Mikä on ClickFix-hyökkäys ja miten se toimii yksityiskohtaisesti?

Digitaaliset uutiset » Resurssit » Mikä on ClickFix-hyökkäys ja miten se toimii yksityiskohtaisesti

ClickFix-hyökkäyksistä on tullut yksi muodikkaimmista sosiaalisen manipuloinnin keinoista kyberrikollisuuden maailmassa: kampanjat, jotka vaikuttavat harmittomilta ja sisältävät tekaistuja selainvaroituksia tai turvatarkistuksia, mutta jotka lopulta saavat käyttäjän suorittamaan haitallista koodia tietokoneellaan lähes huomaamattaan.

ClickFix ei ole tekninen kuriositeetti, vaan sitä on jo nähty todellisissa kampanjoissa Latinalaisessa Amerikassa, Euroopassa ja muilla alueilla. Se on levittänyt tietovuotoja, etäkäyttötroijalaisia ​​(RAT) ja monimutkaisia ​​latausohjelmia, kuten GHOSTPULSE tai NetSupport RAT, ja jopa hyödyntänyt TikTok-videoita tai YouTube-opetusohjelmia tavoittaakseen tuhansia uhreja.

Mikä tarkalleen ottaen on ClickFix-hyökkäys?

ClickFix on suhteellisen uusi sosiaalisen manipuloinnin tekniikka (suosittu vuodesta 2024) , joka perustuu hyvin yksinkertaiseen asiaan: käyttäjän suostutteluun kopioimaan ja suorittamaan komentoja omassa järjestelmässään "korjatakseen" oletetun teknisen ongelman tai suorittaakseen vahvistuksen.

Sen sijaan, että haitallinen verkkosivusto lataisi haittaohjelman suoraan, se lisää leikepöydälle komentosarjan tai komennon (esimerkiksi PowerShell Windowsissa tai MSHTA-komennot) ja näyttää sitten vaiheittaiset ohjeet, joiden avulla uhri voi liittää ja suorittaa sen konsolissa, Suorita-ikkunassa tai terminaalissa.

Tämä taktiikka hyödyntää sitä, mitä monet tutkijat kutsuvat "vahvistusväsymykseksi" : käyttäjät ovat tottuneet napsauttamaan nopeasti painikkeita, kuten "Olen ihminen", "Korjaa se" tai "Päivitä nyt", analysoimatta viestiä liikaa, mikä tekee heistä erittäin haavoittuvaisia, kun näyttö näyttää Cloudflare-vahvistukselta, Google CAPTCHA:lta tai Google Meet- tai Zoom-virheeltä.

Nimi ClickFix tulee juuri näissä houkuttimissa yleensä esiintyvistä painikkeista , joissa on tekstejä, kuten "Korjaa se", "Kuinka korjata", "Korjaa nyt" tai "Ratkaise ongelma", jotka antavat vaikutelman, että käyttäjä hakee nopeaa ratkaisua, vaikka todellisuudessa hän kopioi ja käynnistää haittaohjelmia lataavan komentosarjan.

ClickFix-hyökkäyksen toimintaperiaate vaihe vaiheelta

Vaikka muunnelmia on monia, lähes kaikki ClickFix-hyökkäykset noudattavat yhteistä järjestystä , joka yhdistää vaarantuneet verkkosivustot, haitalliset JavaScript-skriptit ja käyttäjän "pakottaman" väliintulon koodin suorittamiseksi.

Ensimmäinen askel on yleensä vierailu lailliselle, vaarantuneelle verkkosivustolle tai suoraan haitalliselle sivulle , jolle uhri pääsee tietojenkalasteluviestin linkin, manipuloitujen hakukonetulosten (haitallinen SEO), haitallisten mainosten tai jopa TikTok- tai YouTube-videon kautta, jossa oletetaan olevan temppuja maksullisten ohjelmistojen aktivoimiseksi.

Sivulle ilmestyy tekaistu varoitus tai vahvistus, joka simuloi teknistä ongelmaa : virhe dokumentin lataamisessa, selaimen päivitysvirhe, mikrofoni- tai kameraongelmat Google Meetissä/Zoomissa tai oletettu bottien vastainen tarkistus, kuten Cloudflare tai reCAPTCHA, joka ei salli jatkamista, ellei jotakin ole "korjattu".

Heti kun käyttäjä napsauttaa "korjaa"-painiketta tai valitsee "Olen ihminen" -ruudun , JavaScript-skripti lisää automaattisesti leikepöydälle haitallisen komennon, yleensä hämärretyn PowerShell- tai MSHTA-komennon, joka lataa sitten toisen haittaohjelman etäpalvelimelta.

Verkkosivusto näyttää uhrille yksityiskohtaisen oppaan komennon suorittamiseksi , esimerkiksi:

• Napsauta ”Korjaa”-painiketta kopioidaksesi ratkaisukoodin..
• Avaa Suorita-ikkuna painamalla Win+R-näppäimiä Windowsissa.
• Liitä leikepöydällä oleva sisältö painamalla Ctrl+V (haitallinen komento).
• Korjaa ongelma painamalla Enter-näppäintä tai jatka vahvistusta..

Kehittyneemmissä muunnelmissa temppu tehdään Win+X:llä tai selainkonsolilla : käyttäjää ohjeistetaan avaamaan PowerShell-pääte järjestelmänvalvojan oikeuksilla pikavalikosta (Win+X) tai käyttämään selainkonsolia (F12 tai Ctrl+Shift+I) ja liittämään sinne JavaScript-koodin lohko tai "vahvistus"-funktio.

Komennon suorittamisen jälkeen tartunnan loppuosa kehittyy taustalla : komentosarja lataa muita osia komento- ja ohjauspalvelimilta (C2), purkaa tiedostot, suorittaa haitallisia DLL-tiedostoja sivulatauksen avulla ja lopulta asentaa tiedonvarastoja tai RAT-haittaohjelmia muistiin tai levylle.

Miksi ClickFixiä on niin vaikea havaita

Yksi ClickFixin suurista eduista hyökkääjille on, että se ohittaa monia perinteisiä tietoturvaesteitä , koska tartuntaketju näyttää alkavan käyttäjästä itsestään eikä ladatusta tiedostosta tai klassisesta hyökkäyksestä.

Selaimesta ei välttämättä ladata epäilyttävää liitettä tai suoritettavaa tiedostoa , mikä tarkoittaa, että monet sähköpostisuodattimet, latausten estäjät ja URL-maineen tarkistukset eivät näe mitään avoimesti haitallista ensimmäisessä vaiheessa.

Komento suoritetaan järjestelmän "luotettavasta komentotulkista", kuten PowerShellistä, cmd.exe:stä tai selainkonsolista , mikä antaa haittaohjelmalle vaikutelman laillisesta toiminnasta ja vaikeuttaa allekirjoituspohjaisten virustorjuntaohjelmien ja joidenkin käyttäytymisanalyysissä heikosti toimivien tietoturvaratkaisujen toimintaa.

Tietoturvatuotteet havaitsevat uhan tyypillisesti silloin, kun hyötykuorma on jo suoritettu tai yrittää integroitua suojattuihin prosesseihin, muokata kriittisiä tiedostoja, kuten isäntätiedostoa, muodostaa pysyvyyden tai kommunikoida C2-palvelimen kanssa; eli hyväksikäytön jälkeisessä vaiheessa.

Siihen mennessä hyökkääjä on saattanut saada merkittävän pääsyn järjestelmään : laajentamalla käyttöoikeuksia, varastamalla tunnistetietoja, liikkumalla sivusuunnassa yritysverkossa tai jopa yrittämällä poistaa käytöstä virustorjunnan ja muita puolustuskerroksia.

Missä ClickFixiä käytetään käytännössä: yleiset kanavat ja vieheet

Eri tietoturvalaboratorioiden tutkimukset ovat osoittaneet, että ClickFixiä käytetään laajasti erilaisissa kampanjoissa , jotka on kohdistettu sekä kotikäyttäjille että kriittisten alojen yrityksille.

Hyökkääjät käyttävät usein näitä kanavia ClickFix-houkuttiensa levittämiseen :

• Lailliset verkkosivustot vaarantuivat, jossa he lisäävät JavaScript-kehyksiä, kuten ClearFake, näyttääkseen väärennettyjä päivitys- tai vahvistusilmoituksia.
• Haitallinen mainonta (haitallinen mainonta)erityisesti bannerit ja sponsoroidut mainokset, jotka ohjaavat väärennetyille ohjelmistojen lataus- tai selaimen vahvistussivuille.
• Tutoriaaleja ja videoita YouTubessa tai TikTokissa, väitetyillä tempuilla, joilla ohjelmistoja voidaan aktivoida tai premium-ominaisuuksia avata ilmaiseksi.
• Väärennetyt teknisen tuen foorumit ja verkkosivustot, jotka matkivat tukiportaaleja, jossa on "suositeltua" suorittaa komentoja järjestelmävirheiden korjaamiseksi.

Latinalaisessa Amerikassa on jo dokumentoitu tapauksia, joissa virallisia ja yliopistojen sivustoja on vaarantunut : esimerkiksi Chilen katolisen yliopiston teollisuustekniikan tiedekunnan verkkosivusto tai Perun poliisin asuntorahaston verkkosivusto, jotka näyttivät ClickFix-työnkulkuja vierailijoilleen.

Yhdysvaltain turvallisuusvirastot ovat varoittaneet kampanjoista, jotka kohdistuvat käyttäjiin, jotka etsivät pelejä, PDF-lukijoita, Web3-selaimia tai viestisovelluksia . Kaikki tämä hyödyntää jokapäiväisiä hakuja ohjatakseen heidät sivuille, jotka käyttävät ClickFixiä.

On myös havaittu kampanjoita, jotka perustuvat oletettuihin Google Meet-, Zoom-, DocuSign-, Okta-, Facebook- tai Cloudflare-sivuihin , joilla näytetään selainvirhe tai CAPTCHA-vahvistus, pakottaen käyttäjän noudattamaan kopiointi- ja komentojen suoritusjärjestystä.

Yleisimmät ClickFixin mukana levitetyt haittaohjelmat

ClickFix on harvoin ainoa hyökkäyksen osa ; se on yleensä vain alkuvektori, joka mahdollistaa monivaiheisen tartuntaketjun levittämisen monenlaisilla haittaohjelmilla.

Viimeaikaisissa kampanjoissa havaittuja näkyvimpiä perheitä ovat :

• Tietovarkaita, kuten Vidar, Lumma, Stealc, Danabot, Atomic Stealer tai Odyssey Stealer, joka on erikoistunut selaintunnistetietojen, evästeiden, automaattisen täytön tietojen, kryptovaluuttalompakoiden, VPN- ja FTP-tunnistetietojen jne. varastamiseen.
• RAT-ohjelmat (etäkäyttötroijalaiset), kuten NetSupport RAT tai ARECHCLIENT2 (SectopRAT)joiden avulla hyökkääjät voivat hallita järjestelmää, suorittaa komentoja, vuotaa tietoja ja käynnistää seuraavia vaiheita, mukaan lukien kiristysohjelmat.
• Edistyneet latausohjelmat, kuten GHOSTPULSE, Latrodectus tai ClearFakejotka toimivat liimana lataamalla, purkamalla salauksen ja lataamalla seuraavat osat muistiin, usein erittäin monimutkaisilla hämärtämis- ja salauskerroksilla.
• Työkaluja talous- ja yritystietojen varastamiseen, jotka poimivat tietoja lomakkeista, sähköpostiohjelmista, viestisovelluksista ja yrityssovelluksista.

Vuosina 2024 ja 2025 aktiivisissa kampanjoissa ClickFixin on nähty syöttävän monimutkaisia ​​ketjuja : esimerkiksi ClickFix-houkuttimen, joka käynnistää PowerShellin, lataa ZIP-tiedoston, joka sisältää laillisen suoritettavan tiedoston (kuten Javan jp2launcher.exe) ja haitallisen DLL-tiedoston, ja sivulatauksen kautta päätyy suorittamaan NetSupport RAT:ia tietokoneella.

Toinen yleinen tapaus on MSHTA:n käyttö yhdessä obfuskoitujen URL-osoitteiden kanssa verkkotunnuksille, kuten iploggerco , jotka matkivat laillisia URL-lyhennys- tai rekisteröintipalveluita; sieltä ladataan Base64-koodattu PowerShell-skripti, joka lopulta julkaisee Lumma Stealer -testausohjelmia tai vastaavia.

Tosielämän tapaustutkimuksia ja ClickFixin esittelykampanjoita

Useiden tietoturvaloukkauksiin reagointitiimien ja tietoturvalaboratorioiden raportit ovat tunnistaneet useita erittäin aktiivisia kampanjoita, jotka pyörivät ClickFixin ympärillä aloituskohtana.

Liike-elämässä huomattavaa vaikutusta on havaittu muun muassa edistyneen teknologian, rahoituspalveluiden, valmistuksen, vähittäis- ja tukkukaupan, julkishallinnon, ammatillisten ja lakipalveluiden, energian ja yleishyödyllisten palvelujen aloilla.

Toukokuussa 2025 hyökkääjät käyttivät ClickFixiä NetSupport RAT -haittaohjelman levittämiseen väärennettyjen sivujen kautta, jotka esittivät DocuSignia ja Oktaa. He hyödynsivät ClearFake-kehykseen liittyvää infrastruktuuria leikepöytää manipuloivan JavaScript-koodin lisäämiseen.

Maalis- ja huhtikuussa 2025 Latrodectus-perheen hallitsemille verkkotunnuksille kohdistui lisääntynyttä liikennettä. Perhe alkoi käyttää ClickFixiä ensimmäisenä kirjautumistekniikkana: vaarantunut portaali ohjattiin väärennettyyn vahvistukseen, uhri suoritti PowerShell-komennon Win+R-näppäinyhdistelmällä, ja tämä latasi MSI-tiedoston, joka pudotti haitallisen libcef.dll-DLL-tiedoston.

Samanaikaisesti havaittiin Lumma Stealeriin liittyviä kirjoitusvirheitä aiheuttavia kampanjoita , joissa uhreja pyydettiin suorittamaan MSHTA-komentoja, jotka osoittivat iploggeria matkiviin verkkotunnuksiin. Nämä komennot ladasivat pahasti hämärrettyjä PowerShell-skriptejä, jotka lopulta purkivat paketteja, joissa oli suoritettavia tiedostoja, kuten PartyContinued.exe, ja CAB-tiedostojen sisältöjä (Boat.pst), ja asettivat AutoIt-skriptimoottorin, joka käynnistää Lumman lopullisen version.

Elastic Security Labs on myös kuvannut kampanjoita, joissa ClickFix toimii GHOSTPULSE:n ensimmäisenä koukkuna , joka puolestaan ​​lataa välivaiheen .NET-lataajan ja lopuksi lisää ARECHCLIENT2:n muistiin ohittaen mekanismeja, kuten AMSI:n, koukkaamisen ja edistyneen hämärtämisen avulla.

Loppukäyttäjien näkökulmasta useat toimittajat ovat esittäneet yksinkertaistettuja esimerkkejä ClickFix-hyökkäyksestä, jossa "selaimen päivitys" -sivu tai väärennetty CAPTCHA kopioi hiljaisesti skriptin leikepöydälle ja pakottaa käyttäjän sitten liittämään sen PowerShelliin järjestelmänvalvojan oikeuksilla, mikä helpottaa yhteyden muodostamista C2-infrastruktuuriin ja järjestelmää muokkaavien suoritettavien tiedostojen lataamista.

Yksi erityisen huolestuttava ilmiö on ClickFixin saapuminen TikTokiin : jopa tekoälyn avulla luodut videot mainostavat "helppoja menetelmiä" aktivoida Officen, Spotify Premiumin tai editointiohjelmien ilmaisia ​​maksullisia versioita, mutta todellisuudessa ne ohjaavat käyttäjiä kopioimaan ja liittämään haitallisia komentoja, jotka asentavat tiedonvarasohjelmia, kuten Vidarin tai Stealcin.

Miten analyytikot havaitsevat ClickFix-tartuntoja

Vaikka se saattaa käyttäjälle vaikuttaa mustalta magialta, ClickFix-tartunnat jättävät jälkeensä teknisen jäljen , jota uhkienetsintätiimit ja EDR:t voivat käyttää tapauksen havaitsemiseen.

Windows-ympäristöissä yksi analyysikohteista on RunMRU-rekisteriavain , joka tallentaa Suorita-ikkunasta (Win+R) viimeksi suoritetut komennot:

HKEY_CURRENT_USER\Ohjelmisto\Microsoft\Windows\Nykyinen versio\Resurssienhallinta\RunMRU

Analyytikot tarkistavat näitä merkintöjä etsien epäilyttäviä kaavoja : hämärrettyjä komentoja, PowerShellin tai MSHTA:n käyttöä epätavallisten URL-osoitteiden kanssa, kutsuja tuntemattomille verkkotunnuksille tai viittauksia hallintatyökaluihin, joita keskivertokäyttäjä ei yleensä käytä.

Kun hyökkääjät käynnistävät PowerShellin tai komentokehotteen Win+X-muunnosta (pikakäyttövalikko) käyttäen , vihjettä etsitään prosessien telemetriasta: prosessin luontitapahtumista (kuten ID 4688 Windowsin tietoturvalokissa), joissa explorer.exe käynnistää powershell.exe-tiedoston heti Win+X-näppäinyhdistelmän painalluksen jälkeen.

Korrelaatio muiden tapahtumien, kuten %LocalAppData%\Microsoft\Windows\WinX\-kansion käytön tai epäilyttävien verkkoyhteyksien, kanssa kyseisen suorituksen jälkeen auttaa hahmottamaan ClickFix-tartunnan tyypillistä toimintaa, erityisesti jos prosessit, kuten certutil.exe, mshta.exe tai rundll32.exe, ilmestyvät heti sen jälkeen.

Toinen tunnistusvektori on leikepöydän väärinkäyttö : edistyneet URL-suodatus- ja DNS-tietoturvaratkaisut voivat tunnistaa JavaScriptin, joka yrittää syöttää haitallisia komentoja leikepöydän puskuriin, mikä estää sivun ennen kuin käyttäjä suorittaa komentosarjan loppuun.

Mitä hyökkääjät yrittävät saavuttaa ClickFix-tekniikalla?

Kaiken tämän sosiaalisen manipuloinnin takana on selkeä tavoite: saada taloudellista hyötyä varastetuista tiedoista , sekä yksittäisiltä käyttäjiltä että organisaatioilta.

ClickFixin kautta käytettävät tiedonvarkaudet on suunniteltu keräämään tunnistetietoja, evästeitä ja arkaluonteisia tietoja, jotka on tallennettu selaimiin, sähköpostiohjelmiin, yrityssovelluksiin tai kryptovaluuttalompakoihin, sekä sisäisiä asiakirjoja ja taloudellisia tietoja.

Tämän materiaalin avulla pahantahtoiset toimijat voivat toteuttaa useita rikollisia toimia :

• Kiristysyrityksetuhkaa vuotaa luottamuksellisia tietoja organisaatiosta tai sen asiakkaista.
• Suoraan taloudelliseen petokseen hyödyntämällä vaarantuneita pankkitilejä, verkkomaksujärjestelmiä tai kryptolompakoita.
• Yrityksen tai sen työntekijöiden henkilöllisyyden esiintyminen suorittaa petoksia kolmansia osapuolia vastaan, kuten tyypillisiä toimitusjohtajapetoksia tai BEC-hyökkäyksiä.
• Tunnistetietojen ja datapakettien myyminen pimeässä verkossa joita muut rikollisryhmät käyttävät tulevissa iskuissaan.
• Suorittaa teollista tai geopoliittista vakoilua kun kohde on tietty organisaatio tai strateginen sektori.

Monissa dokumentoiduissa kampanjoissa ClickFix on ollut vasta ensimmäinen askel kohti suurempia hyökkäyksiä , kuten kiristysohjelmien käyttöönottoa tunnistetietojen varastamisen jälkeen, pitkittynyt pääsy yritysverkkoihin tai vaarantuneen infrastruktuurin käyttäminen ponnahduslautana muihin kohteisiin.

Miten käyttäjät ja yritykset voivat suojautua ClickFixiltä?

ClickFixiä vastaan ​​puolustautumisessa yhdistyvät teknologia, parhaat käytännöt ja paljon tietoisuutta , koska tämän tekniikan hyödyntämä heikko lenkki on juuri käyttäjien toimintatavat.

Yksilötasolla on olemassa useita hyvin yksinkertaisia ​​kultaisia ​​sääntöjä , jotka vähentävät huomattavasti kaatumisriskiä:

• Älä koskaan liitä koodia konsoliin (PowerShell, cmd, pääte, selainkonsoli) vain siksi, että verkkosivusto pyytää sinua tekemään niin.vaikka se tuntuisi kuinka oikeutetulta.
• Varo Cloudflare-vahvistuksia, CAPTCHA-kuvakkeita tai "selaimen päivitys" -sivuja, jotka pyytävät outoja vaiheita. muutakin kuin napsauttamalla ruutua tai painiketta.
• Pidä selaimesi, käyttöjärjestelmäsi ja sovelluksesi aina ajan tasallaAsenna korjaukset virallisista lähteistä, ei satunnaisista bannereista tai ponnahdusikkunoista.
• Aktivoi kaksivaiheinen todennus (2FA) tärkeillä tileillä, vaikeuttaakseen hyökkääjien elämää, vaikka he onnistuisivatkin varastamaan salasanan.

Yritysympäristössä yritysten tulisi näiden suositusten lisäksi mennä askeleen pidemmälle ja käsitellä ClickFixiä erityisenä uhkana tietoturvastrategiassaan.

Joitakin organisaatioiden keskeisiä toimenpiteitä ovat :

• Rajoita komentojen suoritustyökalujen (PowerShell, cmd, MSHTA) käyttöä ryhmäkäytäntöjen, sovellusten hallintalistojen tai EDR-määritysten avulla, jotta vain tekniset profiilit käyttävät niitä ja kirjaavat toiminnan aina lokiin.
• Ota käyttöön nykyaikaisia ​​haittaohjelmien torjunta- ja EDR-ratkaisuja käyttäytymiseen perustuvilla tunnistusominaisuuksilla, jotka pystyvät tunnistamaan epäilyttävät suoritusmallit jopa käyttäjän puuttuessa asiaan.
• Valvo verkkoliikennettä ja lähteviä yhteyksiä huonomaineisiin verkkotunnuksiinerityisesti URL-lyhennyspalveluihin, äskettäin rekisteröityihin verkkotunnuksiin tai epätavallisiin ylätason verkkotunnuksiin liittyen.
• Tarkista säännöllisesti artefaktteja, kuten RunMRU:ta, PowerShell-lokeja ja tietoturvatapahtumia havaitakseen merkkejä Win+R:n, Win+X:n tai hallintakonsolien väärinkäytöstä.

Peruspilari on henkilöstön jatkuva ja realistinen koulutus : teoreettinen kurssi ei riitä, vaan on hyödyllistä suorittaa kontrolloituja sosiaalisen manipuloinnin testejä, jotka simuloivat ClickFix-tyyppisiä kampanjoita, toimitusjohtajapetoksia, edistynyttä tietojenkalastelua tai haitallista mainostamista.

Näiden simulaatioiden avulla voimme mitata työvoiman kypsyystasoa näiden tekniikoiden suhteen , mukauttaa tietoisuusstrategiaa, tunnistaa riskialttiimpia alueita ja vahvistaa "pysähdy ja mieti" -kulttuuria ennen kuin noudatat verkkosivustolla tai sähköpostissa olevia epäilyttäviä ohjeita.

Lisäksi on tärkeää, että yritykset ovat valmiita reagoimaan nopeasti tapaukseen : niillä on selkeät toimintasuunnitelmat, erikoistuneet tiimit tai palveluntarjoajat sekä hyvin määritellyt eristämis- ja hävittämisprosessit siltä varalta, että mahdollinen ClickFix-tapaus tai muu vaarantumisvektori havaitaan.

ClickFix-tekniikan yleistyminen osoittaa selvästi, että hyökkääjät ovat löytäneet erittäin tehokkaan tavan muuttaa käyttäjät tietämättömiksi rikoskumppaneiksi , eivätkä he epäröi yhdistää sitä hienostuneisiin haittaohjelmiin, dynaamisiin C2-infrastruktuureihin ja massiivisiin kampanjoihin sosiaalisessa mediassa tai hakukoneissa. Sen toiminnan ymmärtäminen, sen signaalien tunnistaminen sekä sekä teknologian että käyttäjien koulutuksen vahvistaminen tekevät nykyään eron vakavan tietomurron ja hyökkäyksen pysäyttämisen välillä ajoissa.

Aiheeseen liittyvä artikkeli:

Kuinka suojautua Interlock- ja Warlock-kiristysohjelmilta: taktinen ja käytännöllinen opas