מהי מתקפת ClickFix וכיצד היא פועלת בפירוט?

חדשות דיגיטליות » משאבים » מהי מתקפת ClickFix וכיצד היא פועלת בפירוט

מתקפות ClickFix הפכו לאחד מתעלולי ההנדסה החברתית האופנתיים ביותר בעולם פשעי הסייבר: קמפיינים שנראים בלתי מזיקים, עם אזהרות דפדפן או בדיקות אבטחה מזויפות, אך בסופו של דבר גורמים למשתמש להריץ קוד זדוני במחשב שלו, כמעט מבלי לשים לב לכך.

ClickFix, רחוק מלהיות קוריוז טכני, כבר נראה בקמפיינים אמיתיים באמריקה הלטינית, אירופה ואזורים אחרים , כשהוא מפיץ גנבי מידע, סוסים טרויאניים לגישה מרחוק (RATs) ומטעינים מורכבים כמו GHOSTPULSE או NetSupport RAT, ואף מנצל סרטוני טיקטוק או מדריכי יוטיוב כדי להגיע לאלפי קורבנות.

מהי בעצם מתקפת ClickFix?

ClickFix היא טכניקת הנדסה חברתית חדשה יחסית (שהפכה פופולרית מאז 2024) המבוססת על משהו פשוט מאוד: שכנוע המשתמש להעתיק ולהריץ פקודות במערכת שלו כדי "לתקן" בעיה טכנית לכאורה או להשלים אימות.

במקום להוריד תוכנה זדונית ישירות, אתר האינטרנט הזדוני מזריק סקריפט או פקודה ללוח (לדוגמה, PowerShell ב-Windows או פקודות MSHTA) ולאחר מכן מציג הוראות שלב אחר שלב לקורבן להדביק ולהפעיל אותן בקונסולה, תיבת הפעלה או מסוף.

טקטיקה זו מנצלת את מה שחוקרים רבים מכנים "עייפות אימות" : משתמשים רגילים ללחוץ במהירות על כפתורים כמו "אני אנושי", "תקן את זה" או "עדכן עכשיו" מבלי לנתח את ההודעה יותר מדי, מה שהופך אותם לפגיעים מאוד כאשר המסך נראה כמו אימות Cloudflare, גוגל CAPTCHA או שגיאת Google Meet או Zoom.

השם ClickFix מגיע בדיוק מהכפתורים שמופיעים בדרך כלל בפיתיונות האלה , עם טקסטים כמו "תקן את זה", "כיצד לתקן", "תקן עכשיו" או "פתור בעיה", אשר נותנים את הרושם שהמשתמש מיישם פתרון מהיר, כשלמעשה הוא מעתיק ומפעיל סקריפט שמוריד תוכנה זדונית.

כיצד פועלת מתקפת ClickFix שלב אחר שלב

למרות שישנן וריאציות רבות, כמעט כל התקפות ClickFix עוקבות אחר רצף משותף המשלב אתרים פרוצים, סקריפטי JavaScript זדוניים והתערבות "כפויה" של המשתמש כדי לבצע את הקוד.

הצעד הראשון הוא בדרך כלל ביקור באתר לגיטימי שנפרץ או בדף זדוני ישירות , אליו מגיע הקורבן מקישור בדוא"ל פישינג, תוצאות מנועי חיפוש מניפולטיביות (SEO זדוני), מודעות זדוניות או אפילו מסרטון טיקטוק או יוטיוב עם טריקים לכאורה להפעלת תוכנה בתשלום.

בדף זה מופיעה אזהרה או אימות מזויפים המדמה בעיה טכנית : שגיאה בטעינת מסמך, כשל בעדכון דפדפן, בעיות במיקרופון או במצלמה ב-Google Meet/Zoom, או בדיקת אנטי-בוט לכאורה כמו Cloudflare או reCAPTCHA שלא מאפשרת לך להמשיך אלא אם כן משהו "יתוקן".

ברגע שהמשתמש לוחץ על כפתור "תקן" או מסמן את התיבה "אני אנושי" , סקריפט JavaScript מזריק אוטומטית פקודה זדונית ללוח, בדרך כלל פקודת PowerShell או MSHTA מעורפלת שתוריד לאחר מכן פיסת תוכנה זדונית נוספת משרת מרוחק.

האתר מציג מדריך מפורט לקורבן כיצד לבצע את הפקודה , לדוגמה:

• לחץ על כפתור "תקן" כדי "להעתיק את קוד הפתרון".
• לחץ על המקשים Win+R כדי לפתוח את חלון ההפעלה ב- Windows.
• לחץ Ctrl+V כדי להדביק את מה שנמצא בלוח (הפקודה הזדונית).
• לחץ על Enter כדי "לתקן את הבעיה" או להמשיך באימות.

בגרסאות מתקדמות יותר, הטריק נעשה באמצעות Win+X או באמצעות קונסולת הדפדפן : המשתמש מתבקש לפתוח מסוף PowerShell עם הרשאות מנהל מהתפריט המהיר (Win+X) או להשתמש בקונסולת הדפדפן (F12 או Ctrl+Shift+I) ולהדביק שם בלוק של קוד JavaScript או פונקציית "אימות".

לאחר ביצוע הפקודה, שאר הזיהום מתפתח ברקע : הסקריפט מוריד חלקים אחרים משרתי פקודה ובקרה (C2), מפרק דחיסה של קבצים, מריץ קבצי DLL זדוניים על ידי טעינה צדדית, ומסיים להתקין גנבי מידע או RATs בזיכרון או בדיסק.

למה ClickFix כל כך קשה לאתר

אחד היתרונות הגדולים של ClickFix עבור תוקפים הוא שהוא עוקף מחסומי אבטחה מסורתיים רבים , מכיוון ששרשרת ההדבקה מתחילה כנראה מהמשתמש עצמו ולא מקובץ שהורד או מניצול קלאסי.

אין בהכרח קובץ מצורף חשוד או קובץ הפעלה שהורד ישירות מהדפדפן , מה שאומר שמסנני דוא"ל רבים, חוסמי הורדות ובדיקות מוניטין של כתובות URL אינם מזהים שום דבר זדוני באופן גלוי בשלב הראשון.

הפקודה מבוצעת מ"קליפה מהימנה" של המערכת, כגון PowerShell, cmd.exe או קונסולת הדפדפן , מה שנותן לתוכנה הזדונית מראה של פעילות לגיטימית ומסבך את עבודתן של תוכנות אנטי-וירוס מבוססות חתימות וכמה פתרונות אבטחה שאינם טובים במיוחד בניתוח התנהגותי.

מוצרי אבטחה בדרך כלל מזהים את האיום כאשר המטען כבר בוצע או מנסה להשתלב בתהליכים מוגנים, לשנות קבצים קריטיים כמו קובץ hosts, ליצור persistens או לתקשר עם שרת C2; כלומר, בשלב שלאחר הניצול.

עד אז, ייתכן שהתוקף השיג גישה משמעותית למערכת : הסלמת הרשאות, גניבת אישורים, תנועה רוחבית דרך הרשת הארגונית, או אפילו ניסיון להשבית את האנטי-וירוס ושכבות הגנה אחרות.

היכן ניתן לראות את ClickFix בפועל: ערוצים ופיתיונות נפוצים

מחקרים שנערכו במעבדות אבטחה שונות הראו כי ClickFix משמש במגוון עצום של קמפיינים , המכוונים הן למשתמשים ביתיים והן לחברות במגזרים קריטיים.

תוקפים משתמשים לעתים קרובות בערוצים הבאים כדי לפרוס את פיתיונות ה-ClickFix שלהם :

• אתרים לגיטימיים נפגעו, שבהם הם מזריקים מסגרות JavaScript כמו ClearFake כדי להציג הודעות עדכון או אימות מזויפות.
• פרסום זדוני (malvertising)במיוחד באנרים ומודעות ממומנות שמפנים לדפי הורדת תוכנה מזויפים או דפי אימות דפדפן.
• מדריכים וסרטונים ביוטיוב או טיקטוק, עם טריקים לכאורה להפעלת תוכנה או פתיחת תכונות פרימיום בחינם.
• פורומים ואתרי תמיכה טכנית מזויפים המחקים פורטלי עזרה, שם "מומלץ" להפעיל פקודות כדי לתקן שגיאות מערכת.

באמריקה הלטינית, כבר תועדו מקרים בהם אתרים רשמיים ואתרים אוניברסיטאיים נפגעו : לדוגמה, אתר האינטרנט של בית הספר להנדסת תעשייה של האוניברסיטה הקתולית של צ'ילה או אתר האינטרנט של קרן הדיור של המשטרה בפרו, אשר בסופו של דבר הציג זרימות ClickFix למבקרים בו.

סוכנויות ביטחון אמריקאיות הזהירו מפני קמפיינים המכוונים למשתמשים המחפשים משחקים, קוראי PDF, דפדפני Web3 או אפליקציות מסרים , והכל על ידי ניצול חיפושים יומיומיים כדי להפנות אותם לדפים המיישמים את ClickFix.

כמו כן, נצפו קמפיינים שמסתמכים על דפי Google Meet, Zoom, DocuSign, Okta, Facebook או Cloudflare לכאורה , שבהם מוצגת שגיאת דפדפן או אימות CAPTCHA, מה שמאלץ את המשתמש לעקוב אחר רצף ההעתקה והביצוע של פקודות.

התוכנות הזדוניות הנפוצות ביותר המופצות באמצעות ClickFix

ClickFix הוא לעיתים רחוקות החלק היחיד בתקיפה ; בדרך כלל הוא רק הווקטור הראשוני המאפשר פריסה של שרשרת הדבקה רב-שלבית עם מגוון רחב של תוכנות זדוניות.

בין המשפחות הבולטות ביותר שנצפו בקמפיינים האחרונים נמצאות :

• גנבי מידע כמו Vidar, Lumma, Stealc, Danabot, Atomic Stealer או Odyssey Stealer, המתמחה בגניבת פרטי דפדפן, קובצי Cookie, נתוני מילוי אוטומטי, ארנקי מטבעות קריפטוגרפיים, פרטי VPN ו-FTP וכו'.
• סוסים טרויאניים לגישה מרחוק (RATs) כגון NetSupport RAT או ARECHCLIENT2 (SectopRAT)אשר מאפשרים לתוקפים לשלוט במערכת, לבצע פקודות, לחלץ מידע ולהפעיל שלבים עוקבים, כולל תוכנות כופר.
• מעמיסים מתקדמים כמו GHOSTPULSE, Latrodectus או ClearFakeאשר פועלים כדבק, מורידים, מפענחים וטוענים את החלקים הבאים לזיכרון, לעתים קרובות עם שכבות מורכבות מאוד של ערפול והצפנה.
• כלים לגניבת מידע פיננסי ותאגידי, אשר מחלצים נתונים מטפסים, לקוחות דוא"ל, הודעות ויישומים עסקיים.

בקמפיינים שפעלו במהלך 2024 ו-2025, ClickFix נצפה כשהוא מזין שרשראות מורכבות : לדוגמה, פיתיון ClickFix שמפעיל PowerShell, מוריד קובץ ZIP עם קובץ הרצה לגיטימי (כגון jp2launcher.exe מ-Java) וקובץ DLL זדוני, ובאמצעות טעינה צדדית מפעיל את NetSupport RAT במחשב.

מקרה נפוץ נוסף הוא השימוש ב-MSHTA עם כתובות URL מעורפלות לדומיינים כמו iploggerco , המחקים קיצור כתובות URL לגיטימי או שירותי רשם; משם מורד סקריפט PowerShell מקודד Base64 שבסופו של דבר משחרר קבצי Lumma Stealer או דומים.

מקרי בוחן אמיתיים וקמפיינים נבחרים עם ClickFix

דיווחים ממספר צוותי תגובה לאירועים ומעבדות אבטחה זיהו מספר קמפיינים פעילים ביותר סביב ClickFix כנקודת כניסה.

במגזר העסקי, נצפתה השפעה ניכרת בתחומים כגון טכנולוגיה מתקדמת, שירותים פיננסיים, ייצור, סחר קמעונאי וסיטונאי, מינהל ציבורי, שירותים מקצועיים ומשפטיים, אנרגיה ותשתיות, בין רבים אחרים.

בקמפיין שנערך במאי 2025, תוקפים השתמשו ב-ClickFix כדי לפרוס את NetSupport RAT באמצעות דפים מזויפים שמתחזים ל-DocuSign ו-Okta, תוך ניצול תשתית הקשורה למסגרת ClearFake כדי להזריק JavaScript שגרם למניפולציה של הלוח.

במהלך מרץ ואפריל 2025, תועדה עלייה בתעבורה לדומיינים הנשלטים על ידי משפחת Latrodectus , שהחלה להשתמש ב-ClickFix כטכניקת גישה ראשונית: פורטל שנפרץ הופנה לאימות מזויף, הקורבן הפעיל PowerShell מ-Win+R וזה הוריד MSI שהוריד את קובץ ה-DLL הזדוני libcef.dll.

במקביל, זוהו קמפיינים של typosquatting המקושרים ל-Lumma Stealer , שבהם התבקשו הקורבנות לבצע פקודות MSHTA שהצביעו על דומיינים שחיקו את iplogger; פקודות אלו הורידו סקריפטים של PowerShell מעורפלים מאוד שבסופו של דבר פירקו דחיסה של חבילות עם קבצי הרצה כגון PartyContinued.exe ותוכן CAB (Boat.pst) כדי להגדיר מנוע סקריפטים של AutoIt שאחראי על השקת הגרסה הסופית של Lumma.

Elastic Security Labs תיארה גם קמפיינים שבהם ClickFix משמש כ-hook ראשוני עבור GHOSTPULSE , אשר בתורו טוען טוען .NET ביניים ולבסוף מזריק ARECHCLIENT2 לזיכרון, תוך עקיפת מנגנונים כמו AMSI באמצעות hooking ו-obfuscation מתקדם.

בחזית משתמשי הקצה, מספר ספקים הציגו דוגמאות פשוטות למתקפת ClickFix שבה דף "עדכון דפדפן" או CAPTCHA מזויף מעתיק בשקט סקריפט ללוח ואז מאלץ את המשתמש להדביק אותו ב-PowerShell עם הרשאות מנהל, מה שמקל על החיבור לתשתית C2 והורדת קבצי הרצה שמשנים את המערכת.

תופעה מדאיגה במיוחד היא הגעתו של ClickFix לטיקטוק : סרטונים שנוצרים אפילו באמצעות בינה מלאכותית מקדמים "שיטות קלות" להפעלת גרסאות בתשלום בחינם של Office, Spotify Premium או תוכנות עריכה, אך במציאות הם מנחים משתמשים להעתיק ולהדביק פקודות זדוניות שמתקינות תוכנות גניבה כמו Vidar או Stealc.

כיצד אנליסטים מזהים זיהומים ב-ClickFix

למרות שזה עשוי להיראות כמו קסם שחור למשתמש, הדבקות ClickFix משאירות עקבות טכניות שצוותי ציד איומים ו-EDR יכולים להשתמש בהן כדי לזהות את האירוע.

בסביבות Windows, אחת מנקודות הניתוח היא מפתח הרישום RunMRU , אשר מאחסן את הפקודות האחרונות שבוצעו מחלון ההפעלה (Win+R):

HKEY_CURRENT_USER\תוכנה\מיקרוסופט\Windows\CurrentVersion\Explorer\RunMRU

אנליסטים בודקים את הערכים הללו ומחפשים דפוסים חשודים : פקודות ערומות, שימוש ב-PowerShell או MSHTA עם כתובות URL יוצאות דופן, קריאות לדומיינים לא ידועים, או הפניות לכלי ניהול שהמשתמש הממוצע אינו משתמש בהם בדרך כלל.

כאשר תוקפים משתמשים בגרסה של Win+X (תפריט גישה מהירה) כדי להפעיל את PowerShell או את שורת הפקודה , הרמז מחפשים בטלמטריית התהליך: אירועי יצירת התהליך (כגון מזהה 4688 ביומן האבטחה של Windows) כאשר explorer.exe מציג את powershell.exe מיד לאחר לחיצה על Win+X.

המתאם עם אירועים אחרים, כגון גישה לתיקייה %LocalAppData%\Microsoft\Windows\WinX\ או חיבורי רשת חשודים לאחר ביצוע זה , מסייעים לתאר את ההתנהגות האופיינית של זיהום ClickFix, במיוחד אם תהליכים כגון certutil.exe, mshta.exe או rundll32.exe מופיעים מיד לאחר מכן.

וקטור גילוי נוסף הוא שימוש לרעה בלוח הגזירים : סינון כתובות URL מתקדם ופתרונות אבטחה של DNS יכולים לזהות JavaScript שמנסה להחדיר פקודות זדוניות למאגר הלוח, מה שמטרתו לחסום את הדף לפני שהמשתמש משלים את הרצף.

מה מנסים התוקפים להשיג באמצעות טכניקת ClickFix?

מאחורי כל ההנדסה החברתית הזו יש מטרה ברורה: להשיג תועלת כלכלית ממידע גנוב , הן ממשתמשים בודדים והן מארגונים.

גנבי מידע המופעלים דרך ClickFix נועדו לאסוף אישורים, קובצי Cookie ונתונים רגישים המאוחסנים בדפדפנים, בלקוחות דוא"ל, אפליקציות ארגוניות או ארנקי מטבעות קריפטוגרפיים, כמו גם מסמכים פנימיים ונתונים פיננסיים.

בעזרת חומר זה, גורמים זדוניים יכולים לבצע פעילויות פליליות מרובות :

• חברות סחיטהאיום בדליפת מידע סודי על הארגון או לקוחותיו.
• לבצע הונאה פיננסית ישירה על ידי ניצול חשבונות בנק שנפרצו, מערכות תשלום מקוונות או ארנקי קריפטו.
• התחזות לחברה או לעובדיה לבצע הונאות נגד צדדים שלישיים, כגון הונאת מנכ"לים אופיינית או התקפות BEC.
• מכירת חבילות אישורים ונתונים ברשת האפלה שקבוצות פשע אחרות ישתמשו בהתקפות עתידיות.
• לבצע ריגול תעשייתי או גיאופוליטי כאשר המטרה היא ארגון ספציפי או מגזר אסטרטגי.

בקמפיינים מתועדים רבים, ClickFix הייתה רק הצעד הראשון לקראת התקפות גדולות יותר , כולל פריסת תוכנות כופר לאחר גניבת אישורים, גישה ממושכת לרשתות ארגוניות, או שימוש בתשתית שנפגעה כקרש קפיצה ליעדים אחרים.

כיצד יכולים משתמשים וחברות להגן על עצמם מפני ClickFix?

הגנה מפני ClickFix משלבת טכנולוגיה, שיטות עבודה מומלצות ומודעות רבה , משום שהחוליה החלשה שהטכניקה הזו מנצלת היא דווקא התנהגות המשתמש.

ברמה האישית, ישנם כמה כללי זהב פשוטים מאוד שמפחיתים מאוד את הסיכון לנפילה:

• לעולם אל תדביק קוד לתוך קונסולה (PowerShell, cmd, טרמינל, קונסולת דפדפן) רק בגלל שאתר אינטרנט מבקש ממך לעשות זאת.לגיטימי ככל שזה ייראה.
• היזהרו מאימותי Cloudflare, CAPTCHA או דפי "עדכון דפדפן" שמבקשים צעדים מוזרים. מעבר ללחיצה על תיבה או כפתור.
• שמרו על הדפדפן, מערכת ההפעלה והאפליקציות שלכם מעודכנים תמידהתקנת תיקונים ממקורות רשמיים ולא מבאנרים או חלונות קופצים אקראיים.
• הפעלת אימות דו-שלבי (2FA) בחשבונות חשובים, כדי להקשות על התוקפים גם אם יצליחו לגנוב את הסיסמה.

בסביבה הארגונית, בנוסף להמלצות אלו, חברות צריכות ללכת צעד אחד קדימה ולטפל ב-ClickFix כאיום ספציפי במסגרת אסטרטגיית האבטחה שלהן.

כמה צעדים מרכזיים עבור ארגונים הם :

• הגבלת השימוש בכלי ביצוע פקודות (PowerShell, cmd, MSHTA) באמצעות מדיניות קבוצתית, רשימות בקרת יישומים או תצורות EDR, כך שרק פרופילים טכניים ישתמשו בהן ותמיד רישום הפעילות.
• הטמע פתרונות מודרניים למניעת תוכנות זדוניות ו-EDR עם יכולות זיהוי מבוססות התנהגות, המסוגלות לזהות דפוסי ביצוע חשודים גם כאשר המשתמש מתערב.
• ניטור תעבורת רשת וחיבורים יוצאים לדומיינים בעלי מוניטין גרועבמיוחד כלפי שירותי קיצור כתובות URL, דומיינים שנרשמו לאחרונה או שמות דומיין יוצאי דופן.
• סקירה תקופתית של אירועי אבטחה כגון RunMRU, יומני PowerShell ואירועי אבטחה כדי לזהות אינדיקטורים לשימוש לרעה ב-Win+R, Win+X או בקונסולות ניהול.

עמוד יסודי הוא הכשרה מתמשכת וריאליסטית של הצוות : קורס תיאורטי אינו מספיק, אך כדאי לבצע בדיקות הנדסה חברתית מבוקרות המדמות קמפיינים מסוג ClickFix, הונאות מנכ"לים, פישינג מתקדם או פרסום זדוני.

סימולציות אלו מאפשרות לנו למדוד את רמת הבשלות של כוח העבודה בנוגע לטכניקות אלו , להתאים את אסטרטגיית המודעות, לזהות תחומים בעלי סיכון גבוה יותר ולחזק את תרבות ה"עצור וחשוב" לפני ביצוע הוראות חשודות באתר אינטרנט או בדוא"ל.

יתר על כן, חיוני שחברות יהיו מוכנות להגיב במהירות לאירוע : תוכניות תגובה ברורות, צוותים או ספקים ייעודיים, ותהליכי בלימה ומיגור מוגדרים היטב כאשר מתגלה מקרה אפשרי של ClickFix או כל וקטור פגיעה אחר.

התפשטותה של טכניקת ClickFix מבהירה שתוקפים מצאו דרך יעילה מאוד להפוך משתמשים לשותפים לא מודעים , ושהם אינם מהססים לשלב אותה עם תוכנות זדוניות מתוחכמות, תשתיות C2 דינמיות וקמפיינים מסיביים ברשתות חברתיות או במנועי חיפוש; הבנת אופן פעולתה, זיהוי אותותיה וחיזוק הטכנולוגיה וחינוך המשתמשים עושים כיום את ההבדל בין פגיעה חמורה לבין עצירת המתקפה בזמן.