ClickFix с момента появления в 2024 году стал одним из излюбленных методов киберпреступников. Он набирает обороты и обрастает новыми вариантами: FileFix, InstallFix, TerminalFix и полностью браузерный ConsentFix. Приманки становятся всё изощрённее, и в последнее время атаки всё чаще нацелены на тех, кто ищет и использует инструменты на основе ИИ. Это сбивает с толку многих пользователей, поскольку такие атаки сливаются с легитимным трафиком к одобренным корпоративным GenAI-сервисам.
Данные компании Push показывают масштаб распространения: во втором квартале 2026 года на ClickFix приходилось в среднем 52% обнаружений, и это первый раз, когда метод обошёл AiTM- и device code-фишинг. В августе показатель достиг 67%. Среди всех браузерных атак, которые перехватывает Push, каждая вторая приходит не по электронной почте, а через поисковые системы и соцсети. Остальные — по почте, но не блокируются на почтовом шлюзе. ClickFix идёт дальше: 4 из 5 перехваченных в 2026 году страниц ClickFix были достигнуты из поисковиков — через скомпрометированные сайты, вредоносную рекламу и SEO-отравление.
Последние варианты ClickFix используют в качестве приманки ИИ-инструменты. В последнем квартальном отчёте Push атаки InstallFix и LLMshare на тему ИИ составили около 5% всех обнаруженных атак, и их доля растёт. Другие исследователи видят ту же картину. ANY.RUN связала 1258 публичных анализов в песочнице с кампаниями поддельных ИИ-инструментов в период с 15 апреля по 5 октября 2026 года, причём 81% из них выдавали себя за Claude, ChatGPT или Codex. Как минимум 45% приходились на кампании, где жертву просили вставить команду через поддельные страницы установки CLI или фальшивые страницы загрузки с ClickFix, а ещё четверть начиналась в общем ИИ-чате или артефакте.
Эти приманки работают потому, что распространение ИИ привило работникам две привычки. Первая — установка инструментов из терминала. Claude Code и подобные средства поставляются с установкой одной командой в терминале, поэтому люди, которые раньше никогда не открывали командную строку, теперь вставляют команды с веб-страниц как обычную часть знакомства с новым инструментом. Классической странице ClickFix приходится выдумывать причину, чтобы пользователь что-то вставил. Жертва InstallFix приходит, ожидая выполнить команду, и атакующему остаётся лишь подменить её на вредоносную.
Вторая привычка — искать ИИ-приложения в поиске, а не переходить на них напрямую. Многие попадают на ежедневно используемые ИИ-инструменты, вбивая название в поисковик, а сотрудники осваивают новые ИИ-приложения быстрее, чем службы безопасности успевают их одобрить. Обе привычки приводят пользователя на страницу результатов поиска, где и происходит доставка ClickFix.
Push впервые описала InstallFix в марте 2026 года: клонированные страницы установки таких инструментов, как Claude Code, Codex и NotebookLM (у которого даже нет десктопного установщика), продвигались через поисковую рекламу. Атакующий копирует легитимную страницу и заменяет команду установки на ту, что доставляет вредоносное ПО.
В последнем проанализированном Push кластере поиск Google по запросу «claude mac» выдал спонсируемый результат, отображающий домен bing.com. Реклама проводила посетителя через собственный редирект Bing для отслеживания кликов на скомпрометированный розничный сайт, который перенаправлял на поддельную страницу «Download Claude». Два уровня маскировки — проверка реферера на стороне сервера на скомпрометированном сайте и скрипт на поддельной странице — отправляют всех, кто пришёл не по рекламе, на безобидную страницу или 404.
Сама приманка устроена так, чтобы обмануть и внимательного пользователя, и любые средства контроля, считывающие экран. На странице отображается подлинная команда установки от Anthropic, но её кнопка копирования помещает в буфер обмена другую команду. Эта команда сначала печатает в терминале легитимный URL claude.ai, затем декодирует скрытый URL и передаёт загруженный скрипт напрямую в оболочку, не сохраняя его на диск. Пользователь, проверив страницу и наблюдая за терминалом, видит домен Anthropic оба раза. Push уже встречала этот трюк и в других приманках, и поскольку наборы инструментов ClickFix быстро копируют функции друг друга, он распространяется стремительно.
LLMshare — техника, о которой Push сообщила в мае 2026 года, — злоупотребляет функциями совместного доступа ИИ-чат-ботов. Атакующие создают общие чаты и артефакты в ChatGPT и Claude, содержащие вредоносные инструкции по установке или ссылку на поддельную страницу загрузки, и продвигают их через поисковую рекламу. Поскольку приманка размещена на chatgpt.com или claude.ai, инструменты, полагающиеся на проверку репутации URL, имеют все основания ей доверять.
В новейшей версии используются кастомные GPT, которые превращают приманку из статичной страницы в диалог. Кастомный GPT — это настроенная версия ChatGPT, которую может создать и распространять любой владелец платного аккаунта; её создатель прописывает скрытые инструкции, управляющие каждым ответом. В проанализированном Push случае что бы пользователь ни вводил, GPT отвечал поддельным «Уведомлением о доступности сервиса» со ссылкой на страницу Google Sites, которая доставляла Windows-полезную нагрузку ClickFix. На момент наблюдения у него было более 10 000 разговоров.
Кастомный GPT убедительнее общего чата, потому что пользователь должен сначала воспользоваться им обычным образом, прежде чем появится вредоносная ссылка. До этого момента страница ведёт себя так, как ожидает пользователь, а поддельное уведомление о сбое выглядит как рутинная проблема сервиса.
Отчёт Microsoft Digital Defense Report 2026 показывает, что объём ClickFix продолжает быстро расти. Количество атак ClickFix выросло примерно в 23 раза с декабря 2025 по май 2026 года, а только с февраля по начало мая Microsoft Defender наблюдал выполнение команд, предоставленных атакующими в стиле ClickFix, более чем на 1,1 млн уникальных устройств. По словам Microsoft, ClickFix сейчас — «одна из наиболее эффективных по конверсии техник первоначального доступа», причём 96,3% вторжений ClickFix приводят к заражению вредоносным ПО.
ClickFix обходит типичные средства обнаружения по нескольким причинам. Почтовые шлюзы не видят страницу, на которую пользователь попал из результатов поиска. Проверка репутации URL и блок-листы видят bing.com, chatgpt.com, sites.google.com или легитимный сайт, который был скомпрометирован, а основные наборы теперь используют EtherHiding — хранение конфигурации в смарт-контракте на публичном блокчейне. Сервера, который можно было бы отключить, нет, и оператор может сменить URL полезной нагрузки на каждом скомпрометированном сайте одной транзакцией.
Срабатывания обнаружений на скомпрометированных или легитимных сайтах часто удивляют новых клиентов Push. Легитимные сайты фигурируют и в других звеньях цепочки: как редиректы, как хостинг на сервисах вроде Google Sites и, как показано, на самих ИИ-платформах.
Защита конечных точек — последняя линия обороны после того, как пользователь вставил команду, и ClickFix создан, чтобы её пройти. Пользователь запускает команду в легитимной оболочке, поэтому она не соответствует цепочкам процессов, которые ищут правила EDR, и выполняется в памяти, не оставляя файла для детонации в песочнице. Push также наблюдала 84 формы команд в более чем 20 бинарниках, обфусцированных для обхода сопоставления строк. А на устройствах BYOD, машинах подрядчиков, Mac и рабочих станциях разработчиков, где EDR часто отсутствует или ослаблен, защиты нет вовсе.
Такие атаки трудно расследовать постфактум, потому что многие срабатывают только при определённых условиях. Кампания ConsentFix, обнаруженная Push в декабре 2025 года и связанная с российским государственным формированием APT29, показывала приманку только посетителям, вводившим адрес электронной почты из списка целей атакующего. Каждый скомпрометированный сайт в кампании также имел общий список IP-адресов, поэтому после того, как посетителю показали приманку, она больше никогда не появлялась для этого IP ни на одном из них. К моменту, когда аналитик проверит переданный URL, приманка может быть уже заменена или удалена, либо страница просто загрузится чисто для всех, кто пришёл не так, как жертва.
Компания Push предлагает бесплатную оценку браузерной безопасности — 30-дневный пробный период полной платформы, развёртываемой через MDM менее чем за час. По итогам пробного периода вы получаете отчёт об обнаруженных браузерных атаках, о том, как сотрудники используют ИИ-инструменты и чем делятся с ними, а также об аккаунтах и браузерных расширениях, которые оставляют вас открытыми для захвата аккаунта. В недавнем испытании в финансовой компании с примерно 4500 сотрудников Push обнаружила и заблокировала 6 атак ClickFix и 10 попыток AiTM-фишинга, которые пропустил существующий стек безопасности, перехватив их в браузере до того, как полезные нагрузки ClickFix достигли конечной точки.
Чтобы узнать больше о том, как остановить браузерные атаки вроде ClickFix, AiTM- и device code-фишинга, получить видимость и контроль над ИИ-инструментами, которые использует ваш персонал, и выявить аккаунты, подверженные риску захвата, запросите демонстрацию.
Материал подготовлен при поддержке Push Security.
Источник: bleepingcomputer.com
Дополнительные источники: techcrunch.com, zdnet.com, hackernoon.com, github.com, privent.ai, cyvra.com.br, singulr.ai, svgweave.com