ClickFix-attack använder falska Windows-BSOD-skärmar för att sprida skadlig kod

En ny ClickFix-kampanj för skadlig kod använder falska Windows Blue Screen of Death-skärmar (BSOD) för att lura användare att infektera sina egna system. Angripare visar övertygande kraschmeddelanden och guidar sedan offren genom påstådda ”fix”-steg som i hemlighet installerar skadlig kod.

Tekniken bygger på social manipulation snarare än tekniska sårbarheter, vilket gör att den kan kringgå många traditionella säkerhetskontroller.

Hur ClickFix-attacken fungerar

Attacken inleds när en användare hamnar på en skadlig webbsida, ofta via nätfiske-mejl eller komprometterade webbplatser. I stället för normalt webbinnehåll visas en falsk BSOD som är utformad för att se identisk ut med en verklig Windows-krasch.

Skärmen påstår att systemet har drabbats av ett kritiskt fel och kräver omedelbar åtgärd. Därefter instrueras användaren att kopiera och klistra in kommandon i PowerShell eller Kommandotolken för att lösa problemet.

När användaren kör dessa kommandon laddar systemet ned och kör skadlig kod direkt från servrar som kontrolleras av angriparna.

Varför tekniken är effektiv

ClickFix lyckas eftersom den flyttar exekveringsansvaret till offret. Eftersom användaren själv kör kommandona betraktar många säkerhetsverktyg aktiviteten som legitim.

Den falska BSOD-skärmen skapar dessutom stress och panik. Användare försöker ofta snabbt ”åtgärda” problemet utan att ifrågasätta varför ett systemfel visas i en webbläsare.

Kombinationen av rädsla och igenkänning gör attacken särskilt effektiv mot mindre tekniskt kunniga användare.

Skadlig kod och påverkan

Efter körning hämtar kommandona ytterligare nyttolaster som kan inkludera informationsstjälande program, fjärråtkomstverktyg eller laddare för fler steg i attackkedjan.

Eftersom infektionen sker via legitima systemverktyg kan angripare etablera beständig åtkomst och undvika upptäckt tillräckligt länge för att stjäla inloggningsuppgifter, övervaka aktivitet eller sprida sig lateralt.

Attacken utnyttjar inga sårbarheter, vilket gör traditionell patchning ineffektiv mot denna metod.

Hur användare kan skydda sig

Användare bör betrakta alla systemfel som visas i en webbläsare som misstänkta. Äkta Windows-kraschskärmar visas aldrig inuti webbsidor.

Säkerhetsteam bör även begränsa onödig användning av PowerShell, utbilda användare i att känna igen social engineering-tekniker och blockera åtkomst till kända skadliga domäner.

Viktigast av allt är att användare aldrig bör köra kommandon som kopierats från webbplatser, e-postmeddelanden eller popup-fönster utan uttrycklig verifiering.

Slutsats

ClickFix-attacken visar hur effektiv social manipulation fortfarande är i moderna malwarekampanjer. Genom att imitera betrodda Windows-kraschskärmar och få användare att själva köra kommandon kringgår angripare tekniska skydd och förlitar sig i stället på mänskliga misstag. Medvetenhet och försiktigt beteende förblir de starkaste försvaren mot detta växande hot.