تتخذ هجمات ClickFix منحى أكثر خطورة خلال 2026، بعدما تحولت من محاولات محدودة لاستغلال المستخدمين الباحثين عن حلول لمشكلات تقنية إلى حملات واسعة تعتمد على الهندسة الاجتماعية لإقناع الضحايا بتنفيذ أوامر خبيثة بأنفسهم.
وأحدث هذه الحملات استغلت حسابًا موثقًا مرتبطًا بخدمة HBO Max على منصة «ريديت» لنشر إعلانات تبدو حقيقية، لكنها تقود المستخدمين إلى صفحات مزيفة مصممة لدفعهم إلى تنفيذ أوامر ضارة على أجهزة Windows وmacOS. وأكدت «ريديت» أنها أغلقت الحساب المتضرر وأوقفت الإعلانات المرتبطة بالحملة.
كيف تعمل هجمات ClickFix؟
تعتمد تقنية ClickFix على استغلال سلوك المستخدم بدلًا من اختراق الجهاز مباشرة.
يصل المستخدم إلى صفحة إلكترونية تبدو طبيعية، ثم تظهر أمامه نافذة تشبه اختبار CAPTCHA أو رسالة تحقق تطلب منه تنفيذ خطوة إضافية لإكمال العملية.
لكن بدلًا من إجراء تحقق حقيقي، يتم توجيه الضحية إلى تنفيذ أمر أو سلسلة أوامر على جهازه.
وفي بعض السيناريوهات، تطلب الصفحة من المستخدم نسخ نص معين ولصقه في Command Prompt أو PowerShell على ويندوز، أو في Terminal على أجهزة ماك.
وبمجرد تنفيذ الأمر، تبدأ سلسلة من العمليات التي يمكن أن تؤدي إلى تنزيل وتشغيل برمجيات خبيثة دون أن يدرك المستخدم أنه سمح للتطبيق الضار بالعمل.
وهنا تكمن خطورة ClickFix: المستخدم نفسه يصبح جزءًا من عملية الاختراق.
إعلان HBO Max كان بوابة الهجوم
كشفت أبحاث أمنية حديثة أن المهاجمين استغلوا حساب HBO Max الموثق على «ريديت» لنشر إعلانات ضارة.
ووفق تحليل Hudson Rock، استُخدم الحساب المخترق خلال حملة استمرت نحو 48 ساعة لنشر 108 إعلانات مختلفة، تضمنت إغراءات مرتبطة بـHBO Max وأدوات ذكاء اصطناعي وبرامج مساعدة لأجهزة ماك.
ومن بين الحيل المستخدمة إعلان يروج لتطبيق HBO Max مخصص لأجهزة macOS، رغم عدم وجود تطبيق رسمي مستقل بهذه الصورة، ثم ينقل المستخدم إلى صفحة مزيفة تحاكي هوية الخدمة.
وبعد الضغط على زر التحميل، لا يحصل المستخدم على تطبيق عادي، بل يظهر له سيناريو ClickFix يطلب منه نسخ أمر ولصقه في Terminal.
وأكدت «ريديت» أنها علمت باختراق الحساب المصرح له بتشغيل الإعلانات، وأوقفت الإعلانات وحذفتها وبدأت تحقيقًا داخليًا.
لماذا تبدو الحملة مقنعة؟
نجاح هذا النوع من الهجمات يعتمد بدرجة كبيرة على الثقة.
فعندما يظهر الإعلان من حساب موثق أو مرتبط بعلامة تجارية معروفة، تقل احتمالية أن يشك المستخدم في المحتوى.
كما أن صفحات الهجوم تستخدم تصميمات وشعارات ورسائل تشبه الخدمات الأصلية، ما يجعل الانتقال من الإعلان إلى الصفحة الخبيثة يبدو طبيعيًا.
وهذه النقطة تحديدًا تجعل ClickFix مختلفة عن كثير من محاولات التصيد التقليدية؛ فالمهاجم لا يحتاج بالضرورة إلى إقناع الضحية بإدخال كلمة مرور أو بيانات بطاقة مصرفية، بل يكفي أن يقنعه بأن ينفذ خطوة تقنية تبدو ضرورية.
ماذا يحدث بعد تنفيذ الأمر؟
يمكن أن يؤدي تنفيذ الأمر الخبيث إلى تنزيل برمجيات متخصصة في سرقة المعلومات.
وقد تستهدف هذه البرمجيات:
- كلمات المرور المحفوظة.
- بيانات تسجيل الدخول إلى الحسابات.
- معلومات المتصفحات.
- بيانات تطبيقات المراسلة.
- بيانات حساسة مخزنة على الجهاز.
- محافظ العملات المشفرة وعبارات الاسترداد الخاصة بها.
وأظهرت أبحاث Hudson Rock أن الحملة الأخيرة لم تكن تستهدف نظام تشغيل واحدًا، بل تضمنت مسارات مختلفة لأجهزة macOS وWindows، مع استخدام أدوات وبرمجيات خبيثة مختلفة وفق النظام الذي يستخدمه الضحية.
لماذا يصعب على برامج الحماية اكتشافها؟
تكمن إحدى نقاط قوة ClickFix في أن العملية تبدأ بتفاعل مشروع ظاهريًا من جانب المستخدم.
فبدلًا من محاولة استغلال ثغرة برمجية مباشرة، يتم إقناع المستخدم بتشغيل أمر بنفسه داخل أدوات النظام.
وهذا يمكن أن يقلل من فعالية بعض آليات الحماية التقليدية، لأن العملية قد تبدو في بدايتها وكأنها أمر نفذه المستخدم بصورة مقصودة.
وتزداد الخطورة عندما تكون الأوامر قادرة على تنزيل مراحل إضافية من البرمجية الخبيثة، بحيث لا يكون المحتوى الضار واضحًا في الخطوة الأولى.
Windows وmacOS كلاهما مستهدف
لم تعد هذه الأساليب مقتصرة على أجهزة Windows.
فالحملة الأخيرة تضمنت مسارات تستهدف أجهزة Mac أيضًا، حيث استُخدمت تعليمات لإقناع الضحايا بتشغيل أوامر في Terminal.
أما على Windows، فقد تضمنت إحدى السلاسل استخدام أدوات مثل PowerShell وmshta لتنفيذ مراحل إضافية من الهجوم، وفق التحليل الفني للحملة.
وهذا يعني أن امتلاك جهاز Mac لا يوفر حماية تلقائية من هذا النوع من الهندسة الاجتماعية.
الخطر الأكبر: المستخدم يعتقد أنه يحل مشكلة
تعتمد ClickFix على فكرة نفسية بسيطة وفعالة: إعطاء المستخدم مشكلة وهمية ثم تقديم حل يبدو منطقيًا.
قد تكون الرسالة مثلًا:
«تحقق من أنك لست روبوتًا».
أو:
«انسخ هذا الأمر لإكمال التحقق».
أو:
«قم بتحديث التطبيق».
أو:
«نفذ الخطوة التالية لإصلاح مشكلة التحميل».
وفي كل الحالات، يحاول المهاجم جعل الأمر الخبيث يبدو وكأنه جزء طبيعي من عملية التصفح.
وهذا يوضح لماذا لا يكفي الاعتماد على برامج مكافحة الفيروسات وحدها؛ فالعامل البشري أصبح جزءًا أساسيًا من معادلة الحماية.
كيف تحمي جهازك من ClickFix؟
أهم قاعدة هي عدم نسخ أي أوامر إلى Command Prompt أو PowerShell أو Terminal لمجرد أن صفحة ويب طلبت ذلك.
كما يُنصح بـ:
- عدم تنفيذ أوامر مجهولة المصدر.
- عدم تثبيت برامج من إعلانات أو صفحات غير رسمية.
- التحقق من عنوان الموقع قبل تحميل أي تطبيق.
- تحميل البرامج من مواقع الشركات الرسمية أو المتاجر الموثوقة.
- عدم التعامل مع رسائل CAPTCHA غير المعتادة التي تطلب تنفيذ أوامر.
- تحديث نظام التشغيل والمتصفح وبرامج الحماية باستمرار.
- تفعيل المصادقة متعددة العوامل للحسابات المهمة.
- تغيير كلمات المرور فورًا إذا اشتبه المستخدم في تنفيذ أمر ضار.
- فحص الجهاز إذا تم تنفيذ أمر غير معروف، خصوصًا إذا ظهرت بعده عمليات أو برامج غير معتادة.
وبالنسبة للبيئات المؤسسية، يمكن لمسؤولي تقنية المعلومات تقليل المخاطر من خلال تقييد استخدام أدوات مثل PowerShell وCommand Prompt وفقًا لسياسات المؤسسة، مع تطبيق حلول مراقبة واستجابة متقدمة على الأجهزة.
حملة واحدة تكشف تطور أساليب الاحتيال الرقمي
تكشف حملة HBO Max على «ريديت» عن تحول مهم في أساليب الهجوم الإلكتروني.
فالمهاجمون لم يعتمدوا فقط على رسالة بريد إلكتروني مشبوهة أو رابط مجهول، بل استغلوا حسابًا موثقًا وإعلانًا يبدو شرعيًا وعلامة تجارية معروفة للوصول إلى الضحية.
وبمجرد الوصول إليه، انتقلت عملية الاختراق من استغلال الثقة في المنصة إلى استغلال ثقة المستخدم في نفسه؛ إذ يُطلب منه تنفيذ الخطوة الأخيرة بيده.
وتوضح هذه الحملة أن بعض أخطر الهجمات الرقمية قد لا تبدأ بثغرة تقنية معقدة، وإنما برسالة بسيطة تقول للمستخدم: «انسخ هذا الأمر والصقه هنا».
