Мошенники научились превращать привычную проверку «я не робот» в инструкцию по заражению компьютера. Достаточно один раз вставить предложенную команду — и вредонос уже запускается от имени пользователя, обходя часть привычных защит.
Новая волна заражений набирает обороты из‑за приёма, который выглядит почти как обычная рутина в интернете: пользователь видит «проверку» на сайте и получает инструкцию вставить одну команду в системное окно. Этот метод, известный как ClickFix, стал популярным потому, что не требует сложной доставки вредоносного файла — человек запускает всё сам.
Как устроена схема ClickFix
Типичный сценарий начинается с взломанного сайта. Поверх страницы появляется фальшивое окно проверки (часто стилизованное под CAPTCHA), после чего человеку предлагают «завершить проверку» нестандартным способом.
- Пользователь видит изображение или оверлей «проверки», который выглядит правдоподобно.
- Дальше показывают строку текста, нередко визуально замаскированную, чтобы команда не бросалась в глаза.
- Человеку предлагают скопировать текст и вставить его в Windows Run, PowerShell или в Терминал macOS, затем нажать Enter.
Ключевой момент: вредоносная часть запускается не «сама по себе», а как действие пользователя. Поэтому схема работает даже там, где автоматическая установка сильно усложнена.
Почему это стало массовым
ClickFix использует усталость людей от бесконечных «разрешить cookies», всплывающих окон, усложнённых проверок и меняющихся интерфейсов. Когда сайты годами требуют странных действий, часть пользователей перестаёт воспринимать «инструкции на экране» как сигнал опасности.
Исследователи и вендоры по безопасности отмечают ещё один практический эффект: переход к ClickFix заметно снижает порог для преступников. В частности, такой подход позволяет обойти необходимость в код‑подписи установщика и делает круг потенциальных жертв шире — под удар попадают не только те, кто целенаправленно ищет конкретную программу, а любой посетитель взломанного сайта.
macOS тоже в зоне риска
У macOS атаки развиваются по той же логике: вместо попыток «протащить» приложение через привычные барьеры безопасности пользователя подталкивают выполнить команду вручную. Описаны варианты ClickFix, которые нацелены на обход защитных механизмов уровня Gatekeeper за счёт социального инжиниринга и цепочек действий, выполняемых самим человеком.
Что делать обычному пользователю и команде в компании
- Никогда не вставляйте команды из «капчи» или «проверки» в Run/PowerShell/Terminal. Настоящая проверка не требует запускать системные команды.
- Если сайт просит открыть Run или терминал — закрывайте вкладку, даже если ресурс знакомый: страница могла быть подменена через взлом или вредоносную вставку.
- Снижайте контакт с вредной рекламой и оверлеями: блокировщики рекламы и анти‑трекеры часто отсекают часть подобных сценариев на уровне страницы.
- Обновляйте ОС и браузер: это не отменяет социальную инженерию, но уменьшает шанс, что заражение закрепится или получит лишние права.
- В компаниях полезны простые правила: запрет на запуск команд «по инструкции с сайта», короткая памятка для сотрудников и понятный канал, куда можно переслать подозрительный скриншот, чтобы быстро проверить риск.
ClickFix держится не на «супер‑эксплойте», а на привычках людей. Поэтому лучший результат дают не только технические меры, но и нормальная, спокойная профилактика: объяснить близким и коллегам, что терминал и окно Run — не место для текста из браузера.
Источник: Ars Technica
