفيديو على TikTok أو دروس YouTube للوصول إلى آلاف الضحايا.

ما هو هجوم ClickFix بالضبط؟

ClickFix هي تقنية هندسة اجتماعية حديثة نسبياً (شاعت منذ عام 2024) تعتمد على شيء بسيط للغاية: إقناع المستخدم بنسخ وتشغيل الأوامر على نظامه الخاص "لإصلاح" مشكلة تقنية مزعومة أو إكمال عملية تحقق.

بدلاً من تنزيل برنامج ضار مباشرة، يقوم الموقع الضار بحقن نص برمجي أو أمر في الحافظة (على سبيل المثال، PowerShell في Windows أو أوامر MSHTA) ثم يعرض تعليمات خطوة بخطوة للضحية للصقها وتشغيلها في وحدة تحكم أو مربع تشغيل أو طرفية.

يستغل هذا الأسلوب ما يسميه العديد من الباحثين "إرهاق التحقق" : اعتاد المستخدمون على النقر بسرعة على أزرار مثل "أنا إنسان" أو "إصلاحها" أو "التحديث الآن" دون تحليل الرسالة كثيرًا، مما يجعلهم عرضة للخطر عندما تبدو الشاشة وكأنها عملية تحقق من Cloudflare أو اختبار CAPTCHA من Google أو خطأ في Google Meet أو Zoom.

اسم ClickFix يأتي تحديدًا من الأزرار التي تظهر عادةً في هذه الطُعم ، مع نصوص مثل "إصلاحها" أو "كيفية الإصلاح" أو "الإصلاح الآن" أو "حل المشكلة"، مما يعطي انطباعًا بأن المستخدم يقوم بتطبيق حل سريع، بينما في الواقع يقومون بنسخ وتشغيل برنامج نصي يقوم بتنزيل برامج ضارة.

كيفية عمل هجوم ClickFix خطوة بخطوة

على الرغم من وجود العديد من الاختلافات، إلا أن جميع هجمات ClickFix تقريبًا تتبع تسلسلًا مشتركًا يجمع بين مواقع الويب المخترقة، وبرامج جافا سكريبت الخبيثة، والتدخل "القسري" للمستخدم لتنفيذ التعليمات البرمجية.

الخطوة الأولى عادة ما تكون زيارة موقع ويب شرعي تم اختراقه أو صفحة خبيثة مباشرة ، والتي يصل إليها الضحية من خلال رابط في رسالة بريد إلكتروني للتصيد الاحتيالي، أو نتائج محركات البحث المتلاعب بها (تحسين محركات البحث الخبيث)، أو الإعلانات الخبيثة، أو حتى من خلال مقطع فيديو على TikTok أو YouTube يحتوي على حيل مزعومة لتفعيل برامج مدفوعة.

تظهر في تلك الصفحة تحذير أو تحقق مزيف يحاكي مشكلة فنية : خطأ في تحميل مستند، أو فشل تحديث المتصفح، أو مشاكل في الميكروفون أو الكاميرا في Google Meet/Zoom، أو فحص مضاد للروبوتات مزعوم مثل Cloudflare أو reCAPTCHA الذي لا يسمح لك بالمتابعة إلا إذا تم "إصلاح" شيء ما.

بمجرد أن ينقر المستخدم على زر "إصلاح" أو يحدد خانة "أنا إنسان" ، يقوم برنامج جافا سكريبت تلقائيًا بحقن أمر ضار في الحافظة، وعادة ما يكون أمر PowerShell أو MSHTA مشفرًا يقوم بعد ذلك بتنزيل برنامج ضار آخر من خادم بعيد.

يعرض الموقع الإلكتروني دليلاً مفصلاً للضحية لتنفيذ هذا الأمر ، على سبيل المثال:

• انقر فوق زر "إصلاحه" لنسخ رمز الحل.
• اضغط على مفتاحي Win+R لفتح نافذة التشغيل على Windows.
• اضغط على Ctrl+V للصق ما هو موجود على الحافظة (الأمر الخبيث).
• اضغط على Enter لإصلاح المشكلة أو متابعة التحقق.

في الإصدارات الأكثر تقدماً، يتم تنفيذ الحيلة باستخدام Win+X أو باستخدام وحدة تحكم المتصفح : يتم توجيه المستخدم لفتح طرفية PowerShell بصلاحيات المسؤول من القائمة السريعة (Win+X) أو استخدام وحدة تحكم المتصفح (F12 أو Ctrl+Shift+I) ولصق كتلة من كود JavaScript أو وظيفة "التحقق" هناك.

بعد تنفيذ الأمر، تتطور بقية العدوى في الخلفية : يقوم البرنامج النصي بتنزيل أجزاء أخرى من خوادم القيادة والتحكم (C2)، وفك ضغط الملفات، وتنفيذ ملفات DLL الضارة عن طريق التحميل الجانبي، وينتهي بتثبيت برامج سرقة المعلومات أو برامج RAT في الذاكرة أو على القرص.

لماذا من الصعب جدًا اكتشاف ClickFix

إحدى المزايا الكبيرة لبرنامج ClickFix بالنسبة للمهاجمين هي أنه يتجاوز العديد من الحواجز الأمنية التقليدية ، لأن سلسلة العدوى تبدو وكأنها تبدأ من المستخدم نفسه وليس من ملف تم تنزيله أو من ثغرة أمنية كلاسيكية.

ليس بالضرورة أن يكون هناك مرفق مشبوه أو ملف تنفيذي تم تنزيله مباشرة من المتصفح ، مما يعني أن العديد من مرشحات البريد الإلكتروني، ومانعات التنزيل، وفحوصات سمعة عناوين URL لا ترى أي شيء ضار بشكل واضح في تلك المرحلة الأولى.

يتم تنفيذ الأمر من "واجهة موثوقة" للنظام، مثل PowerShell أو cmd.exe أو وحدة تحكم المتصفح ، مما يعطي البرامج الضارة مظهرًا من النشاط المشروع ويعقد عمل برامج مكافحة الفيروسات القائمة على التوقيعات وبعض حلول الأمان التي لا تجيد تحليل السلوك.

عادةً ما تكتشف منتجات الأمان التهديد عندما يتم تنفيذ الحمولة بالفعل أو عندما تحاول الاندماج في العمليات المحمية، أو تعديل الملفات الهامة مثل ملف المضيفين، أو إنشاء استمرارية، أو الاتصال بخادم C2؛ أي في مرحلة ما بعد الاستغلال.

بحلول ذلك الوقت، ربما يكون المهاجم قد حصل على وصول كبير إلى النظام : تصعيد الامتيازات، وسرقة بيانات الاعتماد، والتحرك بشكل جانبي عبر شبكة الشركة، أو حتى محاولة تعطيل برامج مكافحة الفيروسات وطبقات الدفاع الأخرى.

أين يظهر ClickFix في الممارسة العملية: القنوات والإغراءات الشائعة

أظهرت الأبحاث التي أجرتها مختبرات أمنية مختلفة أن برنامج ClickFix يستخدم في مجموعة كبيرة من الحملات ، التي تستهدف كلاً من المستخدمين المنزليين والشركات في القطاعات الحيوية.

غالباً ما يستخدم المهاجمون هذه القنوات لنشر طُعم ClickFix الخاص بهم :

• المواقع المشروعة تعرضت للاختراق، حيث يقومون بحقن أطر عمل JavaScript مثل ClearFake لعرض إشعارات التحديث أو التحقق المزيفة.
• الإعلانات الخبيثةوخاصة اللافتات والإعلانات الدعائية التي تعيد التوجيه إلى صفحات تنزيل البرامج المزيفة أو صفحات التحقق من صحة المتصفح.
• دروس تعليمية وفيديوهات على اليوتيوب أو تيك توك، مع حيل مزعومة لتنشيط البرامج أو فتح الميزات المتميزة مجانًا.
• منتديات الدعم الفني ومواقع الويب المزيفة التي تحاكي بوابات المساعدة، حيث يُنصح بتشغيل الأوامر لإصلاح أخطاء النظام.

في أمريكا اللاتينية، تم توثيق حالات تم فيها اختراق المواقع الرسمية والجامعية : على سبيل المثال، موقع كلية الهندسة الصناعية بالجامعة الكاثوليكية في تشيلي أو موقع صندوق إسكان الشرطة في بيرو، والذي انتهى به الأمر إلى عرض تدفقات ClickFix لزواره.

حذرت وكالات الأمن الأمريكية من حملات تستهدف المستخدمين الذين يبحثون عن ألعاب أو قارئات ملفات PDF أو متصفحات Web3 أو تطبيقات المراسلة ، وذلك من خلال استغلال عمليات البحث اليومية لإعادة توجيههم إلى صفحات تستخدم تقنية ClickFix.

كما لوحظت حملات تعتمد على صفحات مزعومة لـ Google Meet أو Zoom أو DocuSign أو Okta أو Facebook أو Cloudflare ، حيث يتم عرض خطأ في المتصفح أو التحقق من CAPTCHA، مما يجبر المستخدم على اتباع تسلسل نسخ وتنفيذ الأوامر.

البرامج الضارة الأكثر شيوعًا التي يتم توزيعها باستخدام ClickFix

نادراً ما يكون ClickFix هو الجزء الوحيد من الهجوم ؛ فهو عادةً ما يكون مجرد الوسيلة الأولية التي تسمح بنشر سلسلة عدوى متعددة المراحل مع مجموعة واسعة من البرامج الضارة.

من بين أبرز العائلات التي لوحظت في الحملات الأخيرة :

• سارقو المعلومات مثل Vidar وLumma وStealc وDanabot وAtomic Stealer أو Odyssey Stealer، متخصصة في سرقة بيانات اعتماد المتصفح وملفات تعريف الارتباط وبيانات التعبئة التلقائية ومحافظ العملات المشفرة وبيانات اعتماد VPN وFTP وما إلى ذلك.
• برامج RAT (أحصنة طروادة للوصول عن بعد) مثل NetSupport RAT أو ARECHCLIENT2 (SectopRAT)التي تسمح للمهاجمين بالسيطرة على النظام وتنفيذ الأوامر واستخراج المعلومات وإطلاق المراحل اللاحقة، بما في ذلك برامج الفدية.
• أدوات التحميل المتقدمة مثل GHOSTPULSE أو Latrodectus أو ClearFakeوالتي تعمل كغراء، حيث تقوم بتنزيل وفك تشفير وتحميل القطع التالية في الذاكرة، غالبًا مع طبقات معقدة للغاية من التعتيم والتشفير.
• أدوات لسرقة المعلومات المالية والشركاتية، والتي تستخرج البيانات من النماذج وعملاء البريد الإلكتروني والمراسلة وتطبيقات الأعمال.

في الحملات النشطة خلال عامي 2024 و2025، شوهد برنامج ClickFix وهو يغذي سلاسل معقدة : على سبيل المثال، برنامج ClickFix الوهمي الذي يقوم بتشغيل PowerShell، والذي يقوم بدوره بتنزيل ملف ZIP يحتوي على ملف تنفيذي شرعي (مثل jp2launcher.exe من Java) وملف DLL ضار، ومن خلال التحميل الجانبي ينتهي بتشغيل برنامج NetSupport RAT على الكمبيوتر.

ومن الحالات الشائعة الأخرى استخدام MSHTA مع عناوين URL مشوشة لنطاقات مثل iploggerco ، والتي تحاكي خدمات اختصار عناوين URL أو خدمات التسجيل الشرعية؛ ومن هناك يتم تنزيل برنامج نصي PowerShell مشفر بـ Base64 ينتهي بإطلاق برامج Lumma Stealer أو ما شابه ذلك.

دراسات حالة واقعية وحملات مميزة مع ClickFix

وقد حددت تقارير من عدة فرق استجابة للحوادث ومختبرات أمنية العديد من الحملات النشطة للغاية التي تدور حول ClickFix كنقطة دخول.

في قطاع الأعمال، لوحظ تأثير ملحوظ في مجالات مثل التكنولوجيا المتقدمة، والخدمات المالية، والتصنيع، وتجارة التجزئة والجملة، والإدارة العامة، والخدمات المهنية والقانونية، والطاقة والمرافق، من بين أمور أخرى كثيرة.

في حملة مايو 2025، استخدم المهاجمون ClickFix لنشر NetSupport RAT من خلال صفحات مزيفة تنتحل شخصية DocuSign و Okta، مستفيدين من البنية التحتية المرتبطة بإطار عمل ClearFake لحقن JavaScript الذي يتلاعب بالحافظة.

خلال شهري مارس وأبريل من عام 2025، تم توثيق زيادة في حركة المرور إلى النطاقات التي تسيطر عليها عائلة Latrodectus ، والتي بدأت في استخدام ClickFix كتقنية وصول أولية: بوابة مخترقة يتم إعادة توجيهها إلى عملية تحقق مزيفة، يقوم الضحية بتشغيل PowerShell من Win+R، وهذا يقوم بتنزيل ملف MSI الذي يقوم بإسقاط ملف DLL الضار libcef.dll.

في الوقت نفسه، تم اكتشاف حملات انتحال أسماء النطاقات المرتبطة ببرنامج Lumma Stealer ، حيث طُلب من الضحايا تنفيذ أوامر MSHTA التي تشير إلى نطاقات تحاكي iplogger؛ قامت هذه الأوامر بتنزيل نصوص PowerShell مشفرة بشكل كبير والتي انتهى بها الأمر إلى فك ضغط الحزم التي تحتوي على ملفات تنفيذية مثل PartyContinued.exe ومحتويات CAB (Boat.pst) لإعداد محرك برمجة AutoIt المسؤول عن تشغيل الإصدار النهائي من Lumma.

وصفت مختبرات الأمن المرنة أيضًا حملات حيث يعمل ClickFix كخطاف أولي لـ GHOSTPULSE ، والذي بدوره يقوم بتحميل مُحمِّل .NET وسيط ويقوم أخيرًا بحقن ARECHCLIENT2 في الذاكرة، متجاوزًا آليات مثل AMSI من خلال الربط والتشويش المتقدم.

على صعيد المستخدم النهائي، عرض العديد من البائعين أمثلة مبسطة لهجوم ClickFix حيث تقوم صفحة "تحديث المتصفح" أو CAPTCHA مزيف بنسخ نص برمجي إلى الحافظة بصمت ثم تجبر المستخدم على لصقه في PowerShell بصلاحيات المسؤول، مما يسهل الاتصال ببنية C2 التحتية وتنزيل الملفات التنفيذية التي تعدل النظام.

إحدى الظواهر المقلقة بشكل خاص هي وصول ClickFix إلى TikTok : مقاطع الفيديو التي يتم إنشاؤها حتى باستخدام الذكاء الاصطناعي تروج لـ "طرق سهلة" لتفعيل الإصدارات المدفوعة المجانية من Office أو Spotify Premium أو برامج التحرير، ولكنها في الواقع توجه المستخدمين لنسخ ولصق أوامر ضارة تقوم بتثبيت برامج سرقة المعلومات مثل Vidar أو Stealc.

كيف يكتشف المحللون إصابات ClickFix

على الرغم من أن الأمر قد يبدو وكأنه سحر أسود للمستخدم، إلا أن إصابات ClickFix تترك أثراً تقنياً يمكن لفرق البحث عن التهديدات وأنظمة الكشف والاستجابة لنقاط النهاية استخدامه لاكتشاف الحادث.

في بيئات ويندوز، تُعد مفتاح التسجيل RunMRU أحد نقاط التحليل ، حيث يخزن الأوامر الأخيرة التي تم تنفيذها من نافذة التشغيل (Win+R):

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU

يقوم المحللون بمراجعة هذه الإدخالات بحثًا عن أنماط مشبوهة : أوامر مبهمة، استخدام PowerShell أو MSHTA مع عناوين URL غير عادية، استدعاءات لمجالات غير معروفة، أو إشارات إلى أدوات إدارية لا يستخدمها المستخدم العادي عادةً.

عندما يستخدم المهاجمون متغير Win+X (قائمة الوصول السريع) لتشغيل PowerShell أو موجه الأوامر ، يتم البحث عن الدليل في بيانات تتبع العمليات: أحداث إنشاء العمليات (مثل المعرف 4688 في سجل أمان Windows) حيث يقوم explorer.exe بتشغيل powershell.exe مباشرة بعد الضغط على Win+X.

يساعد الربط مع الأحداث الأخرى، مثل الوصول إلى مجلد %LocalAppData%\Microsoft\Windows\WinX\ أو اتصالات الشبكة المشبوهة بعد هذا التنفيذ ، في تحديد السلوك النموذجي لعدوى ClickFix، خاصة إذا ظهرت عمليات مثل certutil.exe أو mshta.exe أو rundll32.exe مباشرة بعد ذلك.

ومن طرق الكشف الأخرى إساءة استخدام الحافظة : يمكن لحلول تصفية عناوين URL المتقدمة وحلول أمان نظام أسماء النطاقات (DNS) تحديد جافا سكريبت التي تحاول حقن أوامر ضارة في مخزن الحافظة المؤقت، مما يؤدي إلى حظر الصفحة قبل أن يكمل المستخدم التسلسل.

ما الذي يحاول المهاجمون تحقيقه باستخدام تقنية ClickFix؟

وراء كل هذه الهندسة الاجتماعية هدف واضح: الحصول على فوائد اقتصادية من المعلومات المسروقة ، سواء من المستخدمين الأفراد أو المنظمات.

تم تصميم برامج سرقة المعلومات التي يتم نشرها من خلال ClickFix لجمع بيانات الاعتماد وملفات تعريف الارتباط والبيانات الحساسة المخزنة في المتصفحات أو عملاء البريد الإلكتروني أو تطبيقات الشركات أو محافظ العملات المشفرة، بالإضافة إلى المستندات الداخلية والبيانات المالية.

باستخدام هذه المواد، يمكن للمجرمين القيام بأنشطة إجرامية متعددة :

• ابتزاز الشركاتالتهديد بتسريب معلومات سرية عن المنظمة أو عملائها.
• ارتكاب الاحتيال المالي المباشر من خلال استغلال الحسابات المصرفية المخترقة، أو أنظمة الدفع عبر الإنترنت، أو محافظ العملات المشفرة.
• انتحال شخصية الشركة أو موظفيها لتنفيذ عمليات احتيال ضد أطراف ثالثة، مثل عمليات الاحتيال النموذجية على الرئيس التنفيذي أو هجمات BEC.
• بيع حزم بيانات الاعتماد على الويب المظلم والتي قد تستخدمها جماعات إجرامية أخرى في هجمات مستقبلية.
• لتنفيذ أعمال تجسس صناعية أو جيوسياسية عندما يكون الهدف منظمة محددة أو قطاع استراتيجي.

في العديد من الحملات الموثقة، كانت ClickFix مجرد الخطوة الأولى نحو هجمات أكبر ، بما في ذلك نشر برامج الفدية بعد سرقة بيانات الاعتماد، أو الوصول المطول إلى شبكات الشركات، أو استخدام البنية التحتية المخترقة كنقطة انطلاق لأهداف أخرى.

كيف يمكن للمستخدمين والشركات حماية أنفسهم ضد ClickFix؟

إن الدفاع ضد تقنية ClickFix يجمع بين التكنولوجيا وأفضل الممارسات والكثير من الوعي ، لأن نقطة الضعف التي تستغلها هذه التقنية هي سلوك المستخدم تحديداً.

على المستوى الفردي، هناك العديد من القواعد الذهبية البسيطة للغاية التي تقلل بشكل كبير من خطر السقوط:

• لا تقم أبدًا بلصق الكود في وحدة التحكم (PowerShell، أو cmd، أو المحطة الطرفية، أو وحدة تحكم المتصفح) لمجرد أن موقع الويب يطلب منك ذلك.مهما بدا الأمر شرعيا.
• كن حذرًا من عمليات التحقق الخاصة بـ Cloudflare أو اختبارات CAPTCHA أو صفحات "تحديث المتصفح" التي تطلب خطوات غريبة. أبعد من النقر على مربع أو زر.
• حافظ على تحديث متصفحك ونظام التشغيل والتطبيقات لديك دائمًاتثبيت التصحيحات من مصادر رسمية وليس من خلال لافتات أو نوافذ منبثقة عشوائية.
• تفعيل المصادقة الثنائية (2FA) على الحسابات المهمة، لجعل الحياة أكثر صعوبة بالنسبة للمهاجمين حتى لو تمكنوا من سرقة كلمة المرور.

في بيئة الشركات، بالإضافة إلى هذه التوصيات، ينبغي على الشركات أن تذهب خطوة أبعد وأن تتعامل مع ClickFix كتهديد محدد ضمن استراتيجيتها الأمنية.

بعض التدابير الرئيسية للمنظمات هي :

• تقييد استخدام أدوات تنفيذ الأوامر (PowerShell، cmd، MSHTA) من خلال سياسات المجموعة أو قوائم التحكم في التطبيقات أو تكوينات EDR، بحيث تستخدمها فقط الملفات الشخصية الفنية ويتم تسجيل النشاط دائمًا.
• تنفيذ حلول حديثة لمكافحة البرامج الضارة والاستجابة للطوارئ مع قدرات الكشف القائمة على السلوك، والقادرة على تحديد أنماط التنفيذ المشبوهة حتى عندما يتدخل المستخدم.
• مراقبة حركة الشبكة والاتصالات الصادرة إلى المجالات ذات السمعة السيئةوخاصةً فيما يتعلق بخدمات اختصار عناوين URL، أو المجالات المسجلة حديثًا، أو المجالات ذات المستوى الأعلى غير المعتادة.
• مراجعة القطع الأثرية بشكل دوري مثل RunMRU وسجلات PowerShell وأحداث الأمان للكشف عن مؤشرات سوء استخدام Win+R، Win+X أو وحدات التحكم الإدارية.

يُعد التدريب المستمر والواقعي للموظفين ركيزة أساسية : فالدورة النظرية ليست كافية، ولكن من المفيد إجراء اختبارات هندسة اجتماعية مضبوطة تحاكي حملات من نوع ClickFix، أو الاحتيال باسم الرئيس التنفيذي، أو التصيد الاحتيالي المتقدم، أو الإعلانات الخبيثة.

تتيح لنا هذه المحاكاة قياس مستوى نضج القوى العاملة فيما يتعلق بهذه التقنيات ، وتعديل استراتيجية التوعية، وتحديد المجالات الأكثر خطورة، وتعزيز ثقافة "التوقف والتفكير" قبل اتباع التعليمات المشبوهة على موقع ويب أو في بريد إلكتروني.

علاوة على ذلك، من الضروري أن تكون الشركات مستعدة للاستجابة بسرعة لأي حادث : من خلال وجود خطط استجابة واضحة، وفرق أو مزودين متخصصين، وعمليات احتواء واستئصال محددة جيدًا عند اكتشاف حالة ClickFix محتملة أو أي ناقل اختراق آخر.

إن انتشار تقنية ClickFix يوضح أن المهاجمين قد وجدوا طريقة فعالة للغاية لتحويل المستخدمين إلى شركاء غير مدركين ، وأنهم لا يترددون في دمجها مع برامج ضارة متطورة، وبنى تحتية ديناميكية للتحكم والسيطرة، وحملات ضخمة على الشبكات الاجتماعية أو محركات البحث؛ إن فهم كيفية عملها، والتعرف على إشاراتها، وتعزيز كل من التكنولوجيا وتوعية المستخدمين، هو ما يصنع الفرق اليوم بين التعرض لاختراق خطير أو إيقاف الهجوم في الوقت المناسب.