Apa itu serangan ClickFix dan bagaimana cara kerjanya secara rinci?

Berita Digital » Sumber Daya » Apa itu serangan ClickFix dan bagaimana cara kerjanya secara detail

Serangan ClickFix telah menjadi salah satu trik rekayasa sosial yang paling populer di dunia kejahatan siber: kampanye yang tampak tidak berbahaya, dengan peringatan peramban palsu atau pemeriksaan keamanan, tetapi pada akhirnya membuat pengguna menjalankan kode berbahaya di komputer mereka, hampir tanpa menyadarinya.

Jauh dari sekadar keingintahuan teknis, ClickFix telah terlihat dalam kampanye nyata di Amerika Latin, Eropa, dan wilayah lain , mendistribusikan infostealer, trojan akses jarak jauh (RAT), dan loader kompleks seperti GHOSTPULSE atau NetSupport RAT, bahkan memanfaatkan video TikTok atau tutorial YouTube untuk menjangkau ribuan korban.

Apa sebenarnya serangan ClickFix itu?

ClickFix adalah teknik rekayasa sosial yang relatif baru (dipopulerkan sejak 2024) yang didasarkan pada sesuatu yang sangat sederhana: meyakinkan pengguna untuk menyalin dan menjalankan perintah pada sistem mereka sendiri untuk "memperbaiki" masalah teknis yang diduga atau menyelesaikan verifikasi.

Alih-alih mengunduh program berbahaya secara langsung, situs web berbahaya tersebut menyuntikkan skrip atau perintah ke clipboard (misalnya, PowerShell di Windows atau perintah MSHTA) dan kemudian menampilkan instruksi langkah demi langkah agar korban menempelkan dan menjalankannya di konsol, kotak Run, atau terminal.

Taktik ini memanfaatkan apa yang oleh banyak peneliti disebut "kelelahan verifikasi" : pengguna terbiasa mengklik tombol seperti "Saya manusia", "Perbaiki", atau "Perbarui sekarang" dengan cepat tanpa menganalisis pesan terlalu dalam, yang membuat mereka sangat rentan ketika layar menampilkan verifikasi Cloudflare, Google CAPTCHA, atau kesalahan Google Meet atau Zoom.

Nama ClickFix berasal dari tombol-tombol yang biasanya muncul dalam jebakan tersebut , dengan teks seperti "Perbaiki", "Cara memperbaiki", "Perbaiki sekarang" atau "Selesaikan masalah", yang memberikan kesan bahwa pengguna menerapkan solusi cepat, padahal sebenarnya mereka menyalin dan menjalankan skrip yang mengunduh malware.

Cara kerja serangan ClickFix langkah demi langkah

Meskipun terdapat banyak variasi, hampir semua serangan ClickFix mengikuti urutan umum yang menggabungkan situs web yang disusupi, skrip JavaScript berbahaya, dan intervensi "paksa" dari pengguna untuk mengeksekusi kode tersebut.

Langkah pertama biasanya adalah mengunjungi situs web sah yang telah disusupi atau halaman yang secara langsung berbahaya , yang diakses korban dari tautan dalam email phishing, hasil mesin pencari yang dimanipulasi (SEO berbahaya), iklan berbahaya, atau bahkan dari video TikTok atau YouTube dengan trik yang diduga untuk mengaktifkan perangkat lunak berbayar.

Di halaman tersebut muncul peringatan atau verifikasi palsu yang mensimulasikan masalah teknis : kesalahan saat memuat dokumen, kegagalan pembaruan browser, masalah mikrofon atau kamera di Google Meet/Zoom, atau pemeriksaan anti-bot seperti Cloudflare atau reCAPTCHA yang tidak memungkinkan Anda untuk melanjutkan kecuali ada sesuatu yang "diperbaiki".

Begitu pengguna mengklik tombol "perbaiki" atau mencentang kotak "Saya manusia" , skrip JavaScript secara otomatis menyuntikkan perintah berbahaya ke clipboard, biasanya perintah PowerShell atau MSHTA yang disamarkan, yang kemudian akan mengunduh perangkat lunak berbahaya lain dari server jarak jauh.

Situs web tersebut menampilkan panduan terperinci bagi korban untuk menjalankan perintah tersebut , misalnya:

• Klik tombol “Perbaiki” untuk “menyalin kode solusi”.
• Tekan tombol Win+R untuk membuka jendela Run di Windows.
• Tekan Ctrl+V untuk menempelkan apa yang ada di clipboard (perintah jahat).
• Tekan Enter untuk "memperbaiki masalah" atau melanjutkan verifikasi.

Pada varian yang lebih canggih, trik ini dilakukan dengan Win+X atau dengan konsol browser : pengguna diinstruksikan untuk membuka terminal PowerShell dengan hak administrator dari menu cepat (Win+X) atau menggunakan konsol browser (F12 atau Ctrl+Shift+I) dan menempelkan blok kode JavaScript atau fungsi "verifikasi" di sana.

Setelah perintah dieksekusi, sisa infeksi berkembang di latar belakang : skrip mengunduh bagian-bagian lain dari server perintah dan kontrol (C2), mendekompilasi file, mengeksekusi DLL berbahaya melalui sideloading, dan akhirnya menginstal infostealer atau RAT di memori atau di disk.

Mengapa ClickFix begitu sulit dideteksi

Salah satu keuntungan besar ClickFix bagi penyerang adalah kemampuannya melewati banyak penghalang keamanan tradisional , karena rantai infeksi tampaknya dimulai dari pengguna itu sendiri dan bukan dari file yang diunduh atau eksploitasi klasik.

Tidak selalu ada lampiran mencurigakan atau file yang dapat dieksekusi yang diunduh langsung dari browser , yang berarti bahwa banyak filter email, pemblokir unduhan, dan pemeriksaan reputasi URL tidak melihat sesuatu yang secara terang-terangan berbahaya pada fase pertama tersebut.

Perintah tersebut dieksekusi dari "shell tepercaya" sistem, seperti PowerShell, cmd.exe, atau konsol browser , yang memberikan kesan aktivitas yang sah pada malware dan mempersulit kerja program antivirus berbasis tanda tangan dan beberapa solusi keamanan yang kurang baik dalam analisis perilaku.

Produk keamanan biasanya mendeteksi ancaman ketika muatan (payload) telah dieksekusi atau mencoba berintegrasi ke dalam proses yang dilindungi, memodifikasi file penting seperti file hosts, membangun persistensi, atau berkomunikasi dengan server C2; yaitu, pada fase pasca-eksploitasi.

Pada saat itu, penyerang mungkin telah memperoleh akses signifikan ke sistem : meningkatkan hak akses, mencuri kredensial, bergerak secara lateral melalui jaringan perusahaan, atau bahkan mencoba menonaktifkan antivirus dan lapisan pertahanan lainnya.

Dimana ClickFix terlihat dalam praktik: saluran dan umpan umum

Penelitian dari berbagai laboratorium keamanan menunjukkan bahwa ClickFix digunakan dalam berbagai macam kampanye , yang menargetkan baik pengguna rumahan maupun perusahaan di sektor-sektor penting.

Para penyerang sering menggunakan saluran-saluran ini untuk menyebarkan jebakan ClickFix mereka :

• Situs web yang sah telah dibobol, di mana mereka menyuntikkan kerangka kerja JavaScript seperti ClearFake untuk menampilkan pemberitahuan pembaruan atau verifikasi palsu.
• Iklan yang berbahaya (malvertising)terutama spanduk dan iklan bersponsor yang mengarahkan ke halaman unduhan perangkat lunak palsu atau halaman validasi browser.
• Tutorial dan video di YouTube atau TikTok, dengan dugaan trik untuk mengaktifkan perangkat lunak atau membuka fitur premium secara gratis.
• Forum dukungan teknis dan situs web palsu yang meniru portal bantuan, di mana "disarankan" untuk menjalankan perintah guna memperbaiki kesalahan sistem.

Di Amerika Latin, telah didokumentasikan kasus-kasus di mana situs resmi dan universitas diretas : misalnya, situs web Fakultas Teknik Industri Universitas Katolik Chili atau situs web Dana Perumahan Kepolisian Peru, yang akhirnya menampilkan alur ClickFix kepada pengunjungnya.

Badan keamanan AS telah memperingatkan tentang kampanye yang menargetkan pengguna yang mencari game, pembaca PDF, peramban Web3, atau aplikasi perpesanan , semuanya dengan memanfaatkan pencarian sehari-hari untuk mengarahkan mereka ke halaman yang menerapkan ClickFix.

Telah diamati juga kampanye yang mengandalkan halaman Google Meet, Zoom, DocuSign, Okta, Facebook, atau Cloudflare palsu , di mana kesalahan peramban atau verifikasi CAPTCHA ditampilkan, memaksa pengguna untuk mengikuti urutan menyalin dan menjalankan perintah.

Malware paling umum yang didistribusikan dengan ClickFix

ClickFix jarang menjadi satu-satunya bagian dari serangan ; biasanya hanya merupakan vektor awal yang memungkinkan penyebaran rantai infeksi multi-tahap dengan berbagai macam malware.

Di antara keluarga-keluarga terkemuka yang terlihat dalam kampanye baru-baru ini adalah :

• Pencuri informasi seperti Vidar, Lumma, Stealc, Danabot, Atomic Stealer atau Odyssey Stealer, yang mengkhususkan diri dalam mencuri kredensial browser, cookie, data isi otomatis, dompet mata uang kripto, kredensial VPN dan FTP, dll.
• RAT (trojan akses jarak jauh) seperti NetSupport RAT atau ARECHCLIENT2 (SectopRAT)yang memungkinkan penyerang mengendalikan sistem, menjalankan perintah, mencuri informasi, dan meluncurkan fase berikutnya, termasuk ransomware.
• Loader tingkat lanjut seperti GHOSTPULSE, Latrodectus, atau ClearFakeyang bertindak sebagai perekat, mengunduh, mendekripsi, dan memuat bagian-bagian berikutnya ke dalam memori, sering kali dengan lapisan pengaburan dan enkripsi yang sangat rumit.
• Alat untuk mencuri informasi keuangan dan perusahaan, yang mengekstrak data dari formulir, klien email, pesan, dan aplikasi bisnis.

Dalam kampanye yang aktif selama tahun 2024 dan 2025, ClickFix telah terlihat memicu rantai serangan yang kompleks : misalnya, umpan ClickFix yang meluncurkan PowerShell, yang mengunduh file ZIP dengan executable yang sah (seperti jp2launcher.exe dari Java) dan DLL berbahaya, dan melalui sideloading akhirnya menjalankan NetSupport RAT di komputer.

Kasus umum lainnya adalah penggunaan MSHTA dengan URL yang disamarkan ke domain seperti iploggerco , yang meniru layanan pemendekan URL atau registrar yang sah; dari sana skrip PowerShell yang dikodekan Base64 diunduh yang akhirnya melepaskan stager Lumma Stealer atau yang serupa.

Studi kasus kehidupan nyata dan kampanye unggulan dengan ClickFix

Laporan dari beberapa tim respons insiden dan laboratorium keamanan telah mengidentifikasi beberapa kampanye yang sangat aktif yang berpusat pada ClickFix sebagai titik masuk.

Di sektor bisnis, dampak yang signifikan telah diamati di berbagai bidang seperti teknologi canggih, jasa keuangan, manufaktur, perdagangan ritel dan grosir, administrasi publik, jasa profesional dan hukum, energi dan utilitas, serta banyak lainnya.

Dalam kampanye Mei 2025, penyerang menggunakan ClickFix untuk menyebarkan NetSupport RAT melalui halaman palsu yang meniru DocuSign dan Okta, memanfaatkan infrastruktur yang terkait dengan kerangka kerja ClearFake untuk menyuntikkan JavaScript yang memanipulasi clipboard.

Selama bulan Maret dan April 2025, terjadi peningkatan lalu lintas ke domain yang dikendalikan oleh keluarga Latrodectus , yang mulai menggunakan ClickFix sebagai teknik akses awal: portal yang disusupi dialihkan ke verifikasi palsu, korban menjalankan PowerShell dari Win+R dan ini mengunduh MSI yang menjatuhkan DLL berbahaya libcef.dll.

Secara paralel, kampanye typosquatting yang terkait dengan Lumma Stealer terdeteksi , di mana para korban diminta untuk menjalankan perintah MSHTA yang mengarah ke domain yang meniru iplogger; perintah-perintah ini mengunduh skrip PowerShell yang sangat dienkripsi yang akhirnya mendekompilasi paket dengan file yang dapat dieksekusi seperti PartyContinued.exe dan isi CAB (Boat.pst) untuk menyiapkan mesin skrip AutoIt yang bertanggung jawab untuk meluncurkan versi final Lumma.

Elastic Security Labs juga telah menjelaskan kampanye di mana ClickFix berfungsi sebagai pengait awal untuk GHOSTPULSE , yang kemudian memuat pemuat .NET perantara dan akhirnya menyuntikkan ARECHCLIENT2 ke dalam memori, melewati mekanisme seperti AMSI melalui pengait dan pengaburan tingkat lanjut.

Dari sisi pengguna akhir, beberapa vendor telah menunjukkan contoh sederhana dari serangan ClickFix di mana halaman "pembaruan browser" atau CAPTCHA palsu secara diam-diam menyalin skrip ke clipboard dan kemudian memaksa pengguna untuk menempelkannya ke PowerShell dengan hak akses administrator, sehingga memudahkan untuk terhubung ke infrastruktur C2 dan mengunduh file yang dapat dieksekusi yang memodifikasi sistem.

Salah satu fenomena yang sangat mengkhawatirkan adalah munculnya ClickFix di TikTok : video yang dibuat bahkan dengan AI mempromosikan "metode mudah" untuk mengaktifkan versi gratis berbayar dari Office, Spotify Premium, atau program pengeditan, tetapi pada kenyataannya video tersebut mengarahkan pengguna untuk menyalin dan menempelkan perintah berbahaya yang menginstal program pencuri informasi seperti Vidar atau Stealc.

Bagaimana analis mendeteksi infeksi ClickFix

Meskipun mungkin tampak seperti sihir hitam bagi pengguna, infeksi ClickFix meninggalkan jejak teknis yang dapat digunakan oleh tim pemburu ancaman dan EDR untuk mendeteksi insiden tersebut.

Di lingkungan Windows, salah satu poin analisis adalah kunci registri RunMRU , yang menyimpan perintah terbaru yang dijalankan dari jendela Run (Win+R):

HKEY_CURRENT_USER\Perangkat Lunak\Microsoft\Windows\Versi Saat Ini\Explorer\RunMRU

Para analis meninjau entri-entri ini untuk mencari pola yang mencurigakan : perintah yang disamarkan, penggunaan PowerShell atau MSHTA dengan URL yang tidak biasa, panggilan ke domain yang tidak dikenal, atau referensi ke alat administratif yang biasanya tidak digunakan oleh pengguna biasa.

Ketika penyerang menggunakan varian Win+X (menu akses cepat) untuk meluncurkan PowerShell atau Command Prompt , petunjuknya dicari dalam telemetri proses: peristiwa pembuatan proses (seperti ID 4688 dalam log keamanan Windows) di mana explorer.exe memunculkan powershell.exe tepat setelah penekanan Win+X.

Korelasi dengan kejadian lain, seperti akses ke folder %LocalAppData%\Microsoft\Windows\WinX\ atau koneksi jaringan yang mencurigakan setelah eksekusi tersebut , membantu menguraikan perilaku khas infeksi ClickFix, terutama jika proses seperti certutil.exe, mshta.exe atau rundll32.exe muncul segera setelahnya.

Vektor deteksi lainnya adalah penyalahgunaan clipboard : solusi penyaringan URL tingkat lanjut dan keamanan DNS dapat mengidentifikasi JavaScript yang mencoba menyuntikkan perintah berbahaya ke dalam buffer clipboard, yang berfungsi untuk memblokir halaman sebelum pengguna menyelesaikan urutan tersebut.

Apa yang ingin dicapai penyerang dengan teknik ClickFix?

Di balik semua rekayasa sosial ini terdapat tujuan yang jelas: untuk memperoleh keuntungan ekonomi dari informasi yang dicuri , baik dari pengguna individu maupun organisasi.

Perangkat pencuri informasi yang disebarkan melalui ClickFix dirancang untuk mengumpulkan kredensial, cookie, dan data sensitif yang tersimpan di peramban, klien email, aplikasi perusahaan, atau dompet mata uang kripto, serta dokumen internal dan data keuangan.

Dengan bahan ini, pelaku kejahatan dapat melakukan berbagai aktivitas kriminal :

• Perusahaan pemerasanmengancam untuk membocorkan informasi rahasia tentang organisasi atau kliennya.
• Untuk melakukan penipuan keuangan langsung dengan mengeksploitasi rekening bank yang disusupi, sistem pembayaran daring, atau dompet kripto.
• Meniru perusahaan atau karyawannya untuk melakukan penipuan terhadap pihak ketiga, seperti penipuan CEO atau serangan BEC.
• Menjual kredensial dan paket data di web gelap yang akan digunakan kelompok kriminal lain dalam serangan di masa mendatang.
• Untuk melakukan spionase industri atau geopolitik ketika targetnya adalah organisasi tertentu atau sektor strategis.

Dalam banyak kampanye yang terdokumentasi, ClickFix hanyalah langkah pertama menuju serangan yang lebih besar , termasuk penyebaran ransomware setelah mencuri kredensial, akses berkepanjangan ke jaringan perusahaan, atau menggunakan infrastruktur yang disusupi sebagai batu loncatan ke target lain.

Bagaimana pengguna dan perusahaan dapat melindungi diri dari ClickFix?

Upaya pertahanan terhadap ClickFix menggabungkan teknologi, praktik terbaik, dan kesadaran yang tinggi , karena titik lemah yang dieksploitasi oleh teknik ini justru adalah perilaku pengguna.

Pada tingkat individu, ada beberapa aturan emas yang sangat sederhana yang dapat mengurangi risiko jatuh secara signifikan:

• Jangan pernah menempelkan kode ke konsol (PowerShell, cmd, terminal, konsol browser) hanya karena situs web meminta Anda melakukannya.betapapun sahnya hal itu kelihatannya.
• Waspadalah terhadap verifikasi Cloudflare, CAPTCHA, atau halaman "pembaruan browser" yang meminta langkah-langkah aneh. selain mengklik kotak atau tombol.
• Selalu perbarui browser, sistem operasi, dan aplikasi AndaMenginstal patch dari sumber resmi dan bukan dari banner atau pop-up acak.
• Aktifkan autentikasi dua faktor (2FA) pada akun penting, untuk membuat kehidupan lebih sulit bagi penyerang bahkan jika mereka berhasil mencuri kata sandi.

Dalam lingkungan perusahaan, selain rekomendasi-rekomendasi ini, perusahaan sebaiknya melangkah lebih jauh dan menangani ClickFix sebagai ancaman spesifik dalam strategi keamanan mereka.

Beberapa ukuran kunci bagi organisasi adalah :

• Batasi penggunaan alat eksekusi perintah (PowerShell, cmd, MSHTA) melalui kebijakan grup, daftar kontrol aplikasi atau konfigurasi EDR, sehingga hanya profil teknis yang menggunakannya dan selalu mencatat aktivitas.
• Terapkan solusi antimalware dan EDR modern dengan kemampuan deteksi berbasis perilaku, mampu mengidentifikasi pola eksekusi yang mencurigakan bahkan saat pengguna melakukan intervensi.
• Pantau lalu lintas jaringan dan koneksi keluar ke domain dengan reputasi burukterutama terhadap layanan pemendekan URL, domain yang baru didaftarkan, atau TLD yang tidak biasa.
• Tinjau artefak seperti RunMRU, log PowerShell, dan peristiwa keamanan secara berkala untuk mendeteksi indikator penyalahgunaan Win+R, Win+X atau konsol administratif.

Pilar fundamentalnya adalah pelatihan staf yang berkelanjutan dan realistis : kursus teori saja tidak cukup, tetapi bermanfaat untuk melakukan tes rekayasa sosial terkontrol yang mensimulasikan kampanye tipe ClickFix, penipuan CEO, phishing tingkat lanjut, atau malvertising.

Simulasi ini memungkinkan kita untuk mengukur tingkat kematangan tenaga kerja terkait teknik-teknik ini , menyesuaikan strategi kesadaran, mengidentifikasi area dengan risiko yang lebih besar, dan memperkuat budaya "berhenti dan berpikir" sebelum mengikuti instruksi yang mencurigakan di situs web atau email.

Selain itu, sangat penting bagi perusahaan untuk siap merespons insiden dengan cepat : memiliki rencana respons yang jelas, tim atau penyedia khusus, dan proses penahanan dan pemberantasan yang terdefinisi dengan baik ketika kasus ClickFix atau vektor kompromi lainnya terdeteksi.

Penyebaran teknik ClickFix menunjukkan dengan jelas bahwa penyerang telah menemukan cara yang sangat efektif untuk mengubah pengguna menjadi kaki tangan yang tidak sadar , dan mereka tidak ragu untuk menggabungkannya dengan malware canggih, infrastruktur C2 dinamis, dan kampanye besar-besaran di jejaring sosial atau mesin pencari; memahami cara kerjanya, mengenali sinyal-sinyalnya, dan memperkuat teknologi serta edukasi pengguna adalah kunci perbedaan antara mengalami pelanggaran serius atau menghentikan serangan tepat waktu.

Artikel terkait:

Cara melindungi diri Anda dari ransomware Interlock dan Warlock: panduan taktis dan praktis