ClickFix نوعی کلاهبرداری است که در آن یک صفحه جعلی «من ربات نیستم» یا یک پیام خطای ساختگی از شما میخواهد کلید Windows + R را بزنید، چیزی را Paste کنید و Enter بزنید. همین سه حرکت یک دستور مخفی را در Run یا PowerShell اجرا میکند و بدافزار سرقت اطلاعات (Infostealer) نصب می‌شود؛ بدافزاری که رمزهای ذخیره‌شده در مرورگر، کوکی‌های ورود و کیف پول‌های ارز دیجیتال را می‌دزدد. قانون ساده است: هیچ سایت واقعی‌ای برای تأیید انسان بودن از شما نمی‌خواهد Run یا PowerShell را باز کنید.
ClickFix چیست و چطور کار میکند؟
مایکروسافت ClickFix را یک تکنیک مهندسی اجتماعی توصیف میکند که از عادت کاربران به حل کردن خطاهای کوچک و پر کردن کپچا سوءاستفاده میکند و آن‌ها را به کپی، Paste و اجرای دستور در پنجره Run، Windows Terminal یا PowerShell می‌کشاند (Microsoft Threat Intelligence). نکته خطرناک این است که خود شما دستور را اجرا می‌کنید، پس بخشی از ابزارهای امنیتی آن را کار عادی کاربر می‌بینند.
مسیر حمله معمولاً این شکلی است:
- ۱صفحه آلوده
با کلیک روی تبلیغ یا لینک دانلود، صفحهای باز می‌شود که شبیه کپچای Cloudflare یا گوگل است، یا ادعا میکند فیلم پخش نمی‌شود یا مرورگرتان خطا دارد.
- ۲کپی پنهان
با زدن دکمه «I’m not a robot» یا «Fix»، سایت بدون اطلاع شما یک دستور مخرب را در کلیپبورد کپی میکند. متنی که روی صفحه می‌بینید معمولاً با دستور واقعی فرق دارد.
- ۳اجرا به دست خود کاربر
صفحه می‌گوید Win + R، بعد Ctrl + V و در آخر Enter را بزنید. با Enter، دستور PowerShell بدافزار را دانلود و اجرا میکند.
آژانس امنیت سایبری آمریکا (CISA) دقیقاً همین الگو را در توزیع بدافزار LummaC۲ گزارش کرده است: کپچای جعلی، باز کردن Run با Windows + R، Paste و اجرای یک دستور PowerShell کدشده (CISA). طبق همین گزارش، این بدافزار اطلاعات شخصی، اطلاعات حساب‌های مالی، کیف پول ارز دیجیتال، افزونه‌های مرورگر و حتی اطلاعات تأیید دو مرحله‌ای را سرقت میکند.
نشانه‌های کپچای جعلی
کپچای واقعی فقط داخل صفحه مرورگر کار میکند: تیک زدن یک گزینه، انتخاب چند عکس یا گاهی هیچ کاری. هر چیزی بیشتر از این، زنگ خطر است:
اگر صفحهای گفت برای تأیید، کلید ویندوز و R را بزنید یا Terminal را باز کنید، فوراً تب را ببندید. این مهمترین و قطعی‌ترین نشانه است.
کپچا هیچ‌وقت از شما نمی‌خواهد چیزی را بیرون از مرورگر Paste کنید. کلیپبورد شما همان لحظه با دستور مهاجم پر شده است.
پیام‌هایی مثل «تأیید در ۶۰ ثانیه منقضی می‌شود» یا «مرورگر شما آسیب دیده» برای این است که فرصت فکر کردن نداشته باشید.
صفحهای که می‌گوید فیلم پخش نمی‌شود یا فایل دانلود نمی‌شود مگر «کد تعمیر» را اجرا کنید، همان ClickFix است.
چرا کاربران ایرانی بیشتر در معرض هستند؟
این صفحه‌ها بیشتر روی سایت‌های دانلود نرم‌افزار، سایت‌های کرک و پچ، سایت‌های تماشای آنلاین فیلم و سریال و تبلیغات پاپ‌آپ آن‌ها دیده میشوند. مایکروسافت هم در گزارش بدافزار Lumma نوشته که نسخه‌های کرک‌شده نرم‌افزارها و تبلیغات آلوده در نتایج جست‌وجو از راه‌های اصلی پخش این بدافزار هستند (Microsoft Threat Intelligence). کاربر ایرانی به دلیل اینکه خرید بسیاری از نرم‌افزارها برایش تحریم است، بیشتر سراغ همین سایت‌ها می‌رود و احتمال برخورد با ClickFix برایش بالاتر است. (غیررسمی؛ برداشت از الگوی رایج سایت‌های دانلود فارسی، آمار رسمی برای ایران منتشر نشده است)
قابلیت جدید کروم: تشخیص کلاهبرداری با Gemini
گوگل در ۲۰ اکتبر ۲۰۲۶ در وبلاگ رسمی خود دو تغییر برای کاربرانی که حالت Enhanced Protection را در Safe Browsing روشن کردهاند اعلام کرد (Google Blog):
کروم حالا تشخیص می‌دهد که کاربر فریب خورده و یک دستور مشکوک را کپی کرده است. محتوای کلیپبورد پس از حذف اطلاعات شخصی برای Safe Browsing فرستاده می‌شود و اگر خطرناک تشخیص داده شود، کروم هشدار نشان می‌دهد.
تشخیص کلاهبرداری با Gemini که قبلاً روی خود دستگاه و فقط برای کلاهبرداری پشتیبانی فنی کار می‌کرد، به مدل قوی‌تر سمت سرور منتقل شده و حالا آنتیویروس جعلی و آپدیت جعلی مرورگر را هم بررسی میکند.
طبق گوگل، متن صفحه فقط وقتی تحلیل می‌شود که نشانه‌های قوی کلاهبرداری وجود داشته باشد و این داده ذخیره نمی‌شود و برای آموزش مدل‌ها استفاده نمی‌شود.
این هشدارها فقط در حالت Enhanced Protection فعال هستند. برای روشن کردنش در کروم به Settings > Privacy and security > Security بروید و Enhanced protection را انتخاب کنید (Chrome Help). گوگل خودش گفته این سیستم برای دقت بالا طراحی شده تا مزاحم برنامه‌نویس‌ها نشود؛ یعنی ممکن است هر دستور مخربی را نگیرد و نباید فقط به آن تکیه کنید.
اگر دستور را اجرا کردم چه کنم؟
اگر صفحهای شما را به Win + R کشاند و Enter را زدید، فرض کنید سیستم آلوده شده است. این کارها را به همین ترتیب انجام دهید:
- ۱قطع اینترنت
کابل شبکه را بکشید یا Wi-Fi را خاموش کنید تا ارسال اطلاعات به مهاجم یا دانلود مرحله‌های بعدی بدافزار متوقف شود.
- ۲اسکن کامل Defender
در Windows Security > Virus & threat protection > Scan options گزینه Full scan را اجرا کنید (Microsoft Support).
- ۳اسکن آفلاین
در همان صفحه Microsoft Defender Antivirus (offline scan) را بزنید. سیستم ری‌استارت می‌شود و قبل از بالا آمدن ویندوز اسکن میکند تا بدافزارهای مخفی هم پیدا شوند.
- ۴تغییر رمزها از دستگاه دیگر
با گوشی یا یک کامپیوتر سالم، رمز ایمیل، حساب گوگل، پیام‌رسان‌ها، حساب‌های بانکی و صرافی‌ها را عوض کنید و از همه دستگاه‌های واردشده خارج شوید. برای ساختن رمزهای جدید و قوی از یک برنامه مدیریت رمز عبور کمک بگیرید.
- ۵روشن کردن تأیید دو مرحله‌ای
روی همه حساب‌های مهم تأیید دو مرحله‌ای را فعال کنید تا رمز دزدیده‌شده به‌تنهایی کافی نباشد.
- ۶بررسی برنامه‌های خودکار
در Task Manager > Startup apps برنامه‌های ناشناس را Disable کنید و در Task Scheduler کارهای زمان‌بندی‌شده ناشناسی را که اخیراً ساخته شده‌اند بررسی کنید؛ بدافزارها معمولاً از همین دو مسیر بعد از ری‌استارت دوباره اجرا میشوند.
اگر کیف پول ارز دیجیتال روی همان کامپیوتر داشتید، موجودی را با یک دستگاه سالم به کیف پول جدید منتقل کنید. اگر اسکن‌ها باز هم چیزی پیدا کردند یا سیستم رفتار عجیبی داشت، مطمئن‌ترین راه، بکاپ از فایل‌های شخصی و نصب تمیز ویندوز است.
پیشگیری از ClickFix
هیچ متنی را که سایتی گفته، در Run، CMD یا PowerShell اجرا نکنید. کپچا، پخش ویدیو و دانلود فایل هیچ‌وقت چنین چیزی لازم ندارند.
مایکروسافت محدود کردن پنجره Run برای کاربرانی که به آن نیاز ندارند را توصیه کرده است. در ویندوز Pro و Enterprise با gpedit.msc به User Configuration > Administrative Templates > Start Menu and Taskbar بروید و Remove Run menu from Start Menu را روی Enabled بگذارید؛ این گزینه Win + R را هم غیرفعال میکند. ویرایش Home ویرایشگر Group Policy ندارد، پس برای بچه‌ها و کاربران کم‌تجربه یک حساب Standard جداگانه بسازید.
کروم را آپدیت نگه دارید تا هشدارهای جدید را بگیرید و Enhanced Protection را روشن کنید. به هشدارهای قرمز مرورگر و خطاهای گواهی SSL مثل Your connection is not private بی‌توجهی نکنید.
نرم‌افزار را از سایت رسمی سازنده یا منابع معتبر بگیرید. اگر سایت رسمی برای کاربر ایرانی تحریم یا مسدود است، دنبال جایگزین رایگان و متن‌باز باشید، نه نسخه کرک‌شده.
پاسخ به سوالات شما
آیا کپچای واقعی Cloudflare یا گوگل هم از من میخواهد Win + R بزنم؟
نه. کپچای واقعی فقط داخل مرورگر تیک یا انتخاب عکس میخواهد. هر صفحهای که برای تأیید، Run یا PowerShell را بخواهد جعلی است، حتی اگر لوگوی Cloudflare یا گوگل داشته باشد.
فقط دستور را Paste کردم ولی Enter نزدم؛ آلوده شدهام؟
اگر Enter را نزدهاید، دستور اجرا نشده است. پنجره Run را ببندید، یک متن بیخطر کپی کنید تا کلیپبورد پاک شود و برای اطمینان یک Quick scan با Windows Security انجام دهید.
آنتیویروس جلوی ClickFix را نمیگیرد؟
گاهی میگیرد، ولی چون خود کاربر دستور را با ابزارهای قانونی ویندوز مثل PowerShell اجرا میکند، بعضی حملهها از آنتیویروس رد میشوند. هوشیاری خود شما مهمترین لایه دفاع است.
هشدار جدید کروم برای همه فعال است؟
نه. طبق اعلام گوگل، هشدار ClickFix و تشخیص کلاهبرداری با Gemini فقط برای کاربرانی است که Enhanced Protection را در تنظیمات امنیتی کروم روشن کردهاند.
روی مک یا گوشی هم ClickFix وجود دارد؟
بله، نسخههایی از این حمله کاربران مک را به اجرای دستور در Terminal ترغیب میکنند. قاعده همان است: هیچ سایتی نباید از شما بخواهد دستوری را در Terminal اجرا کنید. (غیررسمی؛ گزارشهای پژوهشگران امنیتی، منابع رسمی این مقاله فقط ویندوز را بررسی کردهاند)
دیدگاه‌ها