ภัยคุกคามมัลแวร์ต่อเนื่องยังคงมุ่งเป้าผู้ใช้ทั่วโลก

จินตนาการหน้าเว็บที่ดูเหมือน CAPTCHA ที่ถูกต้อง "อัปเดตเบราว์เซอร์" หรือกล่องโต้ตอบช่วยแก้ไขที่มีประโยชน์ หน้านั้นคัดลอกข้อความหรือโค้ดชุดหนึ่งเข้า clipboard ของคุณทันที แล้วบอกคุณให้เปิด Run, Terminal หรือ File Explorer และวางมันที่นั่นเพื่อ "ยืนยัน" หรือ "แก้ไข" หน้า

เมื่อคุณวางและกด Enter คุณเพิ่ง execute ใครสักคนวางบน clipboard ของคุณ — บ่อยครั้งคือคำสั่ง PowerShell หรือ shell ที่ดาวน์โหลดและรันมัลแวร์เพิ่มเติม การกระทำผู้ใช้เพียงอย่างเดียวแปลงความสงสัยเป็นการถูกแฮก

นั่นเป็นความจริง: นี่คือวิธีที่ ClickFix (และโดยการขยาย FileFix) social engineering security attacks ทำงาน ทำไมจึงอันตราย และทำไมพวกมันไม่ไหนจะหายไป

มัลแวร์นี้ทำคุณติดเชื้อตัวเอง

ClickFix 登場ครั้งแรก 2024 และวิวัฒนาการเป็นหลายสิบ variation พื้นฐานดูบ้าคลั่งและไม่น่าเชื่อ แต่ทำความเข้าใจได้เมื่อคุณรู้ว่าบางด้านน่เชื่อถือมาก คุณไม่ใช่คนแรกที่พูดว่า "ไม่มีทางฉันจะ copy-paste อะไรเข้าคอมพิวเตอร์" และคุณถูกต้อง แต่เหมือนหลายหลอกลวง คุณอาจไม่ใช่เป้าหมายจริง พิจารณาผู้เปราะบางใช้คอมพิวเตอร์ และคุณจะได้ไอเดียดีกว่าว่าทำไมมันเป็นปัญหาใหญ่

1. คุณตกอยู่บนหน้าเว็บที่ดูเหมือน CAPTCHA ที่ถูกต้อง อัปเดตเบราว์เซอร์ หรือพรอมพ์ซ่อมแซมระบบ หน้าอ้างว่ามีบางอย่างผิด และบอกคุณ "แก้ไข" โดยการวางคำสั่งสั้นลงใน Run dialog หรือหน้าต่าง PowerShell
2. โดยที่ผู้ใช้ไม่รู้ และไม่อยู่ในมุมมอง โจรใช้ JavaScript แอบแฝงโค้ดอันตรายเข้า Clipboard มีคำสั่งซ่อนดาวน์โหลดมัลแวร์เพิ่มเติม
3. เหยื่อได้คำแนะนำเปิด Run dialog กด CTRL + V แล้ว Enter — execute คำสั่งอันตรายและดาวน์โหลดมัลแวร์เพิ่ม

เมื่อคำสั่ง execute แล้ว อะไรก็อาจเกิดขึ้น เหยื่อไม่รู้ว่าจะเกิดอะไรบนคอมพิวเตอร์ และผลลัพธ์อาจเป็น infostealers, ransomware, remote access Trojans และอื่นๆ ทั้งหมดดาวน์โหลดตรงเข้าเครื่องของคุณ

ตามคาด โจมตี ClickFix ส่วนใหญ่มุ่งเป้า Windows users เหมือนมัลแวร์ส่วนใหญ่ทั่วโลก อย่างไรก็ตาม ผู้ใช้ macOS ไม่ได้ปลอดภัย บริษัทความปลอดภัยอย่าง Emsisoft และ Fortinet ทั้งคู่บันทึกการโจมตี ClickFix มุ่งเป้า macOS และเน้นว่า macOS ไม่ immune ต่อมัลแวร์

ClickFix เริ่มต้นอย่างไร

ClickFix มาจากไหนต้นทาง?

เหมือนมัลแวร์ส่วนใหญ่ การโจมตี ClickFix เริ่มต้นทั่วไปด้วยอีเมลฟิชชิงและเว็บไซต์ที่ถูกแฮก นักวิจัยติดตามแคมเปญปลอมเป็น GitHub, Booking.com และแม้แต่หน้ายืนยัน Cloudflare หน้าปลอมมักส่งผ่าน:

• อีเมลฟิชชิงลิงก์ไปหน้า "Fix verification" หรือ "Account validation"
• Malvertising และอัปเดตเบราว์เซอร์ปลอมผ่าน ad networks
• Redirect จากเว็บไซต์ที่ถูกต้องแต่ถูกแฮก
• ลิงก์โซเชียลมีเดียดันคำแนะนำ "patch" ปลอม

เมื่อมัลแวร์ดาวน์โหลดผ่านวิธีข้างต้น เหยื่อได้รับคำแนะนำวิธีลบไวรัสจากระบบ อย่างไรก็ตาม คำแนะนำเหล่านั้นจริงๆ ดาวน์โหลดมัลแวร์เพิ่มเติม ซึ่งมักอันตรายกว่าการติดเชื้อต้นทาง

ในนั้น ClickFix ไม่ได้เป็นประเภทมัลแวร์จริง มันคือวิธีการส่งมอบ (delivery method) นี่คือเหตุผลที่ ClickFix ถือเป็น social engineering attack: มันหลอกเหยื่อทำสิ่งอันตราย นี่คือเหตุผลที่มันมีประสิทธิภาพมาก เพราะเหยื่อคือผู้สั่งและ execute การดาวน์โหลดมัลแวร์ มันข้ามการป้องกันในตัวของ Windows ส่วนใหญ่ เพราะคุณระบุและ execute เอง

FileFix ใช้ File Explorer ดาวน์โหลดมัลแวร์

เพิ่มเติม มีรุ่นใหม่ของ ClickFix ที่รู้จักว่า FileFix

เผยแพร่ครั้งแรก มิถุนายน 2025 โดยนักวิจัยความปลอดภัย mr.d0x การโจมตีนี้ใช้ File Explorer ใน Windows รันคำสั่งอันตรายเดียวกันเพื่อดาวน์โหลดมัลแวร์

ดังนั้น แทนที่จะต้องเปิด Run dialog หรือ PowerShell การโจมตีนี้สั่งให้เหยื่อเปิด File Explorer จากนั้น เหยื่อคัดลอกสคริปต์อันตรายเข้า address bar ของ File Explorer และกด Enter execute คำสั่งได้อย่างมีประสิทธิภาพ

จากนั้น ผลลัพธ์คล้าย ClickFix มัลแวร์เพิ่มเติมดาวน์โหลด ติดเชื้อเครื่องของคุณต่อ

ClickFix ไม่ไหนจะหายไป

ตัวเลขไม่ได้โกหก

ปัญหาของ ClickFix ไม่ใช่แค่ลับลม มันยังเป็นภัยคุกคามที่เติบโตเร็วที่สุด และไม่แสดงเครื่องหมายชะลอ ESET's H1 2025 Threat Report พบการเพิ่มขึ้นบ้าคลั่ง 500 เปอร์เซ็นต์ของการโจมตี ClickFix ตลอดปีเดียว

"สิ่งที่ทำให้เทคนิค social engineering ใหม่นี้มีประสิทธิภาพคือ มันพอสมควรสำหรับเหยื่อปฏิบัติตามคำแนะนำ น่เชื่อถือพอที่จะดูเหมือนจะแก้ปัญหาที่สร้างขึ้น และ abuse ความน่าจะเป็นที่เหยื่อจะไม่ใส่ใจคำสั่งที่แน่นอนที่พวกเขาถูกขอให้วางและ execute บนอุปกรณ์" — Dušan Lacika, ESET Senior Detection Engineer

เช่นกัน รายงาน Microsoft ระบุว่ามีหลายหมื่นกรณีของคนที่รันโค้ดอันตราย

น่าเสียดาย ClickFix มีสัญญาณทั้งหมดของการโจมตีที่จะถูกใช้ซ้ำ และทำไมไม่? โจรกำลังเห็นความสำเร็จใหญ่กับมัน ทำไมต้องเปลี่ยนสิ่งที่ทำงาน?

มีเหตุผลอีกเล็กน้อยว่าทำไมมันกลายเป็น go-to attack:

• หลีกเลี่ยงการป้องกันเบราว์เซอร์ เพราะไม่มีการดาวน์โหลดโดยตรงให้ทำเครื่องหมาย
• พึ่งพาความไว้วางใจของมนุษย์ ไม่ใช่ exploit ระบบ ดังนั้นแพทช์เพียงอย่างเดียวแก้ไม่ได้
• ใช้ซ้ำได้ไม่มีที่สิ้นสุด — กลุ่มไหนก็สร้างเวอร์ชันของตัวเองได้ในนาที
• ดูถูกต้องเพราะหน้าปลอมเงาและโลโก้แบรนด์
• ถูกและง่ายปรับใช้ผ่านโครงสร้างพื้นฐานฟิชชิงที่มีอยู่

นี่คือการผสมผสานที่สูงสำหรับการกระจายมัลแวร์

มีไม่กี่วิธีหลีกเลี่ยงการโจมตี ClickFix

อย่าวางคำสั่งสุ่มเลย นั่นแน่นอน

แม้จะดูเหมือนการจับ ClickFix attack ยาก มันไม่ใช่ impossible

1. 确保คุณรู้จักจับสัญญาณคลาสสิกของอีเมลฟิชชิง เพราะนั่นเป็นหนึ่งในวิธีหลักที่ ClickFix เริ่มต้น
2. อย่าวางคำสั่งที่ไม่รู้จักเข้า Run, PowerShell หรือ File Explorer เว็บไซต์ที่ถูกต้องจะไม่เคยขอคุณทำนั้น
3. จัดการหน้า "fix" หรือ "verify" ที่ไม่คาดคิดด้วยความสงสัย หากดูแปลก ปิดแท็บและเข้าถึงบริการโดยตรง
4. เปิดฟีเจอร์ความปลอดภัยเบราว์เซอร์และ OS ไว้ตลอด Windows SmartScreen, Defender และ Chrome Safe Browsing ยังบล็อก payload ท้ายได้ หรือติดตั้ง third-party security tool อย่าง Malwarebytes Premium
5. ใช้ real-time protection และ antivirus suite ทันสมัยที่ตรวจสอบกิจกรรม PowerShell
6. ระมัดระวัง shortened URLs และไฟล์แนบอีเมล หลายแคมเปญ ClickFix เริ่มจาก shortened redirect chain
7. หากคุณวางคำสั่งไปแล้ว ให้ตัดการเชื่อมต่ออินเทอร์เน็ตทันที และรัน full malware scan น่าจะเป็นว่เครื่องและข้อมูลประจำตัวของคุณถูกแฮกแล้ว

การเรียนรู้จับอีเมลฟิชชิงและสร้างแนวทางความปลอดภัยที่หลีกเลี่ยงความเสี่ยง เป็นวิธีดีที่สุดที่จะปลอดภัย คุณหยุดการโจมตี ClickForce ที่เป็นไปได้ก่อนมันเริ่มต้น