ClickFix saldırılarının egzotik olduğu zamanların üzerinden çok geçmedi. Şimdi ise bu teknik, saldırganların PC ve Mac kullanıcılarına bulaşma konusundaki basitliğinden ve etkinliğinden faydalanmasıyla ana akım haline geldi.

Tek gereken ele geçirilmiş bir web sitesi (ki bu yeterince kolay bir görev), sahte bir CAPTCHA katmanı ve tek bir terminal komutunun eklenmesidir. O kadar çok ziyaretçi komutu kopyalayıp çalıştırma tuzaklarına düşüyor ki, neredeyse her zararlı yazılım dağıtıcısı bu tekniği benimsemiş durumda. Kremlin destekli hackleme grupları bile bu kervana katılıyor.

Bağımsız araştırmacı Kevin Beaumont Perşembe günü yaptığı gözlemde, "Reddit, ClickFix yoluyla bilgisayarlarına virüs bulaşan insanların gönderileriyle dolup taşıyor" dedi. Beaumont, "Her yerde meşru web siteleri, sahte CAPTCHA istemleri sunmak için hackleniyor" diye ekledi.

Durumu kaçımız daha da kötüleştiriyoruz? Bu siteyi okuyanların hatırı sayılır bir kısmı dahil olmak üzere daha deneyimli internet kullanıcıları, saldırıyı hemen göz ardı ediyor. Genellikle bu dolandırıcılığın kurbanı olan insanları suçluyor ve onların saflığına ile dikkatsizliğine şaşıyorlar.

Gerçek şu ki, daha sıradan kullanıcılar için bilgisayar ve internet kullanımı o kadar zor hale geldi ki; kapatılması imkansız arayüzler, analiz edilecek sonsuz resim serileri içeren CAPTCHA'lar ve aradıkları özellikleri gömen sürekli değişen arayüzler yüzünden insanlar saçma ve külfetli gelen talimatlara karşı duyarsızlaştı.

ClickFix saldırganları bu yorgunluktan yararlanıyor. Genellikle saldırılar, çoğunlukla Cloudflare'den gelen biri gibi gizlenen basit bir CAPTCHA resmiyle başlar.

Kutucukla etkileşime girdikten sonra kullanıcı, genellikle herhangi bir zararlı komutu maskelemek için gizlenmiş bir metin satırı görür. Ardından kullanıcıya, metni kopyalayıp Windows Çalıştır, PowerShell veya macOS terminaline yapıştırması ve Enter tuşuna basması talimatı verilir.

Talimatlar, insanların yıllardır kullandığı web sitelerinden gelir. Yönlendirmeler, on yıldır yapmaları istenen şeylerden daha şüpheli görünmez. Bilgisayar güvenliği hakkında sağlam bir anlayışı olmayan birinin tereddüt etmek için neden ne sebebi olabilir ki?

Saldırının arkasındaki kişiler için ClickFix, işlerini çok daha kolay hale getiriyor. Güvenlik firması BlueVoyant geçtiğimiz günlerde, zararlı yazılım yüklemekten sorumlu kişilerin daha önce kullandığı ve Lorem Ipsum olarak takip edilen yöntemin, SEO manipülasyonlu ve kötü amaçlı reklam içeren indirme portalları, Microsoft onaylı imzalama sertifikaları ve Microsoft Installer paketlerini sunmak için sürekli döndürülen etki alanları dahil olmak üzere kaynak yoğun altyapı gerektirdiğini söyledi.

BlueVoyant, "Mayıs 2026'nın sonlarında ClickFix'e geçiş, kod imzalama gereksinimini tamamen ortadan kaldırıyor ve geçerli olarak imzalanmış bir yükleyicinin meşruiyetini farklı bir meşruiyet biçimiyle değiştiriyor: kullanıcının kendi terminalinde zararlı komutu gönüllü olarak çalıştırması" dedi. Şirket, "ClickFix modeli kurban havuzunu özellikle Microsoft Teams arayan kullanıcılardan, güvenliği ihlal edilmiş bir web sitesine göz atan herkese genişletirken" diye ekledi.

macOS kullanıcıları için durum hiç de daha iyi değil. Hem Mac güvenlik firması Jamf hem de bir araştırmacı, Gatekeeper korumalarını atlayabilen macOS ClickFix varyasyonlarını belgeledi.

Cisco Talos'a göre ClickFix saldırganları, kamuya açık Google Sheets belgeleri de dahil olmak üzere kamu hizmetlerini kullanmanın yeni yollarını bulmaya devam ediyor. Rusya'nın devlet destekli Sandworm grubu da dahil olmak üzere diğer saldırganlar, kontrol altyapılarını blok zinciri tabanlı akıllı sözleşmelerde barındırıyor.

Güvenlik firması Netskope kısa süre önce aynı yaklaşımı kullanan başka bir kampanya buldu. Güvenlik şirketi, buna sinyal gönderen 5.400 site saydı; bu, söz konusu kampanyanın erişiminin ve kapsamının bir göstergesidir.

İşletim sistemi üreticileri ve savunucular yeni savunmalar inşa ettikçe, saldırganlar bunların etrafından dolaşmanın belgelenmiş yollarını bulmaya devam ediyor. Bütün bunlardan çıkarılacak sonuç, ClickFix'in her türlü zararlı yazılımı yaymak için son derece etkili ve verimli bir araç olduğudur.

Ortadan kaybolmuyor ve kurbanı suçlamak veya utandırmak sorunu yalnızca daha da kötüleştiriyor. ClickFix saldırılarının başarısını sekteye uğratmak için tasarlanmış hatırı sayılır sayıda eklenti, bağımsız ürün ve yerleşik savunma mevcut.

Örneğin, Mac'leri kalıcı olarak kurmak isteyen süreçlere karşı izleyen yazılım olan BlockBlock, kullanıcı ⌘+V tuşlarına basar basmaz ClickFix saldırılarını engelleyebilir. Ublock benzer bir şey yapacak şekilde güncellendi.

Bu düzeltmelerin ötesinde, daha fazla güvenlik eğitimine sahip olanlarımız, daha az deneyimli komşularımız, aile üyelerimiz ve arkadaşlarımızla farkındalık oluşturmalıdır. ClickFix'in kitlesel olarak benimsenmesi başarısını göstermektedir ve yakın zamanda hiçbir yere gitmeyecektir.