Pagini false de verificare Cloudflare păcălesc utilizatorii de Windows și Mac să ruleze comenzi malițioase

O campanie ClickFix observată pentru prima dată pe 28 octombrie 2026 transformă unul dintre cele mai familiare ritualuri ale internetului, căsuța Cloudflare „Verify you are human”, într-un vector de infectare. Vizitatorii unor site-uri compromise, dar altfel legitime, văd o imitație convingătoare a verificării și sunt apoi îndemnați să „finalizeze verificarea” lipind o comandă în fereastra Run din Windows sau în Terminalul din macOS. Nu se exploatează nicio vulnerabilitate software și browserul nu descarcă nimic. Victima face personal pasul periculos.

Ce s-a întâmplat

Lanțul începe cu un script mic injectat într-un site spart și servit de pe domeniul controlat de atacatori js-static[.]cfd. Odată rulat în browser, scriptul desenează un overlay pe toată pagina, cu sigla Cloudflare și fonturi web potrivite, și trimite o serie de apeluri către același domeniu pentru a verifica fusul orar, locația și adresa IP a vizitatorului. Această amprentare ajută cel mai probabil operatorii să decidă cine primește momeala și în ce variantă, deși partea aceasta nu a fost confirmată.

Overlay-ul afirmă apoi că „verificarea durează mai mult decât de obicei” și listează trei pași: țineți apăsat Win+R, apăsați Ctrl+V, apăsați Enter. Pagina a pus deja o comandă în clipboard. Pe Windows, comanda apelează utilitarul de instalare Microsoft sub un nume ușor deghizat pentru a descărca și instala silențios un pachet de pe api-com[.]cfd; la final este adăugat un șir lung de text-momeală, astfel încât singurul fragment vizibil în fereastra Run să fie „To verify push the ENTER key”. Vizitatorii de pe Mac primesc o altă rețetă: o comandă pe o singură linie care descarcă un script de pe cf-id[.]com și îl trimite direct în bash. Fiecare sistem de operare primește propriile instrucțiuni, așa că aceeași momeală funcționează pe ambele.

Niciunul dintre payload-uri nu a putut fi recuperat în timpul analizei. URL-ul pentru Windows a răspuns cu 403 Forbidden, iar domeniul pentru macOS nu s-a rezolvat deloc, așa că malware-ul final pentru oricare dintre platforme rămâne necunoscut. Scriptul injectat apare însă pe mai multe alte site-uri, ceea ce indică o campanie extinsă, nu un singur host compromis.

De ce contează

ClickFix continuă să funcționeze pentru că împrumută încredere în loc să spargă software. Aproape toată lumea a trecut printr-o verificare Cloudflare. Singurul element neobișnuit este cererea de a lipi ceva, iar pe un site pe care vizitatorul îl cunoaște deja, cererea aceea trece adesea fără întrebări. Pentru că utilizatorul rulează comanda printr-un binar legitim al sistemului, multe soluții de protecție a endpoint-urilor nu văd decât activitate de rutină.

Tehnica se răspândește. Un val recent, separat, a folosit aceeași momeală cu Cloudflare fals pe peste o sută de site-uri sparte pentru a livra un infostealer vizitatorilor de pe Windows, iar utilizatorii de macOS sunt vizați suficient de des încât versiunile recente de macOS avertizează atunci când în Terminal este lipit un text suspect. Această campanie este următoarea iterație, nu o excepție.

Ce trebuie făcut

• Învățați o singură regulă. O verificare Cloudflare autentică nu vă cere niciodată să deschideți fereastra Run, PowerShell sau Terminal. Dacă o pagină o face, închideți tab-ul.
• Întăriți endpoint-urile. Dezactivați fereastra Run din Windows prin Group Policy acolo unde utilizatorii nu au nevoie de ea și setați alerte pentru activitate neobișnuită msiexec, mshta, PowerShell sau Terminal, mai ales imediat după o sesiune de browser.
• Blocați și căutați. Adăugați domeniile de mai jos în listele de blocare DNS și proxy și căutați în loguri conexiuni anterioare către ele.
• Verificați-vă propriul site. Revizuiți paginile pentru scripturi pe care nu le-ați adăugat. Campania depinde în întregime de site-uri sparte, iar JavaScript-ul injectat este adesea primul simptom vizibil al unei compromiteri mai profunde.

Site-urile sparte sunt jumătatea tăcută a acestei povești. Nucleele CMS neactualizate, plugin-urile vulnerabile și panourile de administrare expuse sunt modul în care atacatorii obțin, în primul rând, posibilitatea de a injecta scripturi, și exact această clasă de slăbiciuni este cea pe care scanarea de vulnerabilități de la 4tify este concepută să o scoată la iveală înainte să o găsească altcineva.

Indicatori de compromitere

Indicatorii sunt defangați intenționat. Readuceți-i la forma originală doar în instrumente controlate, cum ar fi SIEM-ul sau platforma de threat intelligence.