Czym jest ClickFix (i FileFix)?

Klikasz „Nie jestem robotem”, ale zamiast zielonego znacznika wyświetla się komunikat o błędzie z prośbą o wykonanie szybkiej ręcznej weryfikacji. Nie zdając sobie z tego sprawy, skrypt JavaScript działający na tej stronie skopiował już ukryte, złośliwe polecenie bezpośrednio do schowka Twojego komputera. Komunikat instruuje Cię, abyś otworzył okno dialogowe „Uruchom” w systemie Windows, wkleił tekst i nacisnął klawisz Enter, aby „naprawić” problem.

Tak właśnie działa ClickFix – niebezpieczna technika inżynierii społecznej, która w ciągu ostatnich dwóch lat gwałtownie rozprzestrzeniła się w środowisku zagrożeń. Wraz ze swoją nowszą, jeszcze bardziej ukrytą odmianą znaną jako FileFix, ten wektor ataku wywrócił do góry nogami tradycyjne modele obrony.

To, co sprawia, że atak typu ClickFix jest tak wyjątkowo frustrujący dla zespołów ds. bezpieczeństwa, to całkowity brak tradycyjnych wskaźników naruszenia bezpieczeństwa. Nie ma tu żadnego złośliwego pliku do przechwycenia, nie wykorzystuje się żadnej luki w oprogramowaniu, ani nie dochodzi do złamania haseł.

Czym jest ClickFix w kontekście cyberbezpieczeństwa?

ClickFix to bezplikowa technika inżynierii społecznej, w ramach której zainfekowana lub złośliwa strona internetowa wyświetla użytkownikowi fałszywy komunikat o błędzie, fałszywy kod CAPTCHA lub monit o weryfikację.

Badacze zajmujący się bezpieczeństwem po raz pierwszy udokumentowali tę konkretną technikę w 2024 roku. Wyewoluowała ona z wcześniejszej, bardziej prymitywnej wersji znanej jako „ClearFix”, której pierwsze ślady odnotowano już w październiku 2023 roku. Nazwa „ClickFix” nie jest oficjalnym, standardowym określeniem branżowym, ale szybko stała się powszechnie stosowanym terminem w całej branży cyberbezpieczeństwa, gdy popularność tego zagrożenia gwałtownie wzrosła w latach 2024 i 2025.

Ta psychologiczna sztuczka opiera się wyłącznie na nawykach użytkowników. Ludzie są tak bardzo przyzwyczajeni do zaznaczania pól potwierdzenia i samodzielnego usuwania drobnych błędów przeglądarki, aby dotrzeć do treści, które naprawdę ich interesują. ClickFix wykorzystuje właśnie ten odruch, oferując natychmiastowe rozwiązanie sztucznie stworzonej przeszkody technicznej.

Dlaczego ClickFix omija tradycyjne narzędzia zabezpieczające?

Standardowe rozwiązania zabezpieczające w przedsiębiorstwach mają na celu wykrywanie złośliwych ładunków przedostających się do sieci. ClickFix z łatwością omija te systemy dzięki kilku wyraźnym zaletom operacyjnym:

• Bezpieczne bramy pocztowe, statyczne silniki antywirusowe oraz wiele platform do wykrywania i reagowania na zagrożenia w punktach końcowych nie mają absolutnie nic do analizy, ponieważ na początkowym etapie ataku nie dochodzi do pobrania ani załączenia żadnego pliku wykonywalnego
• Przejęte polecenie schowka wykorzystuje do realizacji swoich zadań zaufane, fabrycznie zainstalowane narzędzia systemowe, takie jak PowerShell, wiersz poleceń systemu Windows czy terminal systemu macOS. Wynika to z faktu, że administratorzy IT korzystają z tych właśnie narzędzi na co dzień w ramach legalnych operacji.
• Celem uwierzytelniania wieloskładnikowego (MFA) jest zapewnienie bezpieczeństwa tożsamości i dostępu podczas sesji logowania. Atak typu ClickFix jest wymierzony bezpośrednio w aktywną sesję punktu końcowego po zakończeniu uwierzytelniania, więc nawet najbardziej rygorystyczne zasady MFA nie są w stanie zapobiec jego przeprowadzeniu.

Jak krok po kroku przebiega atak typu ClickFix?

Aktywna kampania ClickFix zazwyczaj przebiega w pięciu odrębnych fazach taktycznych:

Krok 1: Przynęta

Sprawca przejmuje kontrolę nad legalną stroną internetową (często poprzez włamanie się do słabo zabezpieczonych witryn opartych na WordPressie lub sieci reklamowych) lub tworzy specjalną złośliwą domenę. Często wykorzystuje typosquatting lub malvertising, aby przyciągnąć ruch organiczny do tych lokalizacji. Aby zwiększyć wiarygodność, strony te w znacznym stopniu podszywają się pod zaufane marki korporacyjne, takie jak Microsoft, Cloudflare czy Booking.com.

Krok 2: Fałszywa weryfikacja

Gdy użytkownik trafia na stronę, osoba atakująca wykorzystuje nakładkę, aby zasłonić oczekiwaną treść. Użytkownikowi wyświetla się bardzo realistyczne fałszywe okienko CAPTCHA, sztuczny komunikat „wymagana aktualizacja przeglądarki” lub komunikat o błędzie ładowania dokumentu z wyraźnie widocznym przyciskiem „Napraw” lub „Zweryfikuj”.

Krok 3: Przejęcie schowka

W momencie, gdy ofiara kliknie ten przycisk, uruchamia się ukryty fragment kodu JavaScript działający w tle. Skrypt ten automatycznie zastępuje zawartość schowka użytkownika silnie zaszyfrowanym, złośliwym ciągiem poleceń. Zmiana zawartości schowka następuje w sposób niewidoczny, bez widocznego potwierdzenia.

Krok 4: Instrukcje

Strona internetowa natychmiast przechodzi do ekranu z instrukcjami. Prowadzi ona ofiarę przez dokładną sekwencję skrótów klawiaturowych: naciśnij Win + R, aby otworzyć okno „Uruchom” systemu Windows, naciśnij Ctrl + V, aby wkleić skopiowaną treść, a następnie naciśnij Enter. Strona przedstawia tę sekwencję jako niezbędną ręczną poprawkę mającą na celu usunięcie błędu ładowania.

Krok 5: Wykonanie i dostarczenie ładunku

Gdy użytkownik naciśnie klawisz Enter, system operacyjny uruchamia ukryte polecenie związane ze schowkiem. Zazwyczaj powoduje to nawiązanie cichego połączenia w tle z serwerem zdalnym w celu pobrania i zainstalowania specjalistycznego złośliwego oprogramowania. Sama przeglądarka nigdy nie obsługuje bezpośredniego linku do pobrania pliku, przez co filtry internetowe działające na poziomie przeglądarki nie są w stanie wykryć tej instalacji.

Czym jest FileFix i jak ewoluuje ten atak?

Gdy korporacyjne centra operacyjne ds. bezpieczeństwa (SOC) zaczęły monitorować i ograniczać korzystanie z okna dialogowego „Uruchom” w systemie Windows, cyberprzestępcy szybko zmodyfikowali swoje metody działania. 23 czerwca 2025 r. badacz ds. bezpieczeństwa mr.d0x ujawnił publicznie bardziej ukrytą , ulepszoną wersję tej metody , nazwaną FileFix.

Zamiast zmuszać użytkowników do korzystania z okien poleceń administracyjnych, atak typu FileFix wyświetla na stronie internetowej wyglądający jak zwykły przycisk „prześlij plik”. Kliknięcie tego przycisku powoduje otwarcie autentycznego, natywnego okna Eksploratora plików systemu Windows. Strona z instrukcjami nakazuje następnie użytkownikowi kliknąć w pasek adresu Eksploratora plików u góry, wkleić zawartość schowka (udającą ścieżkę do pliku) i nacisnąć klawisz Enter.

Ten wariant jest znacznie bardziej niebezpieczny z dwóch powodów. Po pierwsze, zwykli pracownicy korporacyjni postrzegają Eksploratora plików jako narzędzie znacznie bardziej znane i mniej budzące obawy niż wyglądające na techniczne okno polecenia „Uruchom”. Po drugie, Eksplorator plików jest głęboko zintegrowany z podstawowymi operacjami na pulpicie, co utrudnia zespołom IT ograniczenie dostępu za pomocą tradycyjnych mechanizmów kontroli zasad grupy (GPO), w przeciwieństwie do narzędzi administracyjnych służących do wydawania poleceń.

Chronologia ataków: Jak cyberprzestępcy wykorzystali program FileFix

Grupy cyberprzestępcze z niepokojącą szybkością wykorzystały wyniki tych nowych badań w praktyce. Zespół Check Point Research wykrył aktywnych cyberprzestępców testujących kod FileFix w działającej infrastrukturze phishingowej już 6 lipca 2025 r., czyli niecałe dwa tygodnie po pierwszym publicznym ujawnieniu tych informacji. W połowie lipca 2025 r. w raporcie DFIR odnotowano aktywną kampanię (śledzoną pod nazwą „KongTuke”), wykorzystującą FileFix do dostarczania zaawansowanego wariantu trojana zdalnego dostępu (RAT) o nazwie Interlock. We wrześniu 2025 r. badacze odkryli zmodyfikowane warianty FileFix wykorzystujące steganografię, ukrywające złośliwe ładunki całkowicie wewnątrz nieszkodliwych plików graficznych, umieszczonych na wielojęzycznych stronach phishingowych w celu dyskretnego rozpowszechniania złośliwego oprogramowania StealC.

Przykłady zastosowań ClickFix

ClickFix przekształcił się z eksperymentalnej metody stosowanej w cyberprzestępczości w preferowane narzędzie wykorzystywane przez wysoce zaawansowane grupy przestępcze. W ciągu zaledwie 90 dni, od października 2024 r. do stycznia 2025 r., cztery główne podmioty państwowe zajmujące się cyberatakami włączyły ClickFix do swoich aktywnych operacji cyberszpiegowskich: rosyjska grupa APT28, północnokoreańska Kimsuky, irańska MuddyWater oraz powiązana z Rosją grupa COLDRIVER. Wkrótce potem, w maju 2025 r., w ślady tych grup poszła pakistańska grupa APT36. Zamiast budować całe operacje od podstaw, te zaawansowane, uporczywe zagrożenia (APT) włączyły ClickFix do swoich istniejących struktur phishingowych.

Kilka godnych uwagi kampanii podkreśla ogromną różnorodność tych działań:

• Fałszywa strona Arkuszy Google wykorzystana przez APT28: Grupa ta wykorzystała niezwykle realistyczną fałszywą stronę Arkuszy Google, aby skłonić ofiary do interakcji z okienkiem reCAPTCHA. Kliknięcie w pole powodowało niepostrzeżone utworzenie zaszyfrowanego tunelu SSH oraz wdrożenie narzędzia Metasploit bezpośrednio w sieci docelowej, zapewniając atakującym stały dostęp przez backdoor.
• Kampania „Patch Tuesday” grupy MuddyWater: Działając pod pseudonimem TA450, grupa ta koordynowała zakrojone na szeroką skalę fale ataków phishingowych, których terminy były wyraźnie dopasowane do comiesięcznego harmonogramu aktualizacji „Patch Tuesday” firmy Microsoft. W wiadomościach e-mail podszywano się pod pilne alerty dotyczące aktualizacji zabezpieczeń systemu Windows, skutecznie atakując co najmniej 39 znanych organizacji na Bliskim Wschodzie.
• Storm-1865 Hospitality Wave: Ten podmiot systematycznie podszywał się pod automatyczne wiadomości serwisu Booking.com, kierując swoje działania do pracowników administracyjnych hoteli i branży turystycznej w celu pozyskania danych uwierzytelniających pracowników.
• Naruszenie bezpieczeństwa w łańcuchu dostaw branży motoryzacyjnej: W marcu 2025 r. w wyniku ataku na jednego dostawcę zewnętrznego o nazwie LES Automotive na stronach internetowych ponad 100 różnych salonów samochodowych jednocześnie umieszczono skrypty infekujące ClickFix.
• Konsekwencje ataków ransomware: Grupa ransomware Interlock również wykorzystuje oprogramowanie ClickFix do uzyskania wstępnego dostępu; odnotowano między innymi incydent z sierpnia 2025 r., którego ofiarą padła instytucja rządowa na szczeblu stanowym lub lokalnym w Stanach Zjednoczonych.

Jak ewoluowało złośliwe oprogramowanie ClickFix?

Techniczne bariery utrudniające przeprowadzenie tego ataku znacznie się obniżyły. Komercyjne zestawy „ClickFix builder” są obecnie powszechnie kupowane i sprzedawane na podziemnych forach hakerskich, co pozwala cyberprzestępcom o niskich umiejętnościach na przeprowadzanie spersonalizowanych kampanii. Co więcej, atak ten nie ogranicza się już wyłącznie do systemów Windows; najnowsze warianty rozszerzyły zakres działania, atakując użytkowników systemu macOS za pomocą poleceń terminala zakodowanych w base64, a także środowiska korporacyjne systemu Linux. Niezależne zespoły zajmujące się analizą zagrożeń, w tym Recorded Future i Center for Internet Security, poinformowały, że ClickFix pozostawał jedną z najczęściej stosowanych technik uzyskiwania wstępnego dostępu aż do 2026 roku, a wciąż pojawiały się nowe motywy przynęt (między innymi fałszywe zaproszenia na spotkania i monity o aktualizację oprogramowania).

Wśród różnych rodzajów ładunków docelowych dostarczanych za pomocą tych metod znajduje się szeroki wachlarz niebezpiecznych rodzajów złośliwego oprogramowania:

Spośród tych ładunków złośliwych największą dominację zachowuje Lumma Stealer. Firma Microsoft zidentyfikowała ponad 394 000 zainfekowanych urządzeń z systemem Windows na całym świecie w ciągu zaledwie dwóch miesięcy, od marca do maja 2025 roku. Chociaż w ramach zakrojonej na szeroką skalę operacji organów ścigania, w której uczestniczyły firmy Microsoft, Europol, FBI oraz Departament Sprawiedliwości Stanów Zjednoczonych (DOJ), udało się skutecznie przeprowadzić skoordynowaną likwidację tej infrastruktury, części zaplecza Lumma zdołały się odbudować i wznowić działalność w ciągu zaledwie kilku tygodni.

Jak wyglądają wyniki ClickFix i FileFix w liczbach?

Wskaźniki ilościowe dotyczące tych bezplikowych kampanii pokazują, dlaczego stały się one problemem o charakterze kryzysowym dla całej branży:

• 517%: Ogromny wzrost liczby wykrytych przypadków ClickFix odnotowany przez firmę ESET w pierwszej połowie 2025 r. w porównaniu z drugą połową 2024 r. Ten gwałtowny wzrost sprawił, że stał się on drugim najczęstszym wektorem ataku na świecie, ustępując jedynie tradycyjnemu phishingowi.
• 8%: Łączny odsetek wszystkich globalnych ataków internetowych zablokowanych przez telemetrię, które są wyraźnie wywoływane przez skrypty ClickFix.
• 47%: Odsetek wszystkich zgłoszeń dotyczących pierwszego wykrycia, wydanych przez zespół ds. wykrywania zagrożeń Microsoft Defender Experts, przypisanych bezpośrednio wektorom ClickFix w okresie 12 miesięcy.
• 54%: Odsetek ofiar oprogramowania ransomware, których dane uwierzytelniające do domen firmowych pojawiły się w sprzedaży na rynkach danych wykradzionych (stealer-log) przed faktycznym szyfrowaniem danych, zgodnie z raportem Verizon „2025 Data Breach Investigations Report” (DBIR).

Ten ostatni wskaźnik uwidacznia niebezpieczny łańcuch zdarzeń, w którym kradzież danych uwierzytelniających prowadzi do ataku ransomware. Mediana czasu, jaki upływa od momentu utraty danych uwierzytelniających przez pracownika na rzecz programu wykradającego dane do momentu wdrożenia oprogramowania ransomware przez grupę przestępczą w sieci firmowej, wynosi obecnie zaledwie dwa dni. Ponieważ ClickFix i FileFix należą do głównych mechanizmów dostarczania oprogramowania zasilających rynki danych uwierzytelniających, powstrzymanie tych początkowych interakcji jest kluczowym warunkiem wstępnym pozwalającym uniknąć katastrofalnego ataku ransomware.

Jak rozpoznać próbę ataku typu „ClickFix” lub „FileFix”?

Pracownicy firm stanowią pierwszą linię obrony przed tym zagrożeniem. Aby zabezpieczyć swoje urządzenie końcowe, należy sprawdzić wszelkie nietypowe komunikaty wyświetlane w przeglądarce internetowej, odwołując się do poniższej listy kontrolnej bezpieczeństwa:

• Rzetelna strona internetowa nigdy nie poprosi Cię o otwarcie okna „Uruchom” w systemie Windows, terminala ani paska adresu w Eksploratorze plików w celu „zweryfikowania” Twojej tożsamości lub usunięcia błędu przeglądarki.
• Należy podchodzić z rezerwą do wszelkich testów CAPTCHA lub komunikatów o błędach, które nakazują naciśnięcie kombinacji klawiszy, takich jak Win + R, Cmd + Spacja czy Ctrl + V.
• Jeśli po wklejeniu pojawia się długi ciąg kodu, którego nigdy nie skopiowałeś, oznacza to, że zawartość schowka została naruszona. Nie wklejaj ani nie uruchamiaj tej treści w żadnym miejscu.
• Standardowe narzędzia zabezpieczające działają wyłącznie w aktywnej karcie przeglądarki. Nigdy nie wymagają one zamknięcia przeglądarki ani korzystania z zewnętrznego oprogramowania na pulpicie.

Jeśli podczas przeglądania stron internetowych lub w wiadomości natrafisz na nieznany lub podejrzany link, przed kliknięciem możesz sprawdzić jego status za pomocą specjalnego, bezpłatnego narzędzia do sprawdzania linków.

W jaki sposób zespoły IT mogą chronić się przed programami ClickFix i FileFix?

Ponieważ ataki te polegają na manipulowaniu prawidłowym działaniem systemu, a nie na wykorzystywaniu tradycyjnych luk w zabezpieczeniach, obrona przed nimi wymaga zastosowania wielowarstwowego modelu bezpieczeństwa.

1. Ograniczenie i monitorowanie interfejsów wysokiego ryzyka

Zespoły inżynierów IT powinny wdrożyć restrykcyjne mechanizmy kontroli w ramach zasad grupy (GPO) w celu zablokowania dostępu do interfejsów poleceń administracyjnych, takich jak okno dialogowe „Uruchom” (cmd.exe) oraz natywne wykonywanie poleceń w PowerShellu, dla zwykłych użytkowników nieposiadających uprawnień administracyjnych, o ile jest to wykonalne z operacyjnego punktu widzenia. W przypadkach, w których całkowite ograniczenia nie są możliwe, należy skonfigurować infrastrukturę monitorującą tak, aby sygnalizowała anomalie w kluczach rejestru RunMRU, rejestrowała wszystkie gwałtowne zmiany zawartości schowka oraz egzekwowała kompleksowe rejestrowanie blokowanych skryptów PowerShell.

2. Architektura wykrywania zmian wykraczająca poza plik

Ponieważ tradycyjne statyczne skanowanie plików nie sprawdza się w przypadku złośliwego oprogramowania bezplikowego, służby ds. bezpieczeństwa muszą analizować cały łańcuch zachowań. Systemy zabezpieczeń powinny łączyć zaawansowane filtry internetowe na obwodzie sieci, skanujące przychodzące struktury HTML/URL, z analityką behawioralną punktów końcowych, zdolną do identyfikacji charakterystycznego podpisu procesu przeglądarki wstrzykującego polecenia do narzędzi systemowych.

3. Zablokuj początkowy wektor ataku phishingowego

Chociaż interakcja z ClickFix odbywa się w sieci, początkowy link jest szeroko rozpowszechniany za pośrednictwem ukierunkowanych wiadomości phishingowych lub złośliwych reklam, które podszywają się pod zaufane marki biznesowe lub wewnętrzne domeny korporacyjne. Według raportów Centrum Bezpieczeństwa Internetowego (CIS) oraz Międzystanowego Centrum Wymiany i Analizy Informacji (MS-ISAC) organizacje sektora publicznego często otrzymują wiadomości phishingowe wykorzystujące nielegalnie przejęte subdomeny zaufanych usług (takie jak trycloudflare.com czy r2.dev) w celu ominięcia standardowych filtrów poczty elektronicznej i przekierowania ofiar na fałszywe ekrany CAPTCHA.

Wdrożenie protokołów uwierzytelniania domen, takich jak Domain-based Message Authentication, Reporting, and Conformance (DMARC), przy rygorystycznej polityce egzekwowania o wartości p=reject, znacznie ogranicza zdolność cyberprzestępców do podszywania się pod domenę Twojej organizacji podczas wysyłania tych wstępnych wiadomości phishingowych. W tym miejscu należy zachować dużą precyzję: DMARC to mechanizm weryfikacji tożsamości i ochrony marki, a nie bezpośrednie rozwiązanie problemu wykonywania kodu na urządzeniach końcowych. Nie może on powstrzymać pracownika przed wklejeniem kodu do terminala, gdy znajdzie się on już na złośliwej stronie, ale znacznie ogranicza zdolność atakującego do dostarczania bardzo przekonujących wiadomości e-mail z sfałszowaną domeną, które w pierwszej kolejności uruchamiają łańcuch ataku.

4. Zapewnienie szkoleń dla użytkowników dostosowanych do konkretnego kontekstu

Ogólne szkolenia z zakresu bezpieczeństwa korporacyjnego, które ograniczają się jedynie do pouczenia pracowników, by „nie klikali podejrzanych linków”, są całkowicie nieskuteczne w obliczu konkretnych wzorców wizualnych stosowanych przez ClickFix. Organizacje muszą wdrożyć krótkie, ukierunkowane ćwiczenia szkoleniowe skupiające się wyłącznie na tym schemacie działania. Przekaz edukacyjny powinien być jasny i praktyczny: jeśli jakakolwiek strona internetowa prosi o wklejenie tekstu do okna „Uruchom” systemu Windows lub paska adresu Eksploratora plików, należy natychmiast przerwać działanie i zgłosić to działowi IT.

5. Należy upowszechniać zgłaszanie problemów zamiast samodzielnego ich rozwiązywania

ClickFix aktywnie wykorzystuje naturalną ludzką skłonność do samodzielnego rozwiązywania drobnych problemów technicznych bez zwracania się do działu pomocy technicznej. Zespoły ds. bezpieczeństwa muszą świadomie przeciwdziałać temu zachowaniu, tworząc przejrzyste i płynne procesy zgłaszania problemów. Pracownicy muszą wiedzieć, że zgłoszenie nietypowego monitu weryfikacyjnego jest oczekiwanym i bezpiecznym działaniem.

Podsumowanie: Dbanie o czynnik ludzki

ClickFix i FileFix stanowią znaczącą zmianę taktyczną we współczesnej cyberprzestępczości. Kampanie te nie tracą czasu na poszukiwanie skomplikowanych luk typu „zero-day” w oprogramowaniu; zamiast tego wykorzystują znacznie prostszą słabość: naturalny ludzki odruch polegający na szybkim kliknięciu w celu ominięcia drobnej przeszkody technicznej. Ten prosty sposób wykorzystania ludzkich zachowań okazał się tak skuteczny, że obecnie jest aktywnie stosowany zarówno przez oportunistycznych cyberprzestępców, jak i zaawansowane sieci wywiadowcze państw.

Aby pokonać to zagrożenie, konieczna jest zrównoważona, wielopoziomowa ochrona. Organizacje muszą połączyć proaktywne monitorowanie punktów końcowych, specjalistyczne szkolenia dotyczące zachowań pracowników oraz techniczne mechanizmy uwierzytelniania, aby zablokować początkowe kanały dostarczania złośliwego oprogramowania.

Wprowadzając rygorystyczne uwierzytelnianie domen, możesz całkowicie zablokować nieautoryzowane wiadomości e-mail wysyłane z domen firmowych. Przejmij kontrolę nad zabezpieczeniami poczty elektronicznej i chroń markę swojej firmy. Skorzystaj z platformy bezpieczeństwa domen PowerDMARC , aby przeanalizować swój ekosystem poczty elektronicznej i już dziś wdrożyć aktywną obronę przed sieciami dostarczającymi wiadomości phishingowe.

Najczęściej zadawane pytania

Czym jest ClickFix w dziedzinie cyberbezpieczeństwa?

ClickFix to bezplikowa technika inżynierii społecznej, w ramach której zaatakowane strony internetowe wyświetlają fałszywe CAPTCHA lub komunikaty o błędach przeglądarki. Gdy użytkownik kliknie na taki komunikat, działający w tle kod JavaScript kopiuje złośliwe polecenie do schowka, a wyświetlane instrukcje nakłaniają użytkownika do ręcznego wklejenia i wykonania tego polecenia za pomocą zaufanych narzędzi systemowych, takich jak okno „Uruchom” w systemie Windows.

Jaka jest różnica między ClickFix a FileFix?

ClickFix nakłania ofiary do wklejania złośliwych poleceń ze schowka bezpośrednio do narzędzi systemowych z uprawnieniami administracyjnymi, takich jak okno dialogowe „Uruchom” w systemie Windows lub Terminal w systemie macOS. FileFix to bardziej zaawansowana odmiana tego ataku, która nakłania użytkowników do otwarcia standardowego okna Eksploratora plików systemu Windows i wklejenia polecenia bezpośrednio do paska adresu — jest to interfejs bardziej znany użytkownikom i trudniejszy do ograniczenia przez zespoły IT.

W jaki sposób atak typu ClickFix może zainfekować komputer bez użycia złośliwego pliku?

Atak całkowicie unika pobierania plików na początkowym etapie infekcji. Wykorzystuje natywny kod JavaScript działający w tle do przejęcia kontroli nad schowkiem systemu użytkownika. Następnie ofiara ręcznie wkleja i uruchamia ten ukryty kod za pomocą zaufanych, fabrycznie zainstalowanych narzędzi administracyjnych systemu operacyjnego – metoda ta znana jest pod nazwą „living off the land”.

Którzy cyberprzestępcy korzystają z narzędzi ClickFix i FileFix?

Technika ta jest szeroko stosowana w całym środowisku zagrożeń. Wykorzystują ją zarówno powszechnie działające grupy cyberprzestępcze zajmujące się kradzieżą danych (rozpowszechniające takie ładunki jak Lumma Stealer), jak i wysoce zaawansowane grupy szpiegowskie powiązane z państwami z wielu krajów, w tym rosyjskie APT28 i COLDRIVER, północnokoreańska Kimsuky, irańska MuddyWater oraz pakistańska APT36.

Czy oprogramowanie antywirusowe lub uwierzytelnianie wieloskładnikowe (MFA) mogą powstrzymać atak typu ClickFix?

Tradycyjne, statyczne oprogramowanie antywirusowe często nie wykrywa programu ClickFix, ponieważ podczas początkowej interakcji nie dochodzi do pobrania żadnego złośliwego pliku, który można by przeskanować. Uwierzytelnianie wieloskładnikowe (MFA) również nie jest w stanie zapobiec infekcji, ponieważ atak jest skierowany bezpośrednio na aktywne urządzenie końcowe, a nie polega na próbie przejęcia kontroli nad sesją logowania do aplikacji internetowej.

Jak mogę stwierdzić, czy CAPTCHA lub monit „napraw to” to atak typu ClickFix?

Prawdziwe narzędzie do weryfikacji użytkownika, takie jak Google reCAPTCHA, działa całkowicie w aktywnej karcie przeglądarki i nigdy nie wymaga uruchamiania zewnętrznego oprogramowania na komputerze. Każdy komunikat nakazujący użycie skrótów klawiaturowych, takich jak Win + R, otwarcie okna „Uruchom” lub wklejenie tekstu do paska adresu Eksploratora plików w celu usunięcia błędu, stanowi atak typu ClickFix.

• O
• Latest Posts

Milena Baghdasaryan

Specjalista ds. treści w PowerDMARC

Milena jest wykwalifikowaną pisarką i twórczynią treści z ponad 7-letnim doświadczeniem w tworzeniu angażujących treści na temat IT, cyberbezpieczeństwa, wirtualnych wydarzeń i nie tylko. Ma udokumentowane doświadczenie w dostarczaniu wysokiej jakości prac dla międzynarodowych magazynów i jest absolwentką prestiżowych instytucji, takich jak New York University Abu Dhabi, UWC China i College of Europe.

Najnowsze posty autorstwa Milena Baghdasaryan (zobacz wszystkie)

• Czym jest ClickFix (i FileFix)? - 8 lipca 2026 r.
• Jak wybrać dostawcę usług poczty elektronicznej: ramy oceny oparte na priorytecie bezpieczeństwa – 1 lipca 2026 r.
• Bezpieczeństwo poczty elektronicznej w Ameryce Łacińskiej: Stan wdrożenia protokołu DMARC i uwierzytelniania wiadomości e-mail w Ameryce Łacińskiej w 2026 r. – 30 czerwca 2026 r.