نرى أن هجمات ClickFix أصبحت واحدة من أخطر التهديدات السيبرانية وأسرعها نموًا منذ ظهورها في عام 2024. وقد شهد الربع الثاني من عام 2026 تسجيل ClickFix لـ 52% من جميع الهجمات المكتشفة، وارتفع هذا الرقم إلى 67% في أغسطس، متجاوزًا أنواعًا أخرى من هجمات التصيد الاحتيالي لأول مرة. والمثير للقلق هو أن أحدث طرق الاستدراج تستهدف بشكل خاص مستخدمي أدوات الذكاء الاصطناعي مثل Claude وChatGPT وCodex، مما يجعلها تتسلل بسهولة ضمن حركة المرور المشروعة.
«ClickFix»: طعم الذكاء الاصطناعي الجديد
يعتمد المهاجمون في هجمات ClickFix الجديدة على استغلال عادات العمل المنتشرة بين مستخدمي الذكاء الاصطناعي. أولًا، اعتيادهم على تثبيت الأدوات عبر سطر الأوامر (Terminal)، حيث أن أدوات مثل Claude Code تشحن كأمر تثبيت من سطر واحد. وثانيًا، البحث عن تطبيقات الذكاء الاصطناعي عبر محركات البحث بدلاً من الانتقال المباشر إليها. هذه العادات تضع المستخدم مباشرة على صفحة نتائج البحث، حيث يتم تسليم هجمات ClickFix.
تتضمن إحدى التقنيات المستخدمة في ClickFix ما يُعرف بـ InstallFix. هنا، يقوم المهاجمون بنسخ صفحات تثبيت أدوات الذكاء الاصطناعي المشروعة، مثل Claude Code، واستبدال أمر التثبيت الحقيقي بأمر خبيث. الصفحة تعرض أمر التثبيت الأصلي، لكن زر النسخ يضع أمرًا مختلفًا وخبيثًا في الحافظة. وعند لصقه في الطرفية، ينفذ الأمر الخبيث الذي قد لا يلاحظه المستخدم حتى المدقق.
تقنية أخرى هي LLMshare، التي تستغل ميزات المشاركة في روبوتات الدردشة المدعمة بالذكاء الاصطناعي. يقوم المهاجمون بإنشاء محادثات أو «مخرجات اصطناعية» (Artifacts) ضارة على ChatGPT وClaude تحتوي على تعليمات تثبيت خبيثة أو روابط لصفحات تنزيل مزيفة. بما أن هذه الإغراءات مستضافة على نطاقات موثوقة مثل chatgpt.com أو claude.ai، فإن أدوات التحقق من سمعة الروابط لا تشك فيها. وقد لوحظ استخدام GPTs المخصصة لتكون أكثر إقناعًا، حيث ترد هذه الـ GPTs برسالة خدمة مزيفة تحتوي على رابط خبيث بعد أي إدخال من المستخدم.
لماذا تفلت هذه الهجمات من الدفاعات التقليدية؟
تتجاوز هجمات ClickFix ضوابط الكشف التقليدية لعدة أسباب. لا ترى أمان البريد الإلكتروني الصفحات التي يصل إليها المستخدم عبر نتائج البحث. وتتعامل أنظمة سمعة الروابط والقوائم السوداء مع نطاقات مشروعة مثل bing.com أو chatgpt.com أو مواقع ويب تم اختراقها. كما أن مجموعات أدوات ClickFix الحديثة تستخدم EtherHiding، لتخزين إعداداتها في عقد ذكي على سلسلة كتل عامة، مما يجعل إزالة الخادم أمرًا مستحيلًا على المهاجمين.
يعتبر أمان نقطة النهاية (Endpoint Security) هو خط الدفاع الأخير، لكن ClickFix مصممة لتجاوزه أيضًا. يتم تشغيل الأمر الخبيث في محتوى شرعي، مما لا يتطابق مع سلاسل العمليات التي تبحث عنها قواعد نقاط النهاية. كما يتم تشغيلها في الذاكرة دون ترك أي ملف يمكن لفحص الحماية الكشف عنه. وقد رُصدت 84 صيغة أمر عبر أكثر من 20 ثنائيًا، كلها مشفرة لهزيمة المطابقة النصية.
ماذا يعني هذا للمطورين والمصممين؟
بالنسبة للمطورين والمصممين، يعني هذا أن الحذر الشديد ضروري عند التعامل مع أدوات الذكاء الاصطناعي الجديدة أو تثبيت أي شيء عبر الأوامر الطرفية. لا تعتمدوا فقط على سمعة النطاق، فالمهاجمون يستغلون المنصات الموثوقة. تحققوا دائمًا من الأوامر قبل لصقها وتنفيذها، حتى لو كانت الصفحة تبدو مشروعة وتظهر أمرًا صحيحًا.
يجب أن تدرك الفرق التقنية أن إجراءات الأمان التقليدية قد لا تكون كافية ضد هذه الهجمات المتطورة. من الضروري تعزيز أمان المتصفح ونقاط النهاية، وتثقيف المستخدمين حول مخاطر التنزيلات غير المباشرة والتفاعل مع صفحات نتائج البحث المزيفة. كما أن الحاجة ملحة لأدوات أمان متقدمة يمكنها الكشف عن السلوكيات الخبيثة في الذاكرة وتجاوز تشفير الأوامر.
المصدر: bleepingcomputer.com