"أثبت أنك لست روبوتاً": هجوم CAPTCHA المزيف (ClickFix) الذي يطلب منك لصق أمر، فلا تفعل أبداً
صفحة تحقق تطلب منك الضغط على Windows + R ثم لصق شيء وضغط Enter. لا يوجد تحقق حقيقي يطلب ذلك. هكذا تجعلك حيلة ClickFix تثبّت البرنامج الخبيث بيدك، وهكذا تحمي نفسك.
يبحث عمر عن وصفة طبخ، ويفتح موقعاً يبدو عادياً. تظهر نافذة مألوفة: “أثبت أنك لست روبوتاً”، مع مربع للتحقق. يضغط عليه، فتظهر تعليمات “للتحقق الإضافي”:
- اضغط على زر Windows و R معاً.
- اضغط Ctrl و V.
- اضغط Enter.
التعليمات بسيطة، وعمر معتاد على اختبارات CAPTCHA الغريبة. ينفذها. تظهر نافذة سوداء صغيرة لثانية ثم تختفي. “تم التحقق”. ويكمل قراءة الوصفة.
ما فعله عمر في تلك الثواني الثلاث: شغّل بيده أمراً حمّل برنامجاً خبيثاً على حاسوبه. هذا هو ClickFix.
كيف يعمل ClickFix؟
حسب تحليل نشرته Microsoft في 21 غشت 2025:
- الوصول إلى الصفحة: عبر رسالة تصيد، أو إعلان خبيث، أو موقع حقيقي مخترق (مثل موقع الوصفات في القصة).
- التحقق المزيف: صفحة تقلد خدمات معروفة مثل reCAPTCHA من Google أو Cloudflare Turnstile.
- النسخ الصامت: عندما تضغط على زر “التحقق”، تنسخ الصفحة دون علمك أمراً خبيثاً إلى الحافظة (ما تنسخه بـ Ctrl+C).
- اللصق والتشغيل: تطلب منك الصفحة لصقه في نافذة “تشغيل” في ويندوز (Win+R)، أو في Terminal أو PowerShell. وتقول Microsoft إن المحتالين يفضلون نافذة “تشغيل” لأن كثيراً من المستخدمين لا يعرفون ما هي أصلاً.
- التثبيت: الأمر يحمّل البرنامج الخبيث ويشغّله، غالباً في الذاكرة دون ترك ملف واضح.
ولأن أنت من شغّل الأمر، قد يمر الهجوم من أنظمة الحماية الآلية.
ماذا يُثبَّت؟
حسب Microsoft، أكثر ما يُثبَّت عبر هذه الحيلة هو برامج سرقة المعلومات، وعلى رأسها Lumma Stealer، إلى جانب برامج للتحكم عن بعد في الحاسوب. وشرحنا خطورة برامج السرقة في مقال برامج سرقة المعلومات وكوكيز الجلسات: كلمات مرورك، وجلساتك المفتوحة، ومحافظك الرقمية.
تحذير من احتيال
لا يوجد أي اختبار CAPTCHA حقيقي يطلب منك فتح نافذة “تشغيل” أو Terminal أو PowerShell ولصق شيء فيها. أبداً. إذا طلبت منك صفحة ذلك، أغلقها فوراً.
إلى أي حد هي منتشرة؟
كثيراً. حسب تقرير شركة ESET للنصف الأول من 2025، ارتفعت عمليات رصد ClickFix بنسبة 517% خلال ستة أشهر مقارنة بالنصف الثاني من 2024، وأصبحت تمثل حوالي 8% من الهجمات التي أوقفتها، لتصبح ثاني أكثر وسائل الهجوم شيوعاً بعد التصيد الاحتيالي.
ليست فقط على ويندوز
- على Mac: رصدت Microsoft في يونيو 2025 حملة تستهدف مستعملي macOS ببرنامج سرقة اسمه AMOS، عبر CAPTCHA مزيف.
- عبر “دليل” يبدو موثوقاً: في دجنبر 2025، وصفت Kaspersky حملة اشترت إعلانات Google لتقود الباحثين عن متصفح جديد إلى محادثة ChatGPT مشتركة تبدو كدليل تثبيت رسمي، تطلب لصق سطر واحد في Terminal. السطر كان يثبّت برنامج AMOS الذي يسرق كلمات المرور والكوكيز والمحافظ الرقمية والملفات، ويطلب كلمة مرور النظام مراراً حتى تُدخلها.
لماذا يظهر على مواقع عادية؟
قد تظن أن هذه الحيلة لا تظهر إلا في مواقع مشبوهة. لكن Microsoft تذكر أن صفحات ClickFix تصل إلى الضحايا أيضاً عبر مواقع حقيقية تم اختراقها: موقع وصفات، أو مدونة، أو موقع شركة صغيرة لم يحدّث برامجه. صاحب الموقع نفسه قد لا يعرف أن موقعه يعرض CAPTCHA مزيفاً. لهذا، الثقة في الموقع لا تكفي: القاعدة تبقى نفسها في كل مكان، لا تلصق أوامر طلبتها منك صفحة.
الأشكال التي قد تأخذها الحيلة
- “أثبت أنك لست روبوتاً” مع خطوات Win+R.
- “حدث خطأ في عرض الصفحة، اضغط هنا لإصلاحه” ثم نفس الخطوات.
- “المستند لا يُعرض، شغّل هذا الأمر لتثبيت الخط المفقود”.
- “دليل تثبيت” لبرنامج أو أداة رائجة، يطلب لصق أمر في Terminal.
- “تحديث المتصفح مطلوب” مع أمر للصق.
علامات التحذير
- أي تعليمات فيها Win+R، أو Ctrl+V في نافذة “تشغيل”، أو “افتح Terminal/PowerShell والصق”.
- CAPTCHA غريب يطلب أكثر من الضغط على مربع أو اختيار صور.
- “خطأ” في موقع عادي يطلب منك “إصلاحه” بنفسك عبر أمر.
- نافذة سوداء تظهر وتختفي بسرعة بعد خطوة طلبها منك موقع.
- طلب كلمة مرور النظام (على Mac خصوصاً) بعد لصق أمر.
كيف تحمي نفسك؟
- القاعدة الوحيدة التي تحتاجها: لا تلصق أبداً في “تشغيل” أو Terminal أو PowerShell أمراً طلبه منك موقع أو رسالة أو محادثة، ما لم تفهم بالضبط ما يفعله. هذه نصيحة Microsoft وKaspersky معاً.
- انتبه لما تنسخه وتلصقه: المواقع تستطيع وضع شيء في حافظتك دون أن تراه، فلا تلصق ما لم تنسخه أنت بنفسك وتعرف محتواه.
- أبقِ الحماية مفعلة: Microsoft Defender في ويندوز، والحماية المعززة في المتصفح. وتنصح Microsoft بعدم تجاوز تحذيرات SmartScreen في Edge.
- حدّث نظامك ومتصفحك.
- إذا لم تفهم أمراً، تقترح Kaspersky لصقه في روبوت محادثة ذكاء اصطناعي وسؤاله عما يفعله وهل هو خطير، دون تشغيله. أو اسأل شخصاً مختصاً.
- في العمل: إذا كنت مسؤولاً عن حواسيب الآخرين، فكّر في تقييد PowerShell للمستخدمين العاديين.
نصيحة
علّم أفراد عائلتك هذه الجملة: “حتى موقع ما كيطلب منك تكتب ولا تلصق شي حاجة فالنافذة الكحلة”. أغلب ضحايا ClickFix لا يعرفون أن نافذة “تشغيل” تستطيع تثبيت برامج.
ماذا تفعل إذا نفذت الخطوات؟
- افصل الحاسوب عن الإنترنت فوراً (Wi-Fi والكابل).
- لا تُدخل أي كلمة مرور على هذا الحاسوب بعد الآن، حتى يتم تنظيفه.
- افحص الحاسوب بمضاد فيروسات موثوق ومحدّث. لكن انتبه: برامج السرقة قد تكون أخذت ما تريد في الثواني الأولى، لذلك:
- من جهاز آخر نظيف، اخرج من كل الجلسات في حساباتك المهمة، ثم غيّر كلمات المرور، بدءاً بالبريد الإلكتروني ثم البنك ومواقع التواصل.
- إذا كانت لديك محفظة عملات رقمية على الحاسوب، اعتبرها مكشوفة وانقل أموالك إلى محفظة جديدة من جهاز نظيف.
- إذا لم تتأكد من التنظيف، احفظ ملفاتك وأعد تثبيت النظام.
- اتصل ببنكك إذا كانت معلوماته محفوظة في المتصفح، وبلّغ عبر منصة “E-Blagh” (dgsn.gov.ma) إذا سُرقت أموال.
تنبيه
لا تكتفِ بإعادة تشغيل الحاسوب وكأن شيئاً لم يحدث. حتى لو بدا كل شيء طبيعياً، قد يكون برنامج السرقة أرسل كلمات مرورك وجلساتك قبل أن تنتبه.
الخلاصة السريعة
- CAPTCHA حقيقي لا يطلب أبداً Win+R ولا لصق أوامر.
- لا تلصق في “تشغيل” أو Terminal أو PowerShell ما طلبه منك موقع.
- المواقع تستطيع نسخ أوامر إلى حافظتك دون علمك.
- إذا نفذت الخطوات: افصل الإنترنت، ثم أمّن حساباتك من جهاز آخر.