گسترش حملات ClickFix با استفاده از کپچاهای جعلی، اسکریپت‌های مایکروسافت و سرویس‌های وب معتبر

محققان امنیت سایبری جزئیات کمپینی جدید را افشا کرده‌اند که از ترکیب کپچاهای جعلی به سبک ClickFix با اسکریپت امضاشده Microsoft Application Virtualization (App-V) برای توزیع بدافزار سرقت اطلاعات به نام Amatera استفاده می‌کند. به جای اجرای مستقیم PowerShell، مهاجمان از اسکریپت “SyncAppvPublishingServer.vbs” – یک جزء قانونی ویندوز – برای پنهان‌سازی فعالیت مخرب و دور زدن محدودیت‌های اجرایی سوءاستفاده می‌کنند. این حمله با یک پیام تأیید کپچای جعلی آغاز می‌شود که کاربران را فریب می‌دهد تا دستورات مخرب را در پنجره Run ویندوز اجرا کنند، اما برخلاف حملات سنتی ClickFix، این کمپین از قابلیت‌های App-V که تنها در نسخه‌های Enterprise و Education ویندوز ۱۰ و ۱۱ موجود است، بهره می‌برد و سیستم‌های سازمانی را هدف قرار می‌دهد.

تکنیک ClickFix که طی سال گذشته به یکی از رایج‌ترین روش‌های دسترسی اولیه تبدیل شده و ۴۷ درصد حملات مشاهده‌شده توسط مایکروسافت را تشکیل می‌دهد، به‌طور مداوم در حال تکامل است. نسخه‌های جدیدی مانند JackFix، CrashFix و GlitchFix ظهور کرده‌اند، و سازندگان ClickFix در فروم‌های هکری با قیمت ۲۰۰ تا ۱۵۰۰ دلار در ماه تبلیغ می‌شوند. کمپین ClearFake که از ClickFix استفاده می‌کند، از اواخر اوت ۲۰۲۵ حدود ۱۴۷,۵۲۱ سیستم را آلوده کرده است. این حملات با استفاده از اجرای کد PowerShell در حافظه، بلاکچین و شبکه‌های توزیع محتوای معتبر، بسیار پیچیده و گریزان هستند و تنها با سرویس‌های قانونی ارتباط برقرار می‌کنند که شناسایی آن‌ها را دشوار می‌سازد.