ClickFix се превърна в най-честия начин, по който атакуващите проникват в корпоративни мрежи, и го прави без експлойт, прикачен файл или файл на диска. Нашият нов доклад за глобалните заплахи проследява техниката от новост в края на 2023 г. до абонаментен продукт с блокчейн инфраструктура и държавно спонсорирана потребителска база и обяснява защо блокирането на зловредни домейни вече не е полезна защита.

Прочетете пълния доклад тук: https://www.ctm360.com/reports/clickfix-beyond

Има особен вид проблем със сигурността, който никоя корекция за сигурност няма да отстрани. ClickFix е един от тях.

Атаката започва със страница, която представя проблем, който потребителят смята, че трябва да реши сам. Проверка за потвърждение от човек, която не завършва. Браузър, който не може да рендира страницата. Документ, който не се отваря. Mac, на който му свършва мястото за съхранение. Страницата предлага решение под формата на инструкции, незабележимо записва „корекцията“ в клипборда и иска от потребителя да отвори системен интерфейс, на който вече има доверие, да постави и да натисне Enter.

Това е цялата техника. Няма уязвимост, която скенерът да открие, обикновено няма прикачен файл, който имейл порталът да анализира в изолирана среда, и няма изтегляне, чийто рейтинг проверката за репутация на браузъра да оцени. Командата се поставя от автентифициран интерактивен потребител в легитимен, подписан, универсално наличен двоичен файл (binary), което е точно профилът на законна административна работа.

Сега това е водещата техника за първоначален достъп в телеметрията за прониквания в корпоративни мрежи. Microsoft приписва 47% от случаите на първоначален достъп, обработени от нейния екип Defender Experts през 2025 г., на ClickFix, изпреварвайки конвенционалния фишинг. ESET отчете 517% ръст през първата половина на 2025 г. и допълнителен ръст от 108% между втората половина на 2025 г. и първата половина на 2026 г. MITRE даде на това поведение собствена подтехника, T1204.004, User Execution: Malicious Copy and Paste през март 2025 г., посочвайки Windows, macOS и Linux като засегнати платформи.

Нашият доклад обединява две независими проучвания на първичен анализ с изследвания с отворен код: анализ на ниво кампания, обхващащ повече от 17,000 заразени URL адреса, предоставящи фалшиви страници за потвърждение на Cloudflare, около 3,000 от които все още активно предоставят примамката към момента на писане, и анализ на ниво хост на един компрометиран уебсайт на WordPress, изследван изцяло от отговорите, които връща на обикновен посетител. Прочетени заедно, те покриват пълния път от инжектираната страница до инструмент за кражба на информация (information stealer), работещ в рамките на подписан процес на Microsoft.

Три констатации са най-важни за защитниците.

Инфраструктурата е изградена така, че да издържи на сваляне

Инжектираният скрипт на компрометирания уебсайт изобщо не съдържа домейн на атакуващия.

Вместо това, когато посетител зареди страницата, неговият собствен браузър прави безплатно извикване само за четене към интелигентен договор (smart contract) в блокчейна Polygon. Договорът връща кодиран низ, който се декодира до текущото име на хоста на примамката. Без портфейл, без транзакция и без разходи. Техниката е известна като EtherHiding.

В рамките на един ден анализ този договор върна три различни хоста на примамки последователно и нито един от компрометираните уебсайтове не беше променен. Операторът редактира една стойност във веригата (on-chain) и всеки заразен сайт я последва за броени секунди. Няма регистратор, към когото да се оплачете, няма хостинг доставчик, който да уведомите, а RPC доставчиците, използвани за четене на стойността, са легитимни споделени услуги, от които зависят реални приложения.

Същата архитектурна идея се появява отново по-надолу по веригата, където описанията на канали в Telegram и страница на профил в Steam разрешават адреса за командване и контрол (command-and-control) на злонамерения код. Две независими системи за резолюция на два различни етапа е проектно решение, а не случайност: комплектът е изграден така, че никое единично сваляне да не го разруши.

Практическата последица е неудобна, но ясна. Блокирането на домейните на примамките е почти безполезно като мярка за контрол. Те се ротират по-бързо, отколкото който и да е списък за блокиране може да бъде публикуван.

Таргетирането е от страна на сървъра, за всеки посетител поотделно и е съзнателно враждебно към анализа

Страницата с примамка докладва операционната система и версията на посетителя обратно на оператора, който отговаря с конфигурация, определяща кои платформи да бъдат атакувани и коя целева страница да се предостави за всяка от тях.

В пробата, която анализирахме, Windows беше включен. Целевите страници за macOS и Linux бяха изградени и държани в резерв. Мобилните устройства бяха напълно блокирани, а бисквитка скриваше наслагването (overlay) за повторни посетители за 90 дни.

Тази конфигурация заслужава внимание, защото събаря едно широко разпространено предположение. Масовото схващане, че ClickFix е проблем само за Windows, е описание на текущата конфигурация, а не на възможностите, и може да бъде променено с един-единствен флаг от страна на сървъра. Клонът за macOS беше напълно попълнен и функционален; примамките за macOS са зряла паралелна продуктова линия със собствени претексти, включително претекст за „поддръжка“ на дисковото пространство, оформен като статия за поддръжка на Apple. Слотът за Linux съществуваше и беше празен.

Под всичко това работи система за разпределение на трафика, която анкетира оператора приблизително на всеки 1,5 секунди и може незабележимо да маркира сесията като „потвърдена“, без изобщо да показва злонамерената инструкция. Изследователите, изолираните среди и ботовете получават чиста страница. Предвидените цели получават примамката.

Зловредният код е ограничен на база идентичността на машината

Третата констатация е тази, която трябва да промени начина, по който екипите интерпретират своите инструменти.

В капсулатора (dropper), възстановен от активния хост, цифровият отпечатък на хардуера и акаунта — GUID на машината, сериен номер на тома, име на компютъра, производител на BIOS, модел на системата, графичен процесор (GPU) и потребителско име — е кодиран в base64 директно в пътя за изтегляне. Следователно сървърът за командване и контрол вижда идентичността на жертвата преди да предостави каквото и да било, и може да върне злонамерен код, избран за конкретната машина, или нищо.

Изолираната среда тук не просто се открива и избягва. На нея се предоставя съдържание, специфично за машината, което не е зловредният код, който получава истинската жертва. Заключенията, базирани на анализ в изолирана среда за тази верига, са structuralно ненадеждни, а липсата на зловреден код в изолирана среда не е доказателство, че даден сайт е чист.

Мерките за контрол, които зависят от разпознаването на инфраструктурата на атакуващия, ще се обезценят за броени часове. Мерките за контрол, които ограничават какво е позволено да изпълнява един интерактивен потребител, запазват стойността си във всеки вариант, който сме виждали, както и в тези, които все още не са наименувани.

Прочетете пълния доклад тук: https://www.ctm360.com/reports/clickfix-beyond

Какво казват двете проби заедно

Двата анализа са извършени независимо, на различни хостове и чрез различни методи. Единият спира до дропъра (dropper), тъй като зловредният код е бил ограничен според цифровия отпечатък. Другият следва веригата до самия край: през три Telegram dead-drop резолвъра и два слоя на AES декриптиране до изпълнението на Vidar Stealer в легитимно подписан бинарен файл на Microsoft чрез DLL side-loading.

Те са извлякли същата структура на API за разпределение на трафика, което сочи към споделен инструмент, а не към сходен дизайн в резултат на конвергенция. Проучване от отворени източници завършва картината: анализът на Sekoia от юни 2026 г. на рамката ErrTraffic идентифицира същия договор в Polygon, който бе наблюдаван, като принадлежащ на операторски клъстер, разпространяващ ексклузивно Vidar. Зловредният код, който една от пробите не успя да извлече, е същият зловреден код, за който е документирано, че се доставя от клъстера, управляващ този договор.

Приемаме тази корелация с умерена увереност; рамката се продава на множество филиали за около $380 на месец, а границите на клъстерите се променят.

Защо WordPress продължава да се появява

WordPress не е случаен елемент във всичко това. Той е субстратът, върху който е изграден бизнесът за доставка: реални домейни, валидни сертификати, автентичен входящ трафик и в повечето случаи – липса на какъвто и да е мониторинг. Репутация не може да бъде купена толкова евтино никъде другаде.

Докладът съдържа констатация, която е от значение за всеки, който почиства заразен сайт. На изследвания от нас хост зареждащият модул (loader) не е бил инжектиран в страница, публикация или файл от темата. Той е бил добавян чрез PHP към всеки динамичен отговор, генериран от сървъра – байтово идентичен в HTML, RSS и JSON, което сочи към задължителен за използване плъгин (must-use plugin), който се зарежда при всяка заявка и никога не се появява в списъка с плъгини. Заедно с него са намерени около две дузини администраторски акаунти със задна вратичка (backdoor), създадени чрез скрипт.

Изтриването на видимия скрипт, премахването на спам страниците и изтриването на единия явно компрометиран акаунт е най-честата реакция, но това не решава нито един от проблемите.

Какво действително работи

Докладът организира мерките за отстраняване около четири критични точки (chokepoints), през които преминава всяка кампания на всяка платформа: дадена страница трябва да може да записва в клипборда; потребителят трябва да може да отвори интерпретатор; този интерпретатор трябва да има достъп до интернет; и нещо трябва да си осигури устойчивост, да събира и да извлича данные (exfiltrate).

Две контролни мерки са крайно недостатъчно използвани спрямо тяхната стойност. Блокирането по подразбиране на записването в клипборда в управлявани браузъри прекратява целия клас атаки още на етапа на подготовка – страницата все още може да показва инструкции, но потребител, от когото се иска да пренапише на ръка обфускиран команден ред, обикновено ще се откаже. Принудителното прекарване на скриптовите интерпретатори и инструментите за извличане през прокси с автентификация прекъсва всяка етапна верига в доклада още при първата стъпка, както при Windows, така и при macOS и Linux, без да зависи от нито един единен индикатор.

За потребителите едно правило носи най-голяма стойност и то не губи актуалността си при промяна на визуалното оформяне:

Никой легитимен уебсайт, проверка за потвърждение, съобщение за грешка, видеообаждане или софтуерно обновление никога няма да ви поиска да копирате нещо и да го поставите в прозореца „Run“ (Изпълнение), PowerShell, Terminal, командния ред (command prompt) или адресното поле на File Explorer.

Ако някоя страница ви поиска да направите това, самата страница е атаката.

Пълният доклад обхваща еволюцията на техниката от 2023 г. до 2026 г., семейството от варианти, включващо FileFix и CrashFix, таксономия на наблюдаваните шаблони за примамки в Windows и macOS, слоя за доставка през WordPress, пълните анализи и на двете проби, картографиране по MITRE ATT&CK, индикатори, групирани по очаквана продължителност на живота, и мерки за отстраняване платформа по платформа за Windows, macOS и Linux.

Прочетете пълния доклад на CTM360 тук: https://www.ctm360.com/reports/clickfix-beyond