Для людей, стоящих за атаками, ClickFix теперь значительно упрощает их работу. До ClickFix им потребовалось бы установить вредоносное ПО (отслеживаемое как Lorem Ipsum, сообщила недавно компания по безопасности Blue Voyant) с использованием ресурсоёмкой инфраструктуры, включая SEO-манипулируемые и малвертайзинговые порталы загрузки, сертификаты подписи, доверенные Microsoft, и постоянно ротируемые домены для доставки пакетов Microsoft Installer.

«Переход на ClickFix в конце мая 2026 года полностью устраняет требование подписи кода, заменяя легитимность действительно подписанного установщика другой формой легитимности: пользователь добровольно выполняет вредоносную команду в своём собственном терминале», — заявила Blue Voyant. «[М]одель ClickFix расширяет пул жертв от пользователей, специально ищущих Microsoft Teams, до любого, кто просматривает скомпрометированный веб-сайт».

Ситуация для пользователей macOS не лучше. Как компания по безопасности Mac Jamf, так и исследователь задокументировали варианты ClickFix для macOS, которые могут обходить защиты Gatekeeper. Атакующие ClickFix продолжают находить новые способы использования публичных сервисов — включая публично опубликованные документы Google Sheets, согласно Cisco Talos. Другие атакующие, включая спонсируемый российским государством Sandworm, размещают свою инфраструктуру управления в смарт-контрактах на основе блокчейна. Компания по безопасности Netskope недавно обнаружила ещё одну кампанию, использующую тот же подход. Компания по безопасности насчитала 5 400 сайтов, отправляющих сигналы к ней, что указывает на охват и масштаб этой кампании.

И по мере того как производители ОС и защитники создают новые средства защиты, атакующие продолжают находить задокументированные способы их обхода. Итог всего этого таков: ClickFix — это высокоэффективное и результативное средство распространения всевозможных вредоносных программ. Оно не исчезнет, а обвинение или стыдение жертв только усугубляет проблему.