Не так давно атаки ClickFix казались чем-то экзотичным. Теперь этот метод стал мейнстримом, поскольку злоумышленники пользуются его простотой и эффективностью для заражения пользователей как ПК, так и Mac. Все, что требуется, — это взломанный веб-сайт, что является довольно простой задачей, фальшивое наложение CAPTCHA и включение одной команды терминала. Так много посетителей попадаются на уловку, вставляя и запуская команду, что практически каждый распространитель вредоносного ПО перенял этот метод. К нему подключаются даже поддерживаемые Кремлем хакерские группировки.

«Reddit превращается в бесконечную череду сообщений о том, как люди заражают свои компьютеры через ClickFix», — отметил в четверг независимый исследователь Кевин Бомонто. «Легитимные веб-сайты повсюду взламываются для показа поддельных запросов капчи». Более опытные пользователи интернета, значительная часть которых читает этот сайт, склонны быстро отвергать эту атаку. Они обычно обвиняют людей, попадающихся на удочку мошенников, и удивляются их доверчивости и невнимательности.

Реальность такова, что для более рядовых пользователей использование компьютеров и интернета стало настолько сложным — вспомните межстраничные рекламные блоки, которые невозможно закрыть, CAPTCHA с бесконечной чередой картинок для анализа и постоянно меняющиеся интерфейсы, скрывающие нужные функции, — что они потеряли чувствительность к инструкциям, которые кажутся нелепыми и обременительными. Атакующие с использованием ClickFix извлекают выгоду из этой усталости.

Обычно атаки начинаются с простого изображения CAPTCHA, часто маскирующегося под Cloudflare. После взаимодействия с окном пользователь видит строку текста, зачастую замаскированную с целью скрыть любые вредоносные команды. Затем пользователю дают указание скопировать текст и вставить его в командную строку Windows, PowerShell или терминал macOS, а затем нажать Enter.

Инструкции поступают с сайтов, которыми люди пользовались годами. Указания кажутся не более подозрительными, чем то, что от них требовалось на протяжении десятилетия. Зачем кому-то, кто не имеет четкого представления о компьютерной безопасности, испытывать какие-либо сомнения?

Для организаторов атак ClickFix значительно упрощает задачу. Предыдущий способ, использовавшийся лицами, ответственными за установку вредоносного ПО, отслеживаемыми как Lorem Ipsum, требовал ресурсоемкой инфраструктуры, заявляла недавно фирма по кибербезопасности BlueVoyant. Сюда входили порталы для скачивания с манипуляциями в SEO и вредоносной рекламой, доверенные сертификаты Microsoft и постоянно меняющиеся домены для доставки пакетов установщика Microsoft.

«Переход на ClickFix в конце мая 2026 года полностью исключает требование цифровой подписи кода, заменяя легитимность действительно подписанного установщика другой формой легитимности: добровольным выполнением пользователем вредоносной команды в собственном терминале», — заявила BlueVoyant. «В то время как модель ClickFix расширяет круг жертв от пользователей, специально ищущих Microsoft Teams, до любого человека, просматривающего взломанный сайт».

Ситуация для пользователей macOS ничуть не лучше. Как компания по безопасности Mac Jamf, так и один исследователь задокументировали вариации ClickFix для macOS, способные обходить защиты Gatekeeper. Злоумышленники ClickFix продолжают находить новые способы использования общедоступных сервисов, включая публично опубликованные документы Google Sheets, по данным Cisco Talos.

Другие злоумышленники, в том числе спонсируемая российским государством группировка Sandworm, размещают свою инфраструктуру управления в смарт-контрактах на основе блокчейна. Компания по кибербезопасности Netskope недавно обнаружила еще одну кампанию, в которой применялся тот же подход. Компания зафиксировала 5 400 сайтов, подававших сигналы на нее, что свидетельствует о масштабах и охвате этой кампании.

По мере того как производители операционных систем и защитники выстраивают новые рубежи обороны, злоумышленники продолжают находить задокументированные способы их обхода. Результатом всего этого является то, что ClickFix представляет собой высокоэффективный и действенный способ распространения всевозможного вредоносного ПО. Это явление никуда не исчезнет, а обвинение или шейминг жертв лишь усугубляют проблему.

Существует немало плагинов, автономных продуктов и встроенных защитных механизмов, предназначенных для снижения успешности атак ClickFix. Например, программное обеспечение BlockBlock, отслеживающее на компьютерах Mac процессы, пытающиеся закрепиться в системе навсегда, способно блокировать атаки ClickFix сразу же, как только пользователь нажимает клавиши ⌘+V. Расширение Ublock было обновлено для выполнения аналогичных действий.

Помимо этих исправлений, те из нас, кто обладает большими знаниями в области безопасности, должны повышать осведомленность среди наших менее опытных соседей, членов семей и друзей. Массовое внедрение ClickFix демонстрирует его успех, и этот метод не исчезнет в ближайшее время.