ClickFix, kurbanın zararlıyı kendi eliyle çalıştırdığı bir sosyal mühendislik tekniği. Exploit, ek dosya ya da indirme olmadığı için klasik tarayıcı ve dosya taramaları zinciri çoğu zaman göremiyor. CTM360'ın Eylül 2026'da yayımladığı "ClickFix Beyond" raporu, tekniğin bugün nasıl bir altyapıya dönüştüğünü ayrıntılı gösteriyor.
Rakamlar
- Sahte Cloudflare doğrulama sayfası sunan 17.000'den fazla ele geçirilmiş adres tespit edildi; rapor yazılırken yaklaşık 3.000'i hâlâ aktifti.
- Rapora göre Microsoft, 2025'te Defender Experts ekibinin ele aldığı ilk erişim vakalarının %47'sini ClickFix'e bağladı.
- ESET, 2025'in ilk yarısında %517, 2026'nın ilk yarısına kadar ise ek olarak %108 artış ölçtü.
- MITRE ATT&CK, tekniği Mart 2025'te T1204.004 (Malicious Copy and Paste) olarak ekledi.
Zincir
- Giriş noktası: Çoğunlukla ele geçirilmiş WordPress siteleri. İncelenen bir sunucuda yükleyici, eklenti listesinde görünmeyen bir must-use eklentiyle her isteğe ekleniyordu; ayrıca yaklaşık iki düzine arka kapı yönetici hesabı açılmıştı.
- Yem: Tamamlanmayan doğrulama, açılmayan sayfa ya da macOS'ta "disk dolu" uyarısı. Sayfa, kullanıcı fark etmeden panoya bir komut kopyalıyor.
- Kullanıcı eylemi: Kullanıcı Çalıştır kutusunu, PowerShell'i ya da Terminal'i açıp komutu yapıştırıyor. FileFix gibi varyantlarda Dosya Gezgini'nin adres çubuğu kullanılıyor.
- Altyapı: Yem sunucusunun adresi bir Polygon akıllı sözleşmesinden okunuyor (EtherHiding); komuta sunucusu adresleri Telegram kanalları ve bir Steam profili üzerinden çözülüyor.
- Yük: İncelenen zincirin sonunda Vidar var; imzalı bir Microsoft dosyasının içinde DLL side-loading ile, iki katman AES şifre çözme sonrası çalışıyor.
Analizi zorlaştıran özellikler
- Sandbox ve tarayıcı botlarına temiz sayfa gösteriliyor; temiz sandbox sonucu sitenin güvenli olduğu anlamına gelmiyor.
- Platform (Windows, macOS, Linux) sunucu tarafında açılıp kapatılabiliyor; analiz sırasında hangi yükün geleceği makine parmak izine bağlı.
- Yem alan adları çok hızlı değiştiği için alan adı engellemenin faydası sınırlı.
Savunma
- Kullanıcı kuralı: Hiçbir meşru site, doğrulama ya da güncelleme sizden Çalıştır kutusuna, PowerShell'e, Terminal'e veya Dosya Gezgini adres çubuğuna komut yapıştırmanızı istemez. İsterse saldırı odur.
- Yönetilen tarayıcılarda siteden panoya yazmayı varsayılan olarak engelleyin.
- Betik yorumlayıcılarının ve indirme araçlarının (
powershell,mshta,curl,osascript) internete doğrudan değil, kimlik doğrulamalı bir proxy üzerinden çıkmasını sağlayın. - Explorer'ın Çalıştır kutusundan başlatılan PowerShell süreçlerini (RunMRU kayıt anahtarı) tespit kuralına ekleyin.
- Site sahipleri için: Temizlikte yalnızca görünen betiği silmeyin;
wp-content/mu-pluginsklasörünü ve beklenmeyen yönetici hesaplarını kontrol edin.