Co znajdziesz w tym artykule?
- 1 Wprowadzenie do problemu / definicja luki
- 2 W skrócie
- 3 Kontekst / historia / powiązania
- 4 Analiza techniczna / szczegóły luki
- 5 Praktyczne konsekwencje / ryzyko
- 6 Rekomendacje operacyjne / co zrobić teraz
- 7 Różnice / porównania z innymi przypadkami (jeśli dotyczy)
- 8 Podsumowanie / kluczowe wnioski
- 9 Źródła / bibliografia
Wprowadzenie do problemu / definicja luki
Atakujący coraz częściej wykorzystują krótkie filmiki na TikToku jako przynętę do kampanii ClickFix – socjotechnicznej techniki nakłaniającej ofiarę do samodzielnego uruchomienia złośliwych poleceń pod pozorem „szybkiej naprawy” lub „aktywacji” oprogramowania. Najnowsza fala dotyczy filmów podszywających się pod poradniki aktywacji Windows/Office czy „premium” Spotify/Netflix i prowadzi do instalacji infostealerów (m.in. Vidar, StealC), które kradną hasła, ciasteczka sesyjne i dane portfeli krypto.
W skrócie
- Kanał dystrybucji: TikTok (krótkie wideo + link w bio/komentarzu).
- Technika: ClickFix – ofiara wykonuje „naprawcze” kroki (PowerShell/batch, pobranie „aktywatora”, wyłączenie AV).
- Ładunki: głównie Vidar, StealC, obserwowany także RedLine w pokrewnych kampaniach.
- Cel: kradzież poświadczeń i sesji do usług chmurowych/SaaS, eskalacja ataków BEC i przejęć kont.
- Nowość: kampanie są ciągłe – po majowych raportach badaczy nadal trwają i adaptują się.
Kontekst / historia / powiązania
Microsoft zidentyfikował ClickFix w kampaniach e-mailowych już w 2024 r. (np. dystrybucja DarkGate), opisując wzorzec: fałszywa diagnoza problemu + „kliknij, by naprawić” → uruchomienie skryptu. W 2025 r. technika przeniosła się na platformy społecznościowe (TikTok), co znacząco zwiększyło zasięg i tempo infekcji. Równolegle obserwowano wykorzystanie ClickFix w innych łańcuchach (GHOSTPULSE/Stealer, RedLine).
Analiza techniczna / szczegóły luki
Wejście (Initial Access):
- Filmik na TikToku udaje poradnik „aktywacji”/„naprawy” i kieruje do skrótu/strony z „narzędziem” lub poleceniami do wklejenia (często PowerShell).
- Czasem „instrukcja” wymaga wyłączenia ochrony (Defender/SmartScreen), co toruje drogę do droppera.
Wykonanie (Execution):
- Polecenia PS pobierają loader (np. przez
Invoke-WebRequest/bitsadmin) i uruchamiają go z parametrami ukrywającymi aktywność (tymczasowe katalogi, LOLBins). - Stosowane są archiwa samorozpakowujące, pliki
.bat/.vbsi living-off-the-land, aby ominąć sygnatury. Opisane schematy są spójne z wcześniejszymi obserwacjami ClickFix (DarkGate/GHOSTPULSE).
Ładunek (Payload):
- Vidar i StealC – typowe funkcje: kradzież haseł z przeglądarek (Chromium/Firefox), plików cookie, tokenów, autofill, danych komunikatorów i portfeli; eksfiltracja na C2.
- W innych gałęziach kampanii: RedLine Stealer jako downstream payload.
Trwałość i zaciemnianie:
- Harmonogram zadań/Run Keys, pliki w
%AppData%i%LocalAppData%, czasem packery. - Domeny C2 często rotują; krótkie żywoty kont TikTok ograniczają możliwość reakcji platformy. (Wniosek na podstawie raportów o rotacji infrastruktury i zbieżnych TTPs ClickFix).
Wskaźniki i TTPs (MITRE ATT&CK):
- T1566.002 (Socjotechnika – media społecznościowe), T1059.001 (PowerShell), T1105 (Exfiltracja przez kanał zdalny), T1053.005 (Trwałość – Task Scheduler), T1112/T1562 (Modyfikacja zabezpieczeń). (Mapowanie na podstawie publikacji technicznych Microsoft/Elastic/Trend Micro).
Praktyczne konsekwencje / ryzyko
- Kompromitacja kont osobistych i służbowych (SaaS, poczta, CRM, Git, chmura) przez przejęte cookie sesyjne i hasła → BEC, przejęcia repozytoriów, nadużycia API.
- Uderzenie w MDM/środowiska BYOD – infekcje na urządzeniach niezarządzanych stają się punktem wejścia do tożsamości korporacyjnych. Okta pokazuje, że duża część nadużyć poświadczeń pochodzi z takich urządzeń.
- Ryzyko eskalacji: dosyłanie loaderów/RAT-ów, np. DarkGate/GHOSTPULSE, dalsza pivotacja w sieci.
Rekomendacje operacyjne / co zrobić teraz
Dla SOC/Blue Team:
- Detekcje PowerShell/LOLBins: alerty na
Invoke-WebRequest,curl.exe,bitsadmin, nietypoweStart-Processz katalogów tymczasowych; inspekcja Child-Process z przeglądarek. - Telemetria przeglądarek: monitoruj nietypowe odczyty plików profili (Login Data, Cookies) i tworzenie archiwów w
%AppData%. - Zasady EDR/Defender: blokuj uruchamianie PS bez podpisu, egzekwuj ASR (blokowanie uruchamiania skryptów z Office/OneNote, wyłączanie makr z Internetu).
- Network/C2: TLS SNI/JA3 do znanych rodzin (Vidar/StealC/RedLine), egress filtering, DNS sinkhole; reaguj na nagłe zmiany domen krótkowiecznych.
- Hunting/IR: przeszukaj
Scheduled Tasks,Run/RunOnce, katalogi%AppData%,%LocalAppData%, artefakty PS (Microsoft-Windows-PowerShell/Operational). (Wzorce zgodne z techniką ClickFix i raportami Microsoft/Elastic/Trend).
Dla IT/SecOps:
- Zarządzaj przeglądarkami i hasłami: wymuś passkeys/2FA, seedy haseł w managerach, politykę „bez zapisywania haseł w przeglądarce” dla kont służbowych.
- Ogranicz BYOD lub segmentuj dostęp; wprowadź device posture checks (kompatybilność z EDR/MDM).
- Application Control: wdroż WDAC/AppLocker, blokuj wykonywalne z
%Temp%/Downloads. - Edukacja ukierunkowana: krótkie scenariusze o „aktywatorach”, „crackach” i fałszywych poradnikach wideo – pokaż, jak wygląda prawdziwy vs. złośliwy „fix”. (Zbieżne z obserwacjami trwałości kampanii).
Dla użytkowników:
- Nie wyłączaj ochrony AV „na chwilę”.
- Nie uruchamiaj skryptów z komentarzy/biogramów.
- Aktualizacje i licencje tylko z oficjalnych źródeł.
Różnice / porównania z innymi przypadkami (jeśli dotyczy)
- ClickFix vs. Fake CAPTCHA/Malvertising: Fake CAPTCHA zmusza do wklejenia komend „weryfikacyjnych” na stronach z reklam; ClickFix przenosi mechanikę do wideo-poradnika i buduje większe zaufanie (efekt „tutorialu”). Trend Micro opisało oba wektory – kampanie TikTok są nowszą iteracją.
- ClickFix vs. FileFix/Messenger phish: pokrewne wzorce socjotechniki (naprawa/aktualizacja) – w 2025 r. widziano także warianty podszywające się pod alerty Facebooka („FileFix”). (Wniosek porównawczy na tle szerszego trendu).
Podsumowanie / kluczowe wnioski
ClickFix to nie pojedyncza kampania, lecz utrwalona technika socjotechniczna adaptowana do różnych kanałów. TikTok – dzięki formatowi „szybkich poradników” – stał się skutecznym dystrybutorem infostealerów (Vidar/StealC/RedLine). Obrona wymaga połączenia telemetrii endpointowej, kontroli przeglądarek, polityk tożsamości i edukacji ukierunkowanej na realne przykłady „aktywizujących” filmów.
Źródła / bibliografia
- BleepingComputer – „TikTok videos continue to push infostealers in ClickFix attacks”, 19 października 2025. (BleepingComputer)
- Trend Micro – „TikTok Videos Promise Pirated Apps, Deliver Vidar and StealC”, 21 maja 2025. (www.trendmicro.com)
- Microsoft Threat Intelligence – „Think before you Click(Fix): Analyzing the ClickFix social engineering technique”, 21 sierpnia 2025. (Microsoft)
- Elastic Security Labs – „A Wretch Client: From ClickFix deception to information stealer deployment”, 17 czerwca 2025. (Elastic)
- Okta – „How this ClickFix campaign leads to Redline Stealer”, 3 lipca 2025. (sec.okta.com)