I slutningen af november 2025 bekræftede cybersikkerhedsforskere en farlig ny udvikling afopdateret ClickFix malware efterligner en Windows Update, ved at bruge falske fuldskærmsopdateringsmeddelelser til at narre brugere til manuelt at køre ondsindede kommandoer. Kampagnen markerer en stor eskalering af ClickFix-truslen, der kombinerer overbevisende Windows Update-efterligning med skjulte malware-leveringsmetoder, der omgår traditionelle detektionsværktøjer.
Sikkerhedsteams advarer om, at både hjemmebrugere og virksomheder bliver målrettet globalt, hvor ofre ubevidst installerer info-stjælende malware og fjernadgangstrojanske heste direkte på deres egne systemer.
Den seneste ClickFix-kampagne brugerhyperrealistiske browserbaserede falske Windows Update-skærmeder ser ud til at være identiske med legitime systemopdateringer. Når skærmen indlæses, bliver ofrene instrueret i at fuldføre "opdatering"-processen ved at:
- PresserWin + Rfor at åbne dialogboksen Kør
- Indsættelse af en kommando kopieret automatisk til deres udklipsholder
- Udførelse af et script ved hjælp afPowerShell eller mshta
Denne kommando henter skjulte malware-nyttelaster fra fjernservere og installerer dem direkte i systemhukommelsen, hvilket giver angribere mulighed for at unddrage sig mange antivirus-detektionsmetoder.
Vigtigste udviklinger:
- Begyndelsen af oktober 2025:Indledende aktivitet registreret ved hjælp af falske opdateringssider.
- Midt i november 2025:Malwareanalytikere bekræftede brugen af steganografi til at skjule ondsindet kode inde i PNG-billedfiler.
- Sidst i november 2025:Globale advarsler udstedt efterhånden som infektioner udvidede sig på tværs af forbruger- og virksomhedsnetværk.
Hvordan angrebet virker
Falsk efterligning af Windows Update
Fidusen er primært afhængig afWindows-opdateringsefterligningsteknikkerleveret gennem kompromitterede websteder, ondsindede reklamekampagner eller phishing-links. Ofre støder på, hvad der ser ud til at være en legitim Windows Update-grænseflade - inklusive indlæsning af animationer og procentvise fremskridtsbjælker - vist direkte i deres browser.
Fordi Windows normalt håndterer opdateringer automatisk, antager brugerne ofte, at skærmen er autentisk.
Ny steganografi leveringsmetode
Det, der gør den opdaterede ClickFix-malware særligt farlig, er dens brug afbilledbaseret steganografi:
- Malware-kode er skjult inde i normalt udseende PNG-billeder.
- Den angriberudstedte kommando udtrækker koden direkte fra billeddataene.
- Nyttelasten kørerhelt i hukommelsen, undgå oprettelse af åbenlyse eksekverbare filer.
Denne taktik reducerer detektion af mange endpoint-sikkerhedsværktøjer, der er afhængige af filscanning frem for adfærdsovervågning.
Hvorfor det er vigtigt: Øget risiko for daglige brugere og virksomheder
Deopdateret ClickFix malware, der efterligner Windows Updatestrategi repræsenterer et skift i social engineering effektivitet. I stedet for at udnytte tekniske sårbarheder er angribere nu stærkt afhængige afbrugertillid og manuel udførelse, uden om automatiske sikkerhedsforanstaltninger.
Sikkerhedsrisici omfatter:
- Legitimationstyveri:Bank-, e-mail- og logins på sociale medier er målrettet af udrullede infostealere.
- Fjernovertagelse:Fjernadgangstrojanske heste tillader fuld systemkontrol.
- Virksomhedseksponering:Enkelte infektioner kan føre til brud på netværket gennem indsamling af legitimationsoplysninger og lateral bevægelse.
- Unddragelse af opdagelse:Filløs hukommelsesbaseret malware undgår mange signaturbaserede sikkerhedsværktøjer.
Eksperter beskriver kampagnen som en af de mest overbevisende opdateringsspoofing-operationer, der er observeret til dato.
Ekspertreaktioner og sikkerhedsadvarsler
Sikkerhedsforskere på tværs af flere trusselsreaktionsfirmaer har offentligtbeskrev denne kampagnesom en"stort spring i sofistikeret social ingeniørkunst."
Tidlig analyse bemærker, at:
- Visuel ægthed af falske opdateringsprompter gør detektion sværere for gennemsnitlige brugere.
- Manuel udførelse udnytter menneskelig adfærd snarere end systemsårbarheder.
- Steganografiske nyttelastkomplicerer retsmedicinsk efterforskning og indeslutning.
Virksomhedssikkerhedsteams inkorporerer nu aktivt nyetræningsrådgivningogregler for endepunkts adfærdsscanningsom svar på kampagnens udbredelse.
Sådan beskytter du dig selv
For at være sikker mod falske opdateringssvindel og ClickFix-lignende angreb:
- Stol aldrig på browser-pop-ups, der hævder at være Windows Update-skærme.Legitime opdateringer sker kun via Windows-indstillinger eller systemmeddelelser.
- Kør aldrig kommandoer fra ukendte prompter- især via PowerShell, Kommandoprompt eller Kør dialoger.
- Brug en velrenommeret antivirus- og adfærdsbaseret malwarebeskyttelse.
- Bloker eller begræns udførelsen af scriptværktøjerpå virksomhedens maskiner, hvor det er muligt.
- Uddanne brugereom opdateringsefterligning-svindel som en del af cybersikkerhedsbevidsthedstræning.
Endelig opdatering
Da trusselsovervågning fortsætter ind i december 2025, bekræfter forskere, atopdateret ClickFix malware efterligner Windows Update,forbliver aktiv og udvider sig. Myndigheder og sikkerhedsfirmaer opfordrer fortsat til forsigtighed og understreger detingen rigtig systemopdatering vil nogensinde instruere brugere til manuelt at indsætte kommandoer i Windows.
Årvågenhed - snarere end software alene - er fortsat den stærkeste beskyttelse mod denne stadig mere vildledende malware-kampagne.
![[Ret] "Brugere skal indtaste et brugernavn og en adgangskode for at bruge denne computer" Afkrydsningsfelt mangler i Windows 10](https://media.askvg.com/articles/images8/Users_Must_Enter_User_Name_And_Password_To_Use_This_Computer_Checkbox_Missing_Windows_10.png)
