Какво представлява
Кампаниите ClickFix отвличат легитимни сайтове или работят на подобни фалшиви лендинг страници. Фалшиво reCAPTCHA/Cloudflare поле инструктира потребителя да натисне Windows+R и да постави команда, предоставена от атакуващия, която изтегля и изпълнява loader (често Lumma, AsyncRAT или NetSupport). Тъй като зловредният полезен товар се изпълнява от самия потребител в неговия шел, уеб филтри и EDR често го пропускат.
Примери от реалния свят
- Фалшив reCAPTCHA, водещ до Lumma Stealer през 2024–2025.
- Компрометирани WordPress сайтове, сервиращи overlay с 'Verify you are human'.
Как ExploitShield го открива
Headless браузърът на ExploitShield разпознава DOM шаблона на примамката и сигнализира за iframe инициаторската верига, извикването на clipboard.writeText() и C2 домейна — превръщайки атака, зависеща от потребителя, в доказателствена следа, на която можете да предприемете действия преди друг посетител да стигне до страницата.