Эволюция техник ClickFix
Технология ClickFix стала одним из самых распространенных методов кибератак с момента своего появления в 2024 году, развившись и включив в себя широкое семейство подметодов, таких как FileFix, InstallFix и TerminalFix. Согласно данным компании Push Security, к августу 2026 года на долю этих атак приходилось 67% от общего числа обнаруженных угроз, что позволило им превзойти традиционные методы фишинга, такие как AiTM.
Искусственный интеллект как инструмент приманивания
В настоящее время злоумышленники используют увлечение пользователей инструментами искусственного интеллекта (GenAI) для проведения своих атак. Эта стратегия опирается на два факта: во-первых, на привычку сотрудников копировать команды установки с веб-страниц напрямую в интерфейс командной строки (Terminal), а во-вторых, на все большую зависимость от поисковых систем для доступа к инструментам искусственного интеллекта вместо прямого посещения их официальных сайтов.
Инновационные механизмы атак
- InstallFix: Злоумышленники создают фальшивые страницы установки, имитирующие популярные инструменты, такие как Claude Code. При нажатии на кнопку «Копировать» настоящая команда заменяется вредоносной, которая запускает скрипт непосредственно в оперативной памяти без сохранения файлов на диск, что затрудняет ее обнаружение.
- LLMshare: Использование функций совместного использования на таких платформах, как ChatGPT и Claude. Злоумышленники создают чаты или элементы Artifacts, содержащие вредоносные ссылки, что обеспечивает им высокую степень надежности благодаря размещению на доменах официальных платформ.
- Custom GPTs: Использование специализированных моделей GPT, которые взаимодействуют с пользователем как служба технической поддержки, в конечном итоге перенаправляя его на внешние страницы с вредоносной полезной нагрузкой.
Почему традиционная защита терпит неудачу?
Атаки ClickFix успешно обходят системы безопасности по нескольким ключевым причинам:
- Обход шлюзов электронной почты: Большинство этих атак начинаются через поисковые системы или вводящую в заблуждение рекламу, минуя проверку электронной почты.
- Использование легитимной инфраструктуры: Злоумышленники полагаются на надежные или взломанные сайты и применяют такие технологии, как EtherHiding, для хранения конфигураций атак в смарт-контрактах блокчейна, что делает невозможным отключение серверов.
- Выполнение в памяти: Поскольку команды выполняются в легитимном интерфейсе командной строки, они не вызывают срабатывания предупреждений традиционных антивирусных программ, которые ищут определенные паттерны подозрительных операций.
Что это значит для пользователей?
Эти атаки доказывают, что традиционной осведомленности в вопросах безопасности уже недостаточно. Пользователь больше не находится в безопасности просто потому, что он находится на надежном сайте или использует известный инструмент искусственного интеллекта. Практика «копирования и вставки» команд установки из интернета представляет собой критическую уязвимость безопасности, поскольку злоумышленники могут манипулировать тем, что пользователь фактически копирует в буфер обмена устройства (Clipboard), что делает проверку команд перед их выполнением крайней технической необходимостью.