สรุปสั้น
ClickFix คือ เทคนิคหลอกให้ผู้ใช้คัดลอกคำสั่งไปวางรันเองบนเครื่อง โดยทำทีเป็นขั้นตอนแก้ปัญหาหรือยืนยันว่าไม่ใช่บอต ล่าสุดนาย Brad Duncan นักวิจัยของ SANS Internet Storm Center (ISC) รายงานเมื่อวันที่ 28 ตุลาคม 2569 ว่าพบแคมเปญที่ยังไม่มีชื่อ ฝังสคริปต์ภายนอกลงเว็บไซต์จริงที่ถูกเจาะ ผู้เข้าชมจะเห็นหน้าตรวจสอบของ Cloudflare ปลอม ซึ่งแทนที่จะให้ติ๊กช่อง กลับสั่งให้เปิดหน้าต่าง Run หรือ Terminal แล้ววางคำสั่ง จุดเด่นของรอบนี้ คือ หน้าปลอมแสดงคำสั่งต่างกันตามระบบปฏิบัติการ รองรับทั้ง Windows และ macOS
หลักฐานที่มีตอนนี้ยืนยันได้แค่ความพยายามส่งมัลแวร์ ยังไม่ยืนยันการติดเชื้อหรือตระกูลมัลแวร์ เพราะระหว่างทดสอบ เซิร์ฟเวอร์ปลายทางตอบ HTTP 403 และโดเมนอีกตัวไม่ resolve ทำให้ดึง payload มาวิเคราะห์ไม่ได้ ทีมความปลอดภัยจึงควรใช้โดเมน js-static[.]cfd เป็นจุดตั้งต้นล่าภัย และตรวจว่าผู้ใช้ทำตามคำสั่งในหน้าปลอมหรือไม่ แทนที่จะสรุปว่าปลอดภัยเพียงเพราะดาวน์โหลดไม่สำเร็จ
รายละเอียดข่าว
เว็บไซต์ GBHackers รายงานเมื่อวันที่ 29 ตุลาคม 2569 ว่านาย Brad Duncan บันทึกแคมเปญนี้ไว้ใน ISC diary เมื่อวันที่ 28 ตุลาคม จุดเริ่มต้นของการสืบสวน คือ เว็บไซต์ถูกกฎหมายแห่งหนึ่งที่ถูกเจาะ ซึ่งนาย Duncan ไม่เปิดเผยชื่อ เว็บนั้นโหลดสคริปต์ embed.js จากโดเมน js-static[.]cfd ซึ่งเป็นตัวสร้างหน้าตรวจสอบ Cloudflare ปลอม
นาย Duncan เปิดหน้าล่อจากเครื่อง Windows และ macOS แล้วพบว่าได้คำสั่งต่างกัน แสดงว่าแคมเปญเตรียมเส้นทางไว้สำหรับทั้งสองระบบ เมื่อรันคำสั่งในสภาพแวดล้อมทดสอบ เซิร์ฟเวอร์ที่โฮสต์ไฟล์ตอบกลับ HTTP 403 Forbidden ส่วนอีกเส้นทางหนึ่ง โดเมนไม่ resolve ทั้งสองกรณีทำให้การวิเคราะห์หยุดก่อนถึง payload
ข้อจำกัดของหลักฐานมี 3 ข้อ ข้อแรก ยังไม่รู้ว่ามีเว็บไซต์ถูกเจาะกี่แห่ง ข้อสอง ความล้มเหลวระหว่างทดสอบไม่ได้แปลว่าแคมเปญไม่มีพิษภัยหรือหยุดถาวร อาจเป็นการกรองผู้เข้าชมหรือเปลี่ยนโครงสร้างชั่วคราว ข้อสาม มัลแวร์ปลายทาง กลไกคงอยู่ ความสามารถ และตัวตนผู้อยู่เบื้องหลังยังไม่มีข้อมูล
ด้าน Microsoft เคยรายงานแคมเปญ ClickFix บน macOS ที่ส่งมัลแวร์ขโมยข้อมูล และปฏิบัติการ TerminalFix ที่ใช้เว็บถูกเจาะซ้อนหน้า Cloudflare ปลอม ต่อด้วย PowerShell, DLL sideloading และ reverse tunnel แต่ไม่มีหลักฐานว่าใช้ผู้ปฏิบัติการหรือโครงสร้างเดียวกับรอบนี้
วิธีการโจมตี
ฝังสคริปต์ลงเว็บจริง — ผู้โจมตีแก้เว็บไซต์ที่ถูกเจาะให้โหลด hxxps[:]//js-static[.]cfd/embed.js?v=24 สคริปต์นี้รายงานกลับไปยัง endpoint /api/s/on?site= พร้อมชื่อเว็บต้นทาง และ /api/s/hit กับ /api/track/event ซึ่งน่าจะใช้นับการเข้าชมและติดตามว่าเหยื่อทำตามขั้นไหนแล้ว
หน้าตรวจสอบปลอมที่แยกตาม OS — ผู้เข้าชมเห็นหน้าคล้ายการตรวจสอบเบราว์เซอร์ของ Cloudflare ที่คุ้นตา แต่ขั้น “ยืนยัน” คือ ให้คัดลอกคำสั่ง บน Windows แคมเปญ ClickFix ทั่วไปให้กด Win+R แล้ววาง ส่วนบน macOS ให้เปิด Terminal แล้ววาง (รายละเอียดคำสั่งของแคมเปญนี้ยังไม่ถูกเผยแพร่)
ทำไมถึงได้ผล — ผู้ใช้เป็นคนรันคำสั่งเอง การดาวน์โหลดจึงไม่ผ่านกลไกเตือนไฟล์ของเบราว์เซอร์ และหลายองค์กรไม่ได้เฝ้าดูการเปิดเชลล์ที่เริ่มจากผู้ใช้ เทคนิคนี้จึงถูกใช้ต่อเนื่อง ทั้งกรณีหน้า Cloudflare ปลอมที่ CERT-UA พบ (2026/10/038 ) และการซ่อน payload ในแคชเบราว์เซอร์ (2026/10/036 )
ร่องรอยที่ใช้ตรวจจับ — การโหลดสคริปต์จาก js-static[.]cfd ในล็อก proxy/DNS หรือประวัติเบราว์เซอร์ ตามด้วยการรัน PowerShell, mshta, cmd หรือ Terminal ภายในไม่กี่นาที และการเชื่อมต่อขาออกไปยังโดเมนใหม่หลังจากนั้น
ผลกระทบ
ผู้เสี่ยงคือผู้ใช้ Windows และ macOS ที่เข้าเว็บไซต์ซึ่งถูกฝังสคริปต์ และเจ้าของเว็บไซต์ที่ถูกเจาะซึ่งกลายเป็นตัวแพร่โดยไม่รู้ตัว ขนาดของแคมเปญยังไม่ทราบ เพราะนักวิจัยเห็นเพียงเว็บต้นทางเดียว
ความหมายเชิงปฏิบัติ คือ ClickFix ไม่ได้จำกัดอยู่ที่ Windows อีกต่อไป ผู้ใช้ macOS ที่มักคิดว่าปลอดภัยกว่าก็ตกเป็นเป้าด้วยกลไกเดียวกัน และการที่ payload ดึงไม่ได้ในวันทดสอบไม่ได้รับประกันว่าเครื่องที่ทำตามคำสั่งไปแล้วไม่ถูกติดตั้งอะไร
คำแนะนำ
- บล็อก js-static[.]cfd ทันที ที่ DNS, proxy และ secure web gateway
- ล่าย้อนหลัง — ค้นล็อกหาการเรียก js-static[.]cfd แล้วเชื่อมกับการรันคำสั่งและการเชื่อมต่อขาออกบนเครื่องเดียวกัน ให้ความสำคัญกับคำถามว่าผู้ใช้ทำตามคำสั่งหรือไม่ มากกว่าดูว่าการดาวน์โหลดถูกบล็อกหรือเปล่า
- ตั้งการตรวจจับฝั่ง endpoint — แจ้งเตือนเมื่อ explorer.exe เปิด PowerShell/mshta/cmd จากกล่อง Run พร้อมคำสั่งที่มี URL และบน macOS ให้เฝ้า Terminal ที่รัน curl ต่อท่อเข้า sh/bash หรือ osascript
- จำกัดกล่อง Run บนเครื่องที่ไม่จำเป็น ผ่าน Group Policy และใช้นโยบาย PowerShell Constrained Language Mode ตามความเหมาะสม
- สื่อสารกับผู้ใช้ด้วยกฎข้อเดียว — หน้า CAPTCHA หรือการตรวจสอบของจริงไม่เคยขอให้เปิด Run, PowerShell หรือ Terminal แล้ววางคำสั่ง
- เจ้าของเว็บไซต์ — ตรวจหาแท็กสคริปต์ภายนอกที่ไม่ได้เพิ่มเอง ตรวจไฟล์ธีม/ปลั๊กอินที่ถูกแก้ และเปลี่ยนรหัสผู้ดูแลระบบ
Indicators of Compromise (IoCs)
หมายเหตุ: URL ถูก defang แล้ว (เช่น
hxxps[:]และ[.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ · ชื่อเว็บต้นทางถูกนักวิจัยปิดไว้
| ลำดับ | URL |
|---|---|
| 1 | hxxps[:]//js-static[.]cfd/embed.js?v=24 |
| 2 | hxxps[:]//js-static[.]cfd/api/s/on?site=[information removed].com |
| 3 | hxxps[:]//js-static[.]cfd/api/s/hit |
| 4 | hxxps[:]//js-static[.]cfd/api/track/event |