Microsoft waarschuwt voor ClickFix-aanvallen: pas op met copy-paste

Microsoft Waarschuwt voor Geavanceerde ClickFix Social Engineering Aanvallen

Microsoft heeft een kritieke waarschuwing uitgegeven over de groeiende dreiging van ClickFix social engineering-aanvallen die gebruikers manipuleren om kwaadaardige commando's uit te voeren via copy-paste operaties. De beveiligingsonderzoekers van het techbedrijf hebben dagelijks duizenden bedrijfs- en consumentenapparaten waargenomen die via deze techniek worden gecompromitteerd.

Hoe ClickFix-aanvallen Werken

ClickFix-aanvallen beginnen met bedreigingsactoren die phishing-e-mails, kwaadaardige advertenties of gecompromitteerde websites gebruiken om slachtoffers naar misleidende landingspagina's te leiden. Deze pagina's tonen typisch nep CAPTCHA-verificatieprompts of foutmeldingen die legitiem lijken, vaak imiterend vertrouwde services zoals Google reCAPTCHA, Cloudflare Turnstile of zelfs Discord-serververificatie.

Wanneer gebruikers proberen deze nepverificatie-uitdagingen op te lossen, kopieert de kwaadaardige website automatisch een gevaarlijk commando naar hun klembord. De instructies leiden gebruikers vervolgens naar Windows PowerShell of het Uitvoeren-venster (Win+R) waar ze het commando moeten plakken, wat onmiddellijk malware downloadt en uitvoert op hun systeem.

Malware-ladingen en Gevolgen

De aanvallen leveren typisch informatie-stelende malware zoals Lumma Stealer, Lampion of Atomic macOS Stealer (AMOS), die gevoelige inloggegevens, browsercookies, cryptocurrency wallet-informatie en andere waardevolle data kan verzamelen. Sommige campagnes implementeren remote access tools (RAT's) zoals Xworm, AsyncRAT of NetSupport, wat aanvallers volledige controle geeft over gecompromitteerde systemen.

Microsoft's analyse toont aan dat deze aanvallen bijzonder effectief zijn omdat ze traditionele beveiligingsoplossingen omzeilen door menselijke interactie te vereisen. De kwaadaardige commando's gebruiken vaak living-off-the-land binaries (LOLBins) en geavanceerde obfuscatie-technieken om detectie te vermijden.

Multi-Platform Dreiging

Hoorspronkelijk gericht op Windows-systemen, hebben ClickFix-aanvallen zich uitgebreid naar macOS- en Linux-platforms. De macOS-variant, ontdekt medio 2025, gebruikt vergelijkbare social engineering-tactieken maar employeert commando's specifiek ontworpen voor Unix-gebaseerde systemen om beveiligingsbeschermingen te omzeilen.

Bescherming en Mitigatiestrategieën

Microsoft beveelt verschillende verdedigingsmaatregelen aan: organisaties moeten onnodig gebruik van het Uitvoeren-venster blokkeren, application control policies implementeren en uitgebreide security awareness training verzorgen. Technische beschermingen omvatten het inschakelen van Microsoft Defender SmartScreen, netwerkbeschermingsfuncties en PowerShell script block logging.

Gebruikers moeten voorzichtig zijn met het kopiëren en plakken van commando's van onbekende websites en moeten de legitimiteit van verificatieprompts verifiëren voordat ze ermee interacteren. Enterprise security teams moeten RunMRU-registervermeldingen monitoren op verdachte commando-uitvoeringspatronen.