كشفت مايكروسوفت عن نمط جديد من هجمات ClickFix يستخدم مواقع مخترقة لخداع المستخدمين كي ينفذوا حمولة خبيثة مخزنة مسبقًا في الذاكرة المؤقتة للمتصفح، بدلًا من تنزيلها من خادم بعيد. وتتيح هذه الطريقة للمهاجمين إخفاء الشيفرة الخبيثة وتجاوز القيد المفروض على طول الأوامر في نافذة التشغيل، في تطور يعكس سرعة تطور هذا الأسلوب الذي بات من أكثر تقنيات الهندسة الاجتماعية انتشارًا.
كيف تعمل هجمات ClickFix عبر الذاكرة المؤقتة للمتصفح
قال فريق استخبارات التهديدات في مايكروسوفت، في منشور على منصة إكس، إن المواقع في هذا الهجوم تجلب مسبقًا حمولة نصية إلى الذاكرة المؤقتة للمتصفح متنكرة في هيئة ملف PNG، فعندما يُطلب من الضحية لصق أمر خبيث وتنفيذه كما هو معتاد في هجمات ClickFix، فإن الأمر ينفذ محتوى الموقع المخزن أصلًا على الجهاز. وتكمن أهمية هذا الأسلوب في أنه يتجاوز حد الأحرف في نافذة التشغيل التي تُفتح بالضغط على مفتاحي Win وR، إذ تقتطع هذه النافذة أي مدخل يتجاوز نحو 260 حرفًا. وفي سلسلة الهجوم التي رصدتها مايكروسوفت، تكون الحمولة المرحلية سكربت VBScript يستدعي cmd.exe لتعداد الملفات التي تبدأ أسماؤها بـ f_ داخل مجلد ملف تعريف المتصفح، مثل المسار الخاص بفايرفوكس في LOCALAPPDATA.
وأوضحت مايكروسوفت أن السكربت يقارن طول كل ملف بالبايتات بقيمة متوقعة، ثم ينسخ مدخل الذاكرة المؤقتة المطابق في الحجم إلى الملف t.vbs داخل المجلد المؤقت، فيمنح الحمولة امتداد VBScript وينفذها عبر wscript.exe مع إخفاء مخرجات النسخ والأخطاء. وتختلف القيمة المتوقعة للحجم من متغير إلى آخر، بخلاف هجمات سابقة كانت تبحث عن علامة داخل المحتوى.
مراحل الإصابة والبرمجيات المحمّلة في الذاكرة
يجمع سكربت VBScript معلومات الجهاز عبر أداة إدارة ويندوز WMI، ويجلب سكربت PowerShell باسم v.ps1 من خادم خارجي ويشغّله، ويعمل هذا السكربت وسيطًا لحمولة PowerShell وسيطة مسؤولة عن تنزيل المرحلة التالية، وهي الملف cab.dat. وبعد تنزيله يُقرأ محتواه ويُنفذ في نافذة مخفية، لتنتهي السلسلة بتحميل مكونات NET. في الذاكرة تحقن شيفرتها في عملية ويندوز مشروعة حديثة التشغيل هي timeout.exe، بهدف استهداف بيانات اعتماد المتصفح والجهاز. وتطلق العملية المحقونة PowerShell للحصول على مرحلة ثانوية في الذاكرة من نطاق خارجي، وتبدأ اتصالات صادرة نحو نطاق آخر يتبع للمهاجمين.
وليست هذه المرة الأولى التي تُخزَّن فيها الحمولات في ذاكرة المتصفح ضمن هجمات ClickFix، ففي أكتوبر 2025 وثّقت شركة Expel سلسلة هجوم استخدمت تهريب الذاكرة المؤقتة لتسليم أرشيف ZIP يحمل برمجية خبيثة، ثم تبيّن لاحقًا أن النشاط كان تمرينًا لفريق أحمر نفذته شركة Intrinsec.
تطور منظومة ClickFix وتجارة أدوات التصيد الجاهزة
أصبحت ClickFix خلال العامين الماضيين من أكثر تقنيات الهندسة الاجتماعية رواجًا، لأنها تحوّل الضحية نفسها إلى قناة لتنفيذ البرمجية الخبيثة، ما جعلها وسيلة وصول أولي جذابة لمجرمي الإنترنت والجهات المدعومة من الدول معًا. وقد أظهرت شركة CloudSEK في إثبات مفهوم نُشر في أغسطس 2025 كيف يمكن تسليح أنظمة التلخيص بالذكاء الاصطناعي المدمجة في عملاء البريد وإضافات المتصفح ومنصات الإنتاجية لتسليم برمجيات الفدية عبر ClickFix، وذلك بتضمين الحمولات في محتوى HTML بأساليب تعتيم مبنية على CSS مثل المحارف عديمة العرض والنص الأبيض على الأبيض والتموضع خارج الشاشة، فتخفى عن العين البشرية وتُقرأ بواسطة أنظمة الذكاء الاصطناعي. ويستخدم الهجوم أسلوب الجرعة الزائدة من الأوامر لتكرار الحمولة عشرات المرات حتى تهيمن على نافذة سياق النموذج وتوجّه مخرجاته نحو تعليمات ClickFix التي يتحكم بها المهاجم.
وقد ساعد توافر مجموعات التصيد الجاهزة مثل IUAM، التي تؤتمت إنشاء هجمات من نوع Fix، على خفض عتبة الدخول وزيادة وتيرة الحملات. وتمر سلسلة الهجوم بخطوات متعددة، تبدأ بتوجيه الضحايا إلى موقع مزيف أو مخترق يستضيف الطُعم عبر رسائل التصيد أو الإعلانات الخبيثة، ثم عرض مشكلة مفتعلة كخطأ مزعوم أو اختبار CAPTCHA أو تحديث للمتصفح، ثم تقديم الحل المزعوم وطلب نسخ أمر لمعالجتها، وتستخدم بعض المتغيرات جافاسكربت للتلاعب بحافظة النظام ونسخ الأمر تلقائيًا. بعد ذلك يُطلب من المستخدم لصق الأمر في نافذة التشغيل أو PowerShell أو طرفية ويندوز أو طرفية macOS، فيجلب الأمر حمولات إضافية تنتهي بنشر البرمجية الخبيثة. وبحسب CrowdStrike، شهدت الحوادث التي تتضمن طُعم CAPTCHA المزيف زيادة هائلة بلغت 563 في المئة في 2025.
لماذا تنجح الهجمات وكيف تستغلها الجهات المتقدمة
تنجح ClickFix لأنها تقنع المستخدمين بتشغيل أوامر يقدمها المهاجم بذريعة التحقق من CAPTCHA أو تحديث المتصفح أو خطأ مفاجئ، وهي مواقف يصادفونها يوميًا. وقالت CrowdStrike إن الموظفين يتعاملون باستمرار مع اجتماعات معطلة وتحديات مصادقة وأخطاء المتصفح والتطبيقات، وإن طلب خطوة استكشاف أخطاء سريعة قد يبدو أقل إثارة للشك بكثير من ملف تنفيذي أو مرفق بريد غير متوقع. وتعتمد الهجمات كذلك على أدوات معيارية اعتاد المستخدمون الوثوق بها، مثل PowerShell ونافذة التشغيل والطرفية، بدلًا من تنزيل برنامج غريب. وقال بوب إردمان، نائب رئيس البحث والتطوير في Fortra، إن الجزء الخطير أن المستخدم هو من ينفذ الأمر بنفسه، فبدلًا من اقتحام الجهاز مباشرة يقنعه المهاجم بفتح الباب.
وفي حملة حللتها CTM360، استغل المهاجمون ثغرات معروفة في إضافات ووردبريس، مثل CVE-2026-6854، للسيطرة على المواقع وحقن طُعم ClickFix، ثم يستخدم السكربت المحقون تقنية EtherHiding لاسترجاع اسم المضيف الفعال للطُعم. وتمنح هذه الآلية القائمة على البلوكتشين ميزة تحديث البنية التحتية على السلسلة دون تعديل الموقع المخترق، وقد رُصد أكثر من 3000 موقع مخترق نشط يستضيف صفحات مزيفة تقود إلى برمجية Vidar Stealer. وقالت ReversingLabs في تقرير صدر في يوليو 2026 إن ClickFix تُظهر إشارات خبيثة أقل مما تعايرت عليه الدفاعات التقليدية لكشفه، وإن الحملات تجري بسرعة مع بنية متغيرة تتفادى الكشف المعتمد على المؤشرات التاريخية.
ورصدت CrowdStrike مجموعة Stardust Chollima المرتبطة بكوريا الشمالية، والمعروفة أيضًا بـ BlueNoroff، وهي تستهدف على الأرجح موظفًا في جهة مالية في يوليو 2026 عبر موقع مزيف لمؤتمرات الفيديو، إذ واجه الموظف مشكلة تقنية مفتعلة مع حل يطلب نسخ أمر ولصقه. ويطلق الأمر سلسلة إصابة تعتمد على PowerShell وVBScript تسلم عائلتين برمجيتين غير موثقتين سابقًا سُميتا GeniexLoader وGeniexRAT. ومن الجهات الحكومية الأخرى المرتبطة باستخدام ClickFix مجموعة Sandworm الروسية، التي رصدت وهي تستهدف موظفين يُشتبه بأنهم أوكرانيون في مؤسسات بفرنسا والولايات المتحدة وكندا، لخداعهم في تشغيل أوامر PowerShell تنزّل حمولة VBScript، ويُعتقد أن الطُعم وصل عبر مواقع أوكرانية مخترقة.
توصيات مايكروسوفت للحماية والرصد
توصي مايكروسوفت بتفعيل الحماية المقدمة من السحابة وحماية الويب والشبكة، والتحكم في التطبيقات، وتسجيل كتل سكربتات PowerShell. وتحث المؤسسات على تجاوز مراقبة أحداث التنزيل إلى البحث عن نشاط مشبوه في المتصفح ومفتاح السجل RunMRU والعمليات الفرعية لـ WScript وPowerShell والمهام المجدولة. وأكدت أن اختبار CAPTCHA لا ينبغي أن يطلب من المستخدمين تشغيل شيفرات، وأن على المستخدمين ألا يلصقوا أوامر مصدرها مطالبات تحقق في نافذة التشغيل أو الطرفية أو PowerShell، وأن يتعاملوا مع هذه الطلبات بوصفها محاولات وصول أولي محتملة.
