Novi ClickFix napadi: lažni porno sajtovi iz oglasa šire malvere

Vesti, 26.11.2025, 13:30 PM

Istraživači iz kompanije Acronis upozoravaju na novu kampanju koja kombinuje ClickFix trikove i lažne porno sajtove kako bi prevarila korisnike da pokrenu maliciozne komande pod maskom “kritičnog” bezbednosnog ažuriranja za Windows.

Prema Acronis-u, napad koristi lažne verzije popularnih porno sajtova (xHamster, PornHub), na koje se žrtve usmeravaju preko oglasa. Pornografski sadržaj nije slučajan - cilj je da žrtva, već zatečena “kompromitujućim” sadržajem, bude podložnija psihološkom pritisku i da instalira iznenadno lažno ažuriranje.

ClickFix napadi su eksplodirali u poslednjih godinu dana, a prema podacima Microsoft-a ovaj metod je postao najčešći početni metod pristupa, čineći 47% napada. Ideja je naterati korisnika da sam izvrši zlonamernu komandu.

U najnovijoj kampanji, nazvanoj JackFix, žrtvi se prikazuje izuzetno uverljivo lažno upozorenje o ažuriranju Windows-a. Ono preuzima ceo ekran i zahteva pokretanje Windows Run dijaloga i zatim pritisak na tastere Ctrl + V i Enter, čime se pokreće lanac infekcije.

Acronis napominje da lažni prozor za ažuriranje Windows-a nije ni malver ni sistemska komponenta: kompletna stranica je samo HTML + JavaScript u veb pregledaču. Uz pokušaje da se onemoguće tasteri Escape, F11, F5 i F12, stranica pokušava da zadrži korisnika u režimu celog ekrana iakoEscape ipak radi.

Prvi korak je MSHTA payload koji se pokreće kroz mshta.exe. On učitava JavaScript koji zatim pokreće PowerShell komandu. Domeni koji sadrže payload vraćaju maliciozni odgovor samo kada im se pristupi putem irm ili iwr PowerShell komandi što je još jedan sloj prikrivanja.

Preuzeti PowerShell koristi i agresivan pristup za eskalaciju privilegija a kada to uspe, skripta distribuira malvere, među kojima su Rhadamanthys Stealer, Vidar Stealer 2.0, RedLine Stealer, Amadey i različiti loader-i i RAT-ovi.

Acronis ovo naziva najdrastičnijim primerom “spray and pray” taktike. Ako samo jedan payload uspe da se pokrene, žrtvi su ugrožene lozinke, kripto novčanici i svi podaci u pregledačima. Ako se aktivira loader ili RAT, napad može brzo eskalirati i dovesti do daljeg preuzimanja sistema.