Как защитить свое устройство от атак ClickFix

Если вы когда-либо сталкивались с всплывающим окном «Проверка CAPTCHA», которое просит вас скопировать и вставить команду в терминал, вы уже были близки к атаке ClickFix. Эта схема социальной инженерии заразила тысячи устройств по всему миру, и её сложность растёт с каждым месяцем. Microsoft, Proofpoint и другие исследователи безопасности зафиксировали рост атак ClickFix более чем на 500% с начала 2024 года.

Это руководство объясняет, как работают атаки ClickFix, какие признаки выдают фальшивую CAPTCHA и какие шаги вы можете предпринять прямо сейчас, чтобы защитить свои устройства.

Что такое атака ClickFix

ClickFix — это техника социальной инженерии, впервые описанная исследователями Proofpoint в апреле 2024 года. Атакующие создают фальшивые веб-страницы, которые имитируют привычные элементы: проверку CAPTCHA, системные уведомления об ошибках, предложения обновлений браузера. Вместо того чтобы просто нажать кнопку «Я не робот», жертва получает инструкции скопировать код и вставить его в терминал, PowerShell или диалоговое окно «Выполнить».

Как только команда выполняется, на устройство загружается вредоносное ПО. Исследователи зафиксировали следующие угрозы через ClickFix: Lumma Stealer, NetSupport RAT, AsyncRAT, Xworm, а также загрузчики Latrodectus и MintsLoader. Эти вредоносные программы крадут учётные данные браузера, файлы cookie, данные криптокошельков и предоставляют злоумышленникам удалённый доступ к системе.

Ключевая опасность ClickFix заключается в том, что пользователь сам запускает вредоносный код. Традиционные антивирусы часто не срабатывают, потому что команда исходит от доверенного системного инструмента, а вредонос может загружаться напрямую в оперативную память, не оставляя файлов на диске

Как распознать фальшивую CAPTCHA

Настоящая проверка CAPTCHA никогда не попросит вас открывать терминал или вставлять команды. Это самое важное правило, которое нужно запомнить.

Признаки фальшивой CAPTCHA:

• Требование нажать Win+R и вставить код в диалоговое окно «Выполнить».
• Инструкция открыть PowerShell или командную строку и вставить текст.
• На macOS — просьба открыть приложение «Терминал» и выполнить команду.
• Варианты с AppleScript Editor, где страницу оформляют под вид системного уведомления о нехватке памяти.
• Неестественный язык инструкций, грамматические ошибки, несовпадение шрифтов с системными элементами интерфейса.

Если страница просит вас сделать что-либо за пределами браузера, это красный флаг. Реальная CAPTCHA работает внутри веб-страницы: вы ставите галочку, выбираете картинки, решаете головоломку. Всё. Никаких терминалов.

Шаг 1: Проверьте источник перед взаимодействием

Первый и самый эффективный шаг защиты — привычка проверять, откуда вы попали на страницу с CAPTCHA. Большинство атак ClickFix начинаются с фишинговых писем, вредоносной рекламы или скомпрометированных сайтов.

Если вы перешли по ссылке из письма — проверьте адрес отправителя. Атаки ClickFix часто имитируют Booking.com, Google, Microsoft и другие известные бренды. Настоящий Booking.com не пришлёт вам письмо с просьбой пройти CAPTCHA через PowerShell.

Если вы попали на страницу с CAPTCHA через рекламу или ссылку на форуме, посмотрите на URL в адресной строке. Поддельные страницы часто используют домены, похожие на настоящие, но с опечатками или лишними словами.

Закройте вкладку при любых сомнениях. Лучше потратить пять секунд на повторный поиск, чем разбираться с украденными данными. Социальная инженерия работает только тогда, когда жертва не задаёт вопросов. Простой вопрос «почему CAPTCHA просит меня открыть терминал?» уже достаточен, чтобы разрушить всю схему.

Шаг 2: Отключите выполнение скриптов из буфера обмена

Поскольку атака ClickFix рассчитана на то, что вы вручную скопируете и вставите код, осторожное отношение к вставляемым командам серьёзно снижает риск.

На macOS доступность встроенных предупреждений при вставке команд в терминал зависит от версии системы и используемого приложения. Проверяйте актуальные настройки безопасности и разрешения «Терминала» в вашей версии macOS. Если система предупреждает вас о потенциально опасной команде, не игнорируйте это предупреждение.

Для Windows администраторы могут использовать групповые политики и другие средства управления устройствами, ограничивающие использование диалога «Выполнить» (Win+R) и PowerShell для пользователей, которым эти инструменты не нужны в повседневной работе. В корпоративной среде Microsoft рекомендует применять политики безопасности, соответствующие потребностям организации, включая ограничение доступа к диалогу «Выполнить».

Эти меры не заменяют бдительность, но создают дополнительный барьер. Если система предупреждает вас о подозрительной команде — не игнорируйте это предупреждение.

Шаг 3: Установите инструменты мониторинга

Специализированные инструменты могут обнаружить активность ClickFix на этапе, когда вредонос пытается закрепиться в системе.

BlockBlock — бесплатный инструмент для macOS, разработанный исследователем безопасности Патриком Уордлом (Patrick Wardle). Он отслеживает попытки вредоносного ПО создать постоянные точки входа в систему: элементы автозапуска, планировщики задач, агенты и демоны. Если атака ClickFix уже была выполнена, BlockBlock может перехватить попытку вредоноса закрепиться и запросить ваше подтверждение.

На Windows аналогичную функцию выполняют Microsoft Defender и средства контроля целостности системы. Включите облачную защиту в Defender, чтобы получить актуальные данные об угрозах. Для корпоративных пользователей Microsoft Defender XDR предоставляет многоуровневую защиту, которая может выявлять признаки ClickFix на разных стадиях цепочки атаки.

Дополнительно следите за разрешениями, которые запрашивают установленные приложения. Если текстовый редактор просит доступ к контактам или системным скриптам — это повод задуматься. Тот же принцип касается расширений для браузера: ClickFix-атаки распространялись через вредоносные расширения, которые после установки получали доступ к содержимому страниц и могли перехватывать данные, вводимые в настоящие формы CAPTCHA.

Шаг 4: Обучите себя и свою команду распознавать приманки

Техника ClickFix эксплуатирует не технические уязвимости, а человеческие привычки. Люди привыкли следовать инструкциям на экране, особенно если они выглядят как стандартные системные уведомления. Именно поэтому одни лишь технологии не могут полностью остановить ClickFix.

Microsoft в своём «Отчёте о цифровой защите 2025» отмечает, что подобные атаки практически невозможно остановить исключительно техническими средствами. Одной из наиболее надёжных мер защиты остаётся информированность пользователей.

Практические шаги:

• Запомните правило: ни одна легитимная CAPTCHA не требует работы с терминалом
• При подозрении закройте вкладку и проверьте информацию через независимый поиск
• Не копируйте команды с веб-страниц, если вы не понимаете, что они делают
• В корпоративной среде проведите обучение по распознаванию приманок ClickFix

Устранение неполадок: что делать, если вы уже выполнили команду

Если вы поняли, что вставили подозрительный код в терминал, действуйте быстро. Каждая секунда важна.

• Отключите компьютер от интернета — выключите Wi-Fi или вытащите сетевой кабель. Это разорвёт соединение с сервером злоумышленников и может остановить загрузку дополнительных модулей.
• Не выполняйте дополнительные команды и не вводите учётные данные. При необходимости выключения устройства используйте обычный безопасный способ, предусмотренный вашей операционной системой; принудительное отключение питания может привести к потере данных.
• Загрузите систему в безопасном режиме и проверьте наличие незнакомых процессов, планировщиков задач и элементов автозагрузки.
• Измените пароли всех важных аккаунтов с другого, заведомо чистого устройства. Начните с почты, банковских приложений и криптокошельков.
• Обратитесь к специалисту по безопасности, если у вас нет опыта ручного анализа системы.

Если вы использовали BlockBlock или аналогичный инструмент на Mac, проверьте его журнал — он мог перехватить попытку закрепления вредоноса и показать, что именно пытался сделать атакующий код.

Дополнительные советы по безопасности ClickFix

Эти меры повысят вашу общую устойчивость к атакам социальной инженерии, не только к ClickFix:

• Используйте менеджер паролей с уникальными паролями для каждого сервиса — украденные данные одного аккаунта не дадут доступа к остальным
• Включите многофакторную аутентификацию везде, где это возможно, лучше через аппаратный ключ или приложение-аутентификатор, а не SMS
• Регулярно обновляйте операционную систему — обновления закрывают пути, которые атакующие могут использовать после ClickFix-инфекции
• Будьте особенно осторожны с рекламой на сайтах — вредоносная реклама остаётся одним из главных векторов доставки приманок ClickFix
• Проверяйте URL-адреса перед вводом данных — особенно после перехода из почты или мессенджеров. Атакующие часто регистрируют домены, отличающиеся от оригинальных одной буквой: googlc.com вместо google.com, micros0ft.com вместо microsoft.com.

Безопасность ClickFix начинается с понимания того, как работают эти атаки. Технические инструменты помогают, но ваше внимание — главный барьер. Если вы знаете, что легитимная CAPTCHA не просит работать с терминалом, вас не обманет даже самая убедительная поддельная страница. Делитесь этими знаниями с коллегами и близкими — атакующие рассчитывают на массовое незнание, и информированность — лучшее средство защиты от социальной инженерии. Чем больше людей знают о ClickFix, тем меньше выгоды получают злоумышленники от этой атаки.