Атака ClickFix: як фейкова капча змушує людину власноруч запустити шкідливе ПЗ

ClickFix за два роки пройшов шлях від нішевого трюку до найпоширенішого способу первинного проникнення в чужу систему. У Microsoft Digital Defense Report 2025 на цю техніку припадає 47% випадків первинного доступу, які зафіксувала команда Defender Experts, — більше, ніж на класичний фішинг (35%). ESET у звіті за перше півріччя 2026 року повідомляє, що кількість детектів зросла ще на 108% порівняно з другим півріччям 2025-го.

Найнеприємніше в цій техніці те, що вона не використовує жодної вразливості. Немає ані експлойта, який можна закрити оновленням, ані вкладення, яке можна заблокувати поштовим фільтром. Є лише сторінка з проханням «підтвердити, що ви не робот» — і людина, яка сама копіює команду й натискає Enter.

Що таке ClickFix

ClickFix — це техніка соціальної інженерії, у якій жертві показують фальшиву перевірку або помилку й під виглядом «виправлення» пропонують скопіювати рядок і виконати його в системі: у діалозі «Виконати» (Win + R), у PowerShell, у Терміналі macOS або в адресному рядку Провідника. Команда завантажує та запускає шкідливе ПЗ.

Перші зразки дослідники зафіксували наприкінці 2023 року в кампанії ClearFake, а назву техніка отримала 2024-го. Паралельно існує маркетингова назва «атаки типу scam-yourself» («обдури себе сам»), яку запровадила компанія Gen (Norton, Avast, AVG): під нею обʼєднують фальшиві оновлення, фальшиві інструкції, підроблені капчі й власне ClickFix. В індустрії прижився саме термін ClickFix, а решта назв описує ті самі приманки, які ведуть до того самого фіналу.

Як виглядає атака: пʼять кроків

1. Людина відкриває зламаний легітимний сайт або переходить за посиланням із реклами, соцмережі чи листа.
2. На сторінці зʼявляється вікно: перевірка «я не робот», повідомлення про застарілий браузер, помилка відтворення відео або збій завантаження документа.
3. Сторінка непомітно копіює в буфер обміну команду — жодного натискання «завантажити» не потрібно.
4. Інструкція просить натиснути Win + R, вставити скопійоване (Ctrl + V) і натиснути Enter. Варіанти: відкрити PowerShell, Термінал або вставити «шлях до файлу» в адресний рядок Провідника.
5. Команда звертається до сервера зловмисників і запускає корисне навантаження — найчастіше просто в памʼяті, без файлу на диску.

Чому це працює навіть на обережних людях

Причина не в недосвідченості жертви, а в тому, що атака обходить майже всі звичні захисні механізми:

• до пристрою не надходить ані вкладення, ані завантажений файл — поштовим і мережевим фільтрам просто нічого блокувати;
• команду виконує сам користувач, у власній сесії та зі своїми правами, до того ж через підписані Microsoft службові програми — PowerShell, mshta, rundll32, wscript;
• капчу люди проходять машинально, за секунду-дві, не читаючи, що саме від них просять;
• навчання з кібербезпеки зазвичай тренує не клікати на підозрілі посилання й не відкривати вкладення, але не виробляє рефлексу «не вставляти чужі команди в системні вікна».

Microsoft у технічному розборі техніки зазначає, що навіть на пристроях із увімкненим EDR-захистом щомісяця фіксувалися тисячі виконаних ClickFix-команд.

Чотири приманки, під якими ховається ClickFix

Фальшива капча

Найпоширеніший варіант: вікно імітує перевірку Cloudflare або Google reCAPTCHA. Після «підтвердження» зʼявляється друга сторінка з інструкцією для клавіатури. Підроблені reCAPTCHA трапляються навіть на легітимних сайтах, які зловмисники попередньо зламали.

Фальшиве оновлення

Сторінка повідомляє, що браузер або система застаріли. Один із різновидів імітує повноекранний екран оновлення Windows. Справжні оновлення ніколи не приходять зі спливаючого вікна на сайті — лише з налаштувань самої програми чи системи.

Фальшива інструкція

Відео на YouTube чи TikTok, допис на форумі або файл README, які нібито пояснюють, як полагодити дрібну проблему, активувати програму чи прибрати помилку. Характерна ознака — обовʼязковий пункт на кшталт «спочатку вимкніть антивірус, інакше не спрацює».

Фальшива помилка

Документ, який «не відкривається», відеодзвінок, у якому «не працює мікрофон», зависла сторінка або синій екран. Кожен сценарій підводить до однієї й тієї самої дії — скопіювати рядок і виконати його.

Що змінилося у 2026 році

Техніка перестала бути «атакою через капчу». За даними ESET, у першому півріччі 2026 року приманки розійшлися по нових середовищах, і зʼявилися окремі різновиди:

• FileFix — замість діалогу «Виконати» команду просять вставити в адресний рядок Провідника. Техніку описав дослідник mr.d0x у червні 2025 року; вона розрахована на те, що Провідник виглядає буденніше за системне вікно з командним рядком;
• CrashFix — фальшиві попередження та розширення браузера, які імітують збій;
• ConsentFix — той самий сценарій, але замість шкідливого ПЗ жертва надає застосунку зловмисників доступ до хмарного акаунта через OAuth. Пароль при цьому не викрадають узагалі;
• AI-fix — сторінки «допомоги», оформлені під популярні ШІ-сервіси, з інструкціями, які виглядають авторитетно;
• GlitchFix — сайт починає «глючити», після чого пропонує виправлення.

ClickFix давно вийшов за межі Windows. Netskope у 2026 році зафіксувала кампанії проти macOS: жертві показують системне вікно, а команда в Терміналі встановлює стилер на AppleScript або повноцінний інструмент віддаленого доступу. На cybercalm ми вже розбирали одну з таких кампаній проти користувачів Mac. Аналогічні сценарії існують і для Linux.

ClickFix уже застосовують проти українців

У липні 2026 року CERT-UA віднесла хвилю таких атак до угруповання UAC-0145, яке дослідники повʼязують із російським Sandworm. Упродовж червня та липня команда проаналізувала понад десять зламаних українських вебресурсів, які показували відвідувачам фальшиву капчу.

Ланцюжок виглядав так: підроблена перевірка → PowerShell-команда → VBS-файл GHETTOVIBE у теці автозапуску, який забезпечує закріплення в системі → інструмент розвідки SCOUTCURL, що збирає дані про пристрій, встановлені програми, файли та вміст браузерів. Також фіксували завантажувачі FLUIDLEECH (маскувався під програму для видалення вірусів) і LOADLOOP.

Щоб показувати приманку вибірково, зловмисники використовували сервіс приховування трафіку Cloaking.House і власний код SMARTAXE, який отримує адреси керувальних серверів зі смартконтрактів у блокчейні Ethereum — це ускладнює блокування інфраструктури. Детальніше — у нашому матеріалі про атаки Sandworm через фейкові CAPTCHA. Раніше схожий підхід застосовувало й угруповання GreyVibe, маскуючи сторінки під Zoom.

Важливий висновок для власників сайтів: приманку роздають не «хакерські» домени, а звичайні українські сайти, які зламали через застарілу CMS, викрадені паролі, вебшел або шкідливий плагін. CERT-UA окремо закликала адміністраторів і хостинг-провайдерів перевірити свою інфраструктуру.

Одне правило, яке варто запамʼятати

Жодна справжня перевірка «я не робот» не просить натиснути Win + R, відкрити PowerShell чи Термінал, вставити щось у адресний рядок Провідника або тимчасово вимкнути антивірус. Перевірка завжди відбувається всередині браузера. Якщо сайт просить вийти за його межі — це атака, і сторінку слід просто закрити.

Як розпізнати ClickFix за кілька секунд

• в інструкції є клавіатурні скорочення: Win + R, Ctrl + V, Enter, Ctrl + Shift + Enter;
• пропонують «вставити текст» будь-де поза вікном браузера;
• є вимога вимкнути антивірус або підтвердити запит адміністратора;
• капча виникла там, де її раніше не було: на кнопці відтворення відео, на посиланні для завантаження, посеред статті;
• адреса в рядку браузера не збігається з сервісом, інтерфейс якого імітує сторінка (класична ознака «спуфінгу»);
• сторінка квапить: таймер, «залишилося 30 секунд», «ваш сеанс буде завершено».

Про суміжну техніку, коли клік перехоплюють невидимим шаром поверх сторінки, ми писали в матеріалі про клікджекінг, а про підробку адрес і відправників — у розборі спуфінгу.

Що робити, якщо команду вже виконано

Найгірша реакція — вирішити, що «нічого не сталося, бо нічого не завантажилося». Відсутність видимого файлу нічого не означає: більшість корисних навантажень працює в памʼяті. Порядок дій має бути таким.

1. Відʼєднати пристрій від мережі — вимкнути Wi-Fi або витягнути кабель. Це зупиняє завантаження наступних етапів і передавання даних.
2. Не повторювати команду й не закривати все поспіхом. Якщо сторінка ще відкрита — зробити знімок екрана, він знадобиться для розслідування.
3. Подивитися, що саме було виконано. Windows зберігає історію діалогу «Виконати» в реєстрі, у гілці HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU. Тривожні ознаки в записах — powershell, mshta, rundll32, wscript, curl, скорочення iwr, irm, iex, а також IP-адреси замість доменів (пояснення дослідників Unit 42).
4. З іншого, свідомо чистого пристрою змінити паролі — спочатку до пошти, далі до банківських і державних сервісів, месенджерів і соцмереж. Одразу завершити всі активні сеанси в налаштуваннях кожного акаунта: двоетапна перевірка не рятує від украдених файлів cookie, тому сеанси треба скидати вручну.
5. Перевірити закріплення в системі: теку автозавантаження, заплановані завдання з незрозумілими назвами, нові розширення браузера, нещодавно створені профілі.
6. Виконати повне сканування — штатним Microsoft Defender або іншим антивірусом. Чистий результат не доводить, що дані не витекли: перевірка акаунтів і сканування системи — це два різні завдання.
7. Якщо є ознаки роботи стилера (несподівані входи в акаунти, зміна паролів, зникнення коштів із криптогаманця), надійніший варіант — перевстановити систему з чистого носія.
8. Якщо це робочий компʼютер — негайно повідомити ІТ-службу або відповідального за безпеку. Самостійне «лікування» знищує сліди й заважає зрозуміти, чи постраждали інші пристрої в мережі.

Як не потрапити на цю атаку

Звичайним користувачам

• оновлювати браузер і систему лише з їхніх власних налаштувань, а не за пропозицією сайту;
• нічого не вставляти в системні вікна за інструкцією з інтернету — навіть якщо джерело виглядає авторитетно;
• не шукати «безкоштовну активацію» програм: значна частина приманок живе саме на таких сайтах і в коментарях під відео;
• увімкнути двоетапну перевірку скрізь, де це можливо, — вона не рятує від крадіжки cookie, але суттєво ускладнює подальше захоплення акаунтів.

Власникам і адміністраторам сайтів

• регулярно оновлювати CMS, теми й плагіни, прибирати невикористовувані розширення;
• перевіряти сайт на сторонні скрипти, вебшели й змінені файли теми — приманку зазвичай вбудовують саме туди;
• обмежити доступ до адмінпанелі, увімкнути двоетапну перевірку для адміністраторів і змінити паролі, якщо є хоч найменша підозра на витік;
• у корпоративному середовищі — заблокувати діалог «Виконати» груповими політиками й налаштувати моніторинг записів у RunMRU.

ClickFix працює не тому, що люди неуважні, а тому, що звичка довіряти рутинним перевіркам сильніша за обережність. Саме тому єдиний надійний захист — рефлекс: якщо сайт просить виконати команду, це вже атака.