Falsk Windows-uppdatering sprider stöldvirus – så undviker du ClickFix-fällan

Så ser bluffen ut

Angreppet börjar i webbläsaren. Du kan plötsligt få upp en helskärmsruta som ser ut som en riktig Windows Update, med samma blå bakgrund och ”säkerhetsuppdatering pågår”. Enligt säkerhetsbolaget Huntress är det här en ny variant av ClickFix där angriparna försöker efterlikna Microsofts egna gränssnitt för att vinna förtroende. 

När den fejkade uppdateringen ”är klar” kommer nästa steg: du uppmanas att trycka WIN + R (öppnar Kör), sedan Ctrl + V (klistrar in det som redan ligger i urklipp), och till sist OK/Enter. Det som klistras in är i själva verket en skadlig PowerShell-rad som startar infektionen, enligt PC Gamer.

Skadeprogrammen: LummaC2 och Rhadamanthys

Följer du instruktionerna laddas informationsstjälande malware ner. Huntress beskriver hur kampanjen i flera steg planterar bland annat LummaC2 och Rhadamanthys – två välkända ”infostealers” som kan sno lösenord, cookies, plånboksdata och annan känslig information från webbläsare och system. 

I den senaste varianten döljer angriparna delar av koden i bildfiler (PNG-steganografi) för att göra det svårare för säkerhetsprogram att upptäcka vad som händer. 

Därför funkar ClickFix så bra

ClickFix är i grunden social ingenjörskonst: i stället för att utnyttja en teknisk sårbarhet får man användaren att själv köra kommandon. Microsoft har tidigare pekat ut ClickFix som en snabbt växande metod där instruktioner om ”kopiera-klistra in för att fixa problemet” används i allt från falska captcha-kontroller till fejkade uppdateringar, skriver Microsoft.

Det gör tricket extra farligt: inget ”konstigt” behöver laddas ner manuellt, och många hinner inte reagera innan de själva tryckt igenom stegen.

Så skyddar du dig

Det finns några enkla tumregler som stoppar den här typen av attacker:

• Riktiga Windows-uppdateringar kräver aldrig att du kör kommandon själv. Om någon uppdatering ber dig öppna Kör-rutan eller klistra in text – avbryt direkt, varnar PC Gamer.
  
• Stäng webbläsarfliken om den visar en uppdateringsruta eller låser skärmen. Starta om webbläsaren vid behov.
  
• Uppdatera bara via Windows egna inställningar: Startmeny → Inställningar → Windows Update.
  
• Ha skydd som varnar för skadliga skript och phishing, och se till att Defender/antivirus är uppdaterat.
  
• Var extra skeptisk mot ”brådska”: ClickFix bygger ofta på att du ska agera snabbt för att ”rädda datorn”.
  

Vad vi vet om spridningen

Kampanjen började i början av oktober och antalet drabbade är ännu oklart, enligt Huntress och rapporter i internationell tech-press. Men forskarna bedömer att metoden kan spridas snabbt eftersom den är billig att genomföra och lätt att återanvända i andra lockbeten.

Bottom line: om en ”uppdatering” dyker upp i webbläsaren och vill att du ska trycka WIN+R – så är det inte en uppdatering. Det är någon som försöker få dig att installera malware åt dem.