Microsoft обнаружила новую ClickFix-кампанию

Microsoft Threat Intelligence рассказала о новой кампании ClickFix. Злоумышленники прячут вредоносный скрипт в кэше браузера на устройстве пользователя. Файл маскируют под картинку PNG. Такой приём называют cache smuggling (скрытая доставка нагрузки через кэш). От более ранних атак этого типа новую отличает способ поиска файла. Вредоносный код находит его не по скрытой метке, а по совпадению размера.

По данным исследователей кибербеза, взломанные сайты заранее загружали скрипт в кэш браузера. Когда пользователя уговаривали выполнить команду, вредоносный код уже лежал на устройстве и был готов к запуску. Приманки ClickFix обычно выглядят как окно с проверкой или предложением исправить ошибку. В случае новой атаки от имени Cloudflare пользователю предлагалось подтвердить, что он не робот — открыть окно «Выполнить» в Windows. Затем нужно было вставить содержимое буфера обмена и нажать Enter.

Техника cache smuggling была описана в октябре 2025 года: в момент заражения файл не скачивается. В прежних кампаниях злоумышленники искали файл в кэше по метке внутри содержимого. В кампании, описанной Microsoft, вредоносный скрипт сравнивает размер файла с заранее известным значением.

Команда ищет в папках профиля Firefox файлы, имена которых начинаются с f_, а затем копирует подходящий по размеру файл в папку Temp под видом скрипта VBScript и запускает его через wscript.exe. По данным Microsoft, ожидаемый размер отличался в разных вариантах атаки. Такой приём помогает спрятать нагрузку и обойти ограничение на длину строки в окне «Выполнить». Вставляемая команда должна только найти и запустить файл. Дальше цепочка подгружает следующие этапы через PowerShell, компилирует код .NET на машине пользователя и внедряет его в системный процесс timeout.exe. Цель — учётные данные браузеров и устройства.

Эксперты кибербеза не сообщили, кто стоит за кампанией, сколько сайтов было взломано и какая программа для кражи учётных данных находится в конце цепочки. Специалистам по защите Microsoft советует искать следы сразу по нескольким направлениям. Это активность браузеров, история окна «Выполнить» в ключе реестра RunMRU, дочерние процессы WScript и PowerShell и задания в планировщике. Полагаться только на события скачивания файлов не стоит.