Rozwój i skala kampanii ClickFix
Technika ClickFix stała się podstawowym narzędziem przestępców, a jej udział w wykryciach osiągnął średnio 52% w drugim kwartale 2026 roku i wzrosł do 67% w sierpniu. Większość tych ataków dociera do użytkowników za pośrednictwem wyszukiwarek oraz mediów społecznościowych, a nie poczty elektronicznej. Wykorzystują one zharmonizowane witryny, reklamy wprowadzające w błąd oraz techniki pozycjonowania stron.
Nowa przynęta związana ze sztuczną inteligencją
Najnowsze odmiany zagrożenia wykorzystują jako przynętę narzędzia sztucznej inteligencji. Warianty o nazwie InstallFix oraz LLMshare stanowiły około 5% wszystkich wykrytych ataków. Analizy piaskownic wykazały, że duża część fałszywych kampanii podszywa się pod popularne modele i asystenty, nakłaniając ofiary do wklejenia szkodliwych poleceń z fałszywych stron instalacyjnych.
Mechanizm działania podstępnych instalacji
Powszechne wdrożenie narzędzi sztucznej inteligencji przyzwyczaiło pracowników do instalowania oprogramowania za pomocą poleceń w terminalu. W ramach kampanii InstallFix przestępcę klonują legalne strony pobierania i podmieniają polecenie instalacji na złośliwy skrypt. Atakujący stosują również zaawansowane ukrywanie pochodzenia ruchu, przekierowując użytkowników z reklam w wyszukiwarkach przez zharmonizowane witryny sklepowe.
Podmiana zawartości schowka i uruchamianie w pamięci
Strony internetowe imitujące legalne instalatory wyświetlają oryginalne polecenia pochodzące od producentów oprogramowania. Przycisk kopiowania na stronie umieszcza jednak w schowku zupełnie inne polecenie, które wyświetla w terminalu legalny adres URL, a jednocześnie dekoduje ukryty adres i przesyła pobrany skrypt bezpośrednio do powłoki systemu, nie zapisując pliku na dysku.
Wykorzystanie platform sztucznej inteligencji
Technika o nazwie LLMshare nadużywa funkcji udostępniania w chatbotach opartych na sztucznej inteligencji. Przestępcę tworzą udostępnione czaty oraz gotowe komponenty zawierające złośliwe instrukcje lub odnośniki do fałszywych stron, a następnie promowane są one za pomocą płatnych reklam w wyszukiwarkach. Nowsze wersje opierają się na niestandardowych wersjach modeli, które w odpowiedzi na każde zapytanie użytkownika zwracają fałszywe powiadomienia o awarii serwisu prowadzące do złośliwych ładunków.
Skuteczność omijania zabezpieczeń
Raporty Microsoftu wskazują na dynamiczny wzrost liczby incydentów, a technika ta charakteryzuje się wysoką skutecznością prowadzącą do infekcji w niemal wszystkich przypadkach. Omijanie tradycyjnych zabezpieczeń wynika z faktu, że użytkownicy docierają do stron przez wyszukiwarki, a filtry bezpieczeństwa widzą zaufane domeny. Ponieważ skrypty uruchamiają się w pamięci i w legalnej powłoce systemu, oprogramowanie chroniące punkty końcowe często nie wykrywa nieautoryzowanego działania.
