Przejdź do treści
Malware

Nowa kampania ClickFix rozsiewa złodzieja Vidar. Eksperci ostrzegają przed fałszywymi CAPTCHA

Australijskie centrum cyberbezpieczeństwa informuje o kampanii ClickFix, która za pomocą fałszywych ekranów weryfikacji rozsiewa złośliwe oprogramowanie Vidar Stealer. Atak wykorzystuje zainfekowane strony WordPress i może dotknąć również polskich użytkowników.

3 min read
Abstract composition: a dark blue background with a glowing, translucent shield partially covering a tangled mesh of orange and grey cables. In the foreground, a single distorted CAPTCHA symbol floats, cracked like glass.

Fala ataków z wykorzystaniem techniki socjotechnicznej ClickFix ponownie przyciąga uwagę ekspertów. Australijskie centrum cyberbezpieczeństwa (ACSC) ostrzega przed kampanią, w której cyberprzestępcy podszywają się pod strony weryfikacyjne Cloudflare, by nakłonić użytkowników do ręcznego uruchomienia szkodliwego kodu. Po wykonaniu polecenia na komputer ofiary trafia złodziej Vidar Stealer – oprogramowanie służące do kradzieży haseł, plików cookies i portfeli kryptowalut. Zagrożenie dotyczy nie tylko Australii – infekcje rozprzestrzeniają się za pośrednictwem zainfekowanych instalacji WordPressa, które mogą odwiedzać również polscy internauci.

Czym jest ClickFix i jak działa w tej kampanii?

ClickFix to technika ataku polegająca na wyświetleniu użytkownikowi fałszywego okna weryfikacyjnego – najczęściej imitującego test CAPTCHA lub komunikat o błędzie przeglądarki. W opisanej kampanii atakujący przejmują kontrolę nad witrynami opartymi na WordPressie i kierują odwiedzających na stronę z fałszywym powiadomieniem rzekomo pochodzącym od Cloudflare. Aby „potwierdzić, że nie jest się robotem”, ofiara ma skopiować podany w oknie kod i wkleić go do wiersza poleceń (PowerShell). W rzeczywistości wykonuje w ten sposób złośliwe polecenie, które pobiera i uruchamia Vidar Stealer.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Jak podaje ACSC w opublikowanym ostrzeżeniu, atakujący wykorzystują do przekierowań zhakowane strony, ale nie ograniczają się do jednego regionu. Administratorzy witryn powinni sprawdzić, czy ich instalacje WordPressa nie zostały naruszone, a użytkownicy końcowi – zachować czujność wobec nietypowych próśb o ręczne wykonanie kodu.

Vidar Stealer – co kradnie i jak działa?

Vidar to popularne złośliwe oprogramowanie typu infostealer, dostępne w modelu Malware-as-a-Service (MaaS). Jego podstawowym zadaniem jest wykradanie wrażliwych danych z zainfekowanego komputera. Według ACSC Vidar celuje w:

  • zapisane hasła i cookies z przeglądarek internetowych,
  • dane autouzupełniania formularzy,
  • portfele kryptowalut,
  • szczegóły systemowe i konfiguracyjne.

Po uruchomieniu szkodnik usuwa swój plik wykonywalny i działa wyłącznie w pamięci operacyjnej, co utrudnia wykrycie przez tradycyjne skanery antywirusowe. Adres serwera dowodzenia (C2) pobiera za pomocą tak zwanych „dead-drop URL”, czyli wiadomości ukrytych w publicznych usługach – na przykład profilach Steam czy botach Telegramu. Ta technika, choć znana od lat, wciąż skutecznie omija blokady sieciowe.

Jak się bronić? Praktyczne zalecenia

ACSC opublikowało zestaw wskaźników kompromitacji (IoC) umożliwiających organizacjom detekcję ataku. Dla zwykłych użytkowników kluczowe są jednak podstawowe zasady bezpieczeństwa. Przede wszystkim:

  • Nigdy nie wykonuj ręcznie kodów z nieznanych okien przeglądarki. Żadna prawdziwa strona weryfikacyjna nie każe kopiować komend do PowerShell.
  • Ogranicz używanie PowerShell – jeśli nie jest potrzebny w codziennej pracy, warto zablokować jego wykonywanie dla zwykłych użytkowników.
  • Regularnie aktualizuj WordPressa, motywy i wtyczki. Usuwaj nieużywane rozszerzenia – to podstawowa ochrona przed przejęciem strony.
  • Stosuj listy dozwolonych aplikacji (application allow-listing), które uniemożliwią uruchomienie nieautoryzowanego oprogramowania.

W przypadku firm ACSC rekomenduje wdrożenie zaawansowanej ochrony punktów końcowych (EDR) oraz monitorowanie ruchu sieciowego pod kątem połączeń z serwerami C2 związanymi z kampanią.

Co dalej?

Kampanie ClickFix nie są nowością, ale ich skuteczność powoduje, że cyberprzestępcy systematycznie je udoskonalają. Wykorzystanie zaufanych, a jednocześnie zhakowanych witryn WordPressa zwiększa wiarygodność ataku. Jak pokazuje przykład Vidar Stealer, operatorzy chętnie sięgają po sprawdzone narzędzia MaaS, które szybko wdrażają w nowych kampaniach. Użytkownicy i administratorzy powinni traktować każdą prośbę o ręczne wykonanie kodu z poziomu przeglądarki jako potencjalnie złośliwą. Najlepszą obroną pozostaje sceptycyzm i trzymanie się sprawdzonych procedur bezpieczeństwa.

#ClickFix #infostealer #malware #phishing #Vidar Stealer #WordPress
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A realistic stock-style photo of a middle-aged Polish man sitting at a home desk in a typical Polish apartment, looking worried and frustrated at his laptop screen. Evening lighting from a desk lamp. The laptop is open, screen facing away, showing only the back of the device. No visible text, numbers, or interfaces on the screen. The man's hand is on the mouse, his expression conveys concern and surprise. Shallow depth of field, warm tones, natural grain, 16:9 crop. No logos, no brand names, no signs. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

70 fałszywych stron z aplikacjami Windows. Twoje dane w niebezpieczeństwie

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe, Polska scena biurowa: młody mężczyzna w okularach przed komputerem, wygląda na zaskoczonego i zmartwionego, patrząc na ekran (ale ekran widoczny tylko z tyłu, bez interfejsu), w tle otwarta przestrzeń biurowa z kilkoma biurkami. Naturalne światło dzienne, głębia ostrości, kadr 16:9, twarz z bliska, emocja: zaniepokojenie. Zero tekstu, cyfr ani ekranów z interfejsem. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

Atakują przez Teams i podszywają się pod IT. Masz firmowe konto?

26 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Photorealistic stock-style close-up photo of a worried middle-aged man looking at his laptop screen at home, evening natural light from window, his hand hesitating over the mouse, screen visible only from the back (no interface visible), the room is a typical Polish apartment with a radiator and a plant, shallow depth of field, realistic skin texture, slightly grainy, 16:9. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

Podszywają się pod UPS i kradną wszystkie hasła z przeglądarki. Jak się bronić?

25 lipca, 2026 4 min read