ClickFix Tekniklerinin Evrimi
ClickFix tekniği, 2024 yılındaki ortaya çıkışından bu yana siber saldırıların en yaygın yöntemlerinden biri haline gelmiş; FileFix, InstallFix ve TerminalFix gibi geniş bir alt yöntem ailesini kapsayacak şekilde gelişmiştir. Push Security verilerine göre bu saldırılar, Ağustos 2026 itibarıyla toplam güvenlik tespitlerinin %67'sini oluşturarak AiTM gibi geleneksel oltalama yöntemlerini geride bırakmıştır.
Bir Cazibe Aracı Olarak Yapay Zeka
Saldırganlar şu anda saldırılarını gerçekleştirmek için kullanıcıların üretken yapay zeka (GenAI) araçlarına olan ilgisinden yararlanmaktadır. Bu strateji iki gerçeğe dayanmaktadır: Birincisi, çalışanların kurulum komutlarını web sayfalarından doğrudan Komut İstemi'ne (Terminal) kopyalamaya alışmış olması; ikincisi ise yapay zeka araçlarına doğrudan resmi siteleri üzerinden erişmek yerine arama motorlarına olan güvenin giderek artmasıdır.
Yenilikçi Saldırı Mekanizmaları
- InstallFix: Saldırganlar, Claude Code gibi popüler araçları taklit eden sahte kurulum sayfaları oluşturur. "Kopyala" düğmesine tıklandığında, gerçek kod komutu, diske dosya kaydetmeye gerek kalmadan doğrudan bellekte bir komut dosyası çalıştıran kötü amaçlı bir komutla değiştirilir; bu da tespit edilmesini zorlaştırır.
- LLMshare: ChatGPT ve Claude gibi platformlardaki paylaşım özelliklerinden yararlanılır. Saldırganlar, kötü amaçlı bağlantılar içeren sohbetler veya "Artifacts" (Yapıtlar) oluşturarak resmi platformların etki alanlarında barındırılmaları sayesinde yüksek düzeyde güvenilirlik elde eder.
- Custom GPTs: Kullanıcıyla teknik destek hizmeti gibi etkileşim kuran ve sonunda onu kötü amaçlı yükler içeren harici sayfalara yönlendiren özel GPT modellerinin kullanımı.
Geleneksel Savunmalar Neden Başarısız Oluyor?
ClickFix saldırıları birkaç temel nedenle güvenlik sistemlerini atlamayı başarmaktadır:
- E-posta Ağ Geçitlerini Atlatma: Bu saldırıların çoğu e-posta taramasından uzak durarak arama motorları veya yanıltıcı reklamlar aracılığıyla başlar.
- Meşru Altyapı Kullanımı: Saldırganlar güvenilir veya ele geçirilmiş web sitelerine güvenirler ve sunucuların kapatılmasını imkansız hale getirmek için blok zincirindeki akıllı sözleşmelerde saldırı ayarlarını saklamak amacıyla EtherHiding gibi teknikler kullanırlar.
- Bellekte Çalıştırma: Komutlar meşru bir komut isteminde yürütüldüğü için, belirli şüpheli işlem kalıplarını arayan geleneksel antivirüs programlarının uyarılarını tetiklemez.
Bu, Kullanıcılar İçin Ne Anlama geliyor?
Bu saldırılar, geleneksel güvenlik farkındalığının artık yeterli olmadığını kanıtlamaktadır. Kullanıcı artık yalnızca güvenilir bir web sitesinde veya bilinen bir yapay zeka aracını kullanırken güvende değildir. Kurulum komutlarının web'den "kopyalanıp yapıştırılmasına" güvenmek kritik bir güvenlik açığı teşkil etmektedir; çünkü saldırganlar kullanıcının cihazın panosuna (Clipboard) gerçekten ne kopyaladığını manipüle edebilir, bu da komutların yürütülmeden önce doğrulanmasını son derece önemli bir teknik zorunluluk haline getirmektedir.