fałszywa CAPTCHA

Fałszywa CAPTCHA, w literaturze nazywana metodą ClickFix, to technika socjotechniczna, w której strona podsuwa użytkownikowi rzekome rozwiązanie problemu, na przykład dokończenie weryfikacji CAPTCHA albo naprawę błędu, a w rzeczywistości każe mu skopiować i wkleić złośliwe polecenie do interpretera poleceń ^[1]. MITRE ATT&CK opisuje ją jako odmianę techniki uruchomienia przez użytkownika: napastnik nie łamie zabezpieczeń systemu, tylko nakłania ofiarę, by sama wykonała jego kod ^[1]. Metoda nie wykorzystuje luki w przeglądarce. Wykorzystuje zaufanie do znanego elementu stron, jakim jest CAPTCHA.

Jak działa

CERT Polska opisał przebieg ataku w listopadzie 2024 roku ^[2]. Ofiara trafia na stronę z okienkiem podobnym do reCAPTCHA Google. Kliknięcie „nie jestem robotem” kopiuje do schowka gotowe polecenie, a instrukcja na ekranie każe nacisnąć Win+R, wkleić zawartość schowka skrótem Ctrl+V i zatwierdzić klawiszem Enter ^[2]. Okno „Uruchom” wykonuje polecenie od razu, bez dodatkowych ostrzeżeń ^[2].

RYS. 1Atak metodą ClickFix

Polecenie jest zwykle zaciemnione, na przykład zakodowane, żeby użytkownik nie rozpoznał jego treści ^[1]. To klasyczne zaciemnianie kodu. Po uruchomieniu pobiera właściwe złośliwe oprogramowanie z serwera atakującego. W kampanii opisanej przez CERT Polska był to Lumma Stealer, program kradnący między innymi dane logowania ^[2], czyli infostealer.

Microsoft obserwuje kampanie ClickFix od początku 2024 roku i ocenia, że w ostatnich falach codziennie dotykały one tysięcy urządzeń firmowych i prywatnych na świecie ^[3]. Według tej samej analizy gotowe zestawy do prowadzenia takich kampanii sprzedawano w subskrypcji za 200 do 1500 dolarów miesięcznie ^[3], co jest przykładem modelu malware-as-a-service (MaaS).

Odmiany

Warianty różnią się przynętą, skrótem klawiszowym i miejscem, do którego ofiara wkleja polecenie.

Wariant z Terminalem Windows opisali w marcu 2026 roku badacze Microsoft Defender; skrót Win+X jest mniej znany niż Win+R, a końcowym ładunkiem znów był Lumma Stealer ^[6]. Microsoft wymienia też inne ładunki dostarczane tą metodą: narzędzia zdalnego dostępu, czyli RAT (remote access trojan), a także programy typu loader i zmodyfikowane rootkity ^[3].

W WordPressie

Strona WordPress rzadko jest celem samej metody. Częściej staje się jej nośnikiem: przejęta witryna wyświetla odwiedzającym fałszywą weryfikację, a właściciel strony dowiaduje się o tym od klientów.

GoDaddy opisał w październiku 2024 roku kampanię, w której napastnicy logowali się do paneli WordPress skradzionymi danymi administratorów, bez wykorzystywania żadnej podatności ^[4]. Następnie wgrywali przez formularz dodawania wtyczek fałszywe wtyczki o nazwach takich jak „Quick Cache Cleaner” czy „Advanced User Manager” i aktywowali je w ciągu kilku minut ^[4]. Wtyczki wstrzykiwały skrypty pokazujące odwiedzającym fałszywe aktualizacje przeglądarki ^[4]. Według GoDaddy wrześniowa fala objęła ponad 6000 witryn, a ładunkami były trojany zdalnego dostępu i programy kradnące dane, takie jak Vidar Stealer i Lumma Stealer ^[4]. Te same programy zbierały między innymi dane logowania do WordPressa i cPanelu ^[4], więc zainfekowany odwiedzający mógł stać się źródłem kolejnych danych uwierzytelniających do przejęcia następnych stron.

Podobny schemat dotyczy innych systemów zarządzania treścią. W czerwcu 2026 roku Sekurak opisał ponad 700 stron opartych na Ghost CMS, do których artykułów napastnicy wstrzyknęli skrypt z fałszywą weryfikacją Cloudflare ^[5]. Dostęp uzyskali przez SQL injection w Ghost (CVE-2026-26980), który pozwolił wykraść klucz Admin API ^[5].

Zagrożenia i skutki

Ofiarą jest przede wszystkim odwiedzający. Traci dane logowania, ciasteczka i dostęp do kont, a jego komputer może trafić pod kontrolę serwera C2 (command and control) ^[3]. Dla właściciela strony skutki są pośrednie, ale poważne:

• witryna rozsyła złośliwe oprogramowanie i może trafić na listy ostrzeżeń przed niebezpiecznymi stronami;
• skrypt w treści albo we wtyczce oznacza, że doszło do przejęcia konta administratora lub do włamania przez lukę;
• dane skradzione odwiedzającym mogą posłużyć do ataków na kolejne witryny ^[4].

Jak się bronić

Użytkownicy. CERT Polska podkreśla, że żadna prawdziwa CAPTCHA nie wymaga wychodzenia poza stronę internetową, a każda instrukcja z kombinacją klawiszy i działaniem w systemie powinna budzić podejrzenia ^[2].

Organizacje. Microsoft zaleca wyłączenie okna Uruchom zasadami grupy tam, gdzie nie jest potrzebne, rejestrowanie bloków skryptów PowerShell, ograniczające zasady wykonywania skryptów i reguły blokujące zaciemnione skrypty ^[3]. MITRE wymienia kontrolę uruchamiania aplikacji, tryb ograniczonego języka PowerShell i ograniczanie treści z sieci ^[1].

Właściciele stron WordPress. Kampania opisana przez GoDaddy zaczynała się od ważnego hasła administratora ^[4], dlatego podstawą jest uwierzytelnianie wieloskładnikowe dla kont z prawem instalowania wtyczek. Warto regularnie sprawdzać listę wtyczek i kont administratorów, a przy podejrzeniu infekcji uruchomić skaner złośliwego oprogramowania i przejść pełne czyszczenie przejętej strony.

Historia i przykłady

• 2024. Microsoft notuje pierwsze szeroko zakrojone kampanie ClickFix ^[3]. W październiku GoDaddy opisuje falę fałszywych wtyczek w WordPressie ^[4], a 20 listopada CERT Polska ostrzega przed fałszywą CAPTCHA rozsyłaną przez powiadomienia z GitHuba ^[2].
• Marzec 2025. MITRE dodaje technikę T1204.004 do ATT&CK ^[1].
• Marzec 2026. Wariant z Win+X i Terminalem Windows ^[6].
• Czerwiec 2026. Ponad 700 stron na Ghost CMS z wstrzykniętą fałszywą weryfikacją ^[5].