لم يمض وقت طويل منذ أن كانت هجمات ClickFix نادرة. والآن أصبحت التقنية شائعة بينما يجني المهاجمون ثمار بساطتها وفعاليتها في إصابة مستخدمي أجهزة الكمبيوتر الشخصية وأجهزة ماك على حد سواء.

كل ما يتطلب الأمر هو موقع إلكتروني مخترق، وهي مهمة سهلة بما فيه الكفاية، وتراكب مزيف لاختبار التحقق (CAPTCHA)، وتضمين أمر طرفية واحد. يقع عدد كبير من الزوار في فخ نسخ وتشغيل الأمر لدرجة أن كل ناشر برمجيات خبيثة تقريبًا تبنى هذه التقنية. حتى مجموعات القرصنة المدعومة من الكرملين تنضم إلى هذا المجال.

"تصبح ريديت منشورًا تلو الآخر لأشخاص يتم إصابة أجهزة الكمبيوتر الخاصة بهم عبر ClickFix"، هكذا لاحظ الباحث المستقل كيفن بومونت يوم الخميس. وأضاف أن "المواقع الشرعية في كل مكان يتم اختقرها لعرض مطالبات التحقق المزيفة".

كم منا يزيد الأمور سوءًا؟ مستخدمو الإنترنت الأكثر خبرة، وعددهم لا بأس به ممن يقرؤون هذا الموقع، سارعوا إلى رفض الهجوم. وعادة ما يلقون باللوم على الأشخاص الذين يقعون ضحية للعمليات الاحتيالية ويتعجبون من سذاجتهم وقلة انتباههم.

الواقع هو أنه بالنسبة للمستخدمين العاديين، أصبح استخدام أجهزة الكمبيوتر والإنترنت صعبًا للغاية لدرجة أنهم أصبحوا غير مبالين بالتعليمات التي تبدو سخيفة ومرهقة. ويعمل مهاجمو ClickFix على استغلال هذا الإرهاق.

عادةً ما تبدأ الهجمات بصورة بسيطة لاختبار التحقق، وغالبًا ما تتخفى في هيئة اختبار من Cloudflare. وبعد التعامل مع المربع، يرى المستخدم سطرًا من النص، وغالبًا ما يكون محجوبًا بطريقة تخفي أي أوامر ضارة.

ثم يتم توجيه المستخدم لنسخ النص ولصقه في نافذة التشغيل (Windows Run) أو (PowerShell) أو في نافذة الطرفية (macOS terminal) والنقر على زر الإدخال. وتأتي التعليمات من مواقع إلكترونية استخدمها الأشخاص لسنوات.

لا تبدو التوجيهات أكثر ارتيابًا من الأشياء التي طُلب منهم القيامفلها لعقد من الزمان. فلماذا يكون لدى شخص ليس لديه إلمام راسخ بأمن الكمبيوتر أي سبب للتردد؟

بالنسبة للأشخاص القائمين على الهجمات، تجعل ClickFix مهمتهم أسهل بكثير. وقالت شركة الأمن السيبراني (BlueVoyant) مؤتمًا إن الطريقة السابقة التي استخدمها المسؤولون عن تثبيت البرمجيات الخبيثة، والتي تُعرف باسم (Lorem Ipsum)، تطلبت بنية تحتية كثيفة الموارد، بما في ذلك بوابات تنزيل تم التلاعب بتحسين محركات البحث فيها والإعلان عنها ببرمجيات خبيثة، وشهادات توقيع موثوقة من Microsoft، ونطاقات يتم تدويرها باستمرار لتسليم حزم مثبت Microsoft.

وقالت BlueVoyant: "التحول إلى ClickFix في أواخر مايو 2026 يلغي متطلبات توقيع الكود بالكامل، ليحل محل شرعية المثبت الموقع بشكل صحيح بشيء من الشرعية المختلفة: وهو تنفيذ المستخدم طوعًا للأمر الضار في محطته الطرفية الخاصة". وأضافت الشركة أنه "في حين أن نموذج ClickFix يوسع حجم الضحايا ليشمل أي شخص يتصفح موقعًا مخترقًا، بدلاً من المستخدمين الذين يبحثون خصيصًا عن Microsoft Teams".

الحوض بالنسبة لمستخدمي نظام macOS ليس أفضل حالاً. فقد وثقت شركة أمن أجهزة ماك (Jamf) وباحث آخر اختلافات لأنظمة macOS من هجمات ClickFix التي يمكنها تجاوز حماية (Gatekeeper).

ويستمر مهاجمو ClickFix في إيجاد طرق جديدة لاستخدام الخدمات العامة، بما في ذلك مستندات Google Sheets المنشورة علنًا، وفقًا لشركة (Cisco Talos). ويقوم مهاجمون آخرون، من بينهم مجموعة (Sandworm) المدعومة من الدولة الروسية، باستضافة بنيتهم التحتية للتحكم في عقود ذكية تعتمد على تقنية سلسلة الكتل (blockchain).

وجدت شركة الأمن السيبراني (Netskope) مؤخرًا حملة أخرى استخدمت النهج نفسه. وأحصت الشركة الأمنية 5,400 موقع يرسل إشارات إليها، وهو مؤشر على مدى ونطاق تلك الحملة.

ومع بناء صانعي أنظمة التشغيل والمدافعين دفاعات جديدة، يستمر المهاجمون في إيجاد طرق موثق للعمل حولها. والنتيجة النهائية لكل هذا هي أن ClickFix هي وسيلة فعالة للغاية وذات كفاءة لنشر جميع أنواع البرمجيات الخبيثة.

إنها لن تختفي، كما أن إلقاء اللوم على الضحايا أو خجلهم لا يؤدي إلا إلى تفاقم المشكلة. وهناك عدد لا بأس به من الإضافات، والمنتجات المستقلة، والدفاعات المدمجة المصممة للحد من نجاح هجمات ClickFix.

على سبيل المثال، يمكن لبرنامج (BlockBlock)، وهو برنامج يراقب أجهزة ماك للبحث عن العمليات التي تسعى إلى تثبيت نفسها بشكل دائم، حظر هجمات ClickFix بمجرد أن يضغط المستخدم على مفتاحي ⌘+V. وتم تحديث (Ublock) للقيام بشيء مشابه.

وبعيدًا عن تلك الإصلاحات، يجب على أولئك منا الذين لديهم تدريب أمني أكبر بناء الوعي مع جيراننا الأقل خبرة، وأفراد العائلة، والأصدقاء. إن التبني الجماعي لClickFix يوضح نجاحها، ولن تختفي في أي وقت قريب.