Ponovljivi napadi podižu rizik od ClickFixa i zloupotrebe alata
Microsoft je prošle godine ClickFix označio kao najčešći metod početnog pristupa u svojim obaveštenjima, sa udelom od 47%, dok je Bitdefender u analizi 700.000 bezbednosnih incidenata utvrdio da su binarni alati koji već postoje na uređaju bili uključeni u 84% slučajeva visokog prioriteta. Te brojke opisuju obrazac u kojem napadači ne moraju da isporuče prilog, instaliraju sopstveni malver ili iskoriste novu ranjivost.
ClickFix se oslanja na stranicu koja od posetioca traži potvrdu da nije robot, a zatim neprimetno postavlja komandu u privremenu memoriju. Korisnik dobija uputstvo da otvori terminal i nalepi komandu. Kada se izvršavanje prepusti korisniku, klasične kontrole zasnovane na skeniranju priloga ili zakrpama ranjivosti ne rešavaju početni korak napada.
Vrednost je u postupku koji se može ponoviti
Kriminalne grupe teže procedurama koje mogu da primene na velikom broju organizacija bez prilagođavanja svakom pojedinačnom okruženju. Verizonov Data Breach Investigations Report navodi da je iskorišćavanje ranjivosti bilo najzastupljeniji vektor početnog pristupa u skupu podataka te godine, sa 31%, naspram 20% prethodne godine.
Posebno su privlačni javno izloženi uređaji sa ranjivostima za udaljeno izvršavanje koda bez autentikacije. Postupak je predvidljiv: prati se objava CVE oznaka, čeka se javno dostupan dokaz koncepta, a zatim se internet pretražuje radi sistema koji nisu zakrpljeni. Prednost nije nužno tehnička originalnost, već brzina i obim ponavljanja.
Legitimni alati postaju deo lanca napada
Nakon početnog pristupa, napadači često koriste skriptne mehanizme, alate za udaljeno upravljanje, arhiviranje i administrativne binarne programe koji su već instalirani. Takav pristup je poznat kao korišćenje postojećih resursa sistema. Alati su prisutni u mnogim okruženjima i operater koji poznaje redosled radnji može ga primeniti kod sledeće žrtve uz manje prilagođavanja.
Ovo otežava odbranu jer pojedinačni događaji mogu izgledati legitimno. Pokretanje alata za udaljeno upravljanje, prijava naloga i komunikacija sa cloud skladištem nisu sami po sebi dokaz incidenta. Sumnjiv signal može biti njihov sled, vreme i uređaj na kojem se pojavljuju zajedno.
Obim napada raste, a cena po pokušaju se smanjuje
Verizon je zabeležio rast udela ransomvera na 48% svih povreda podataka, sa 44% godinu ranije. Istovremeno, 69% žrtava ransomvera nije platilo otkup, a medijana plaćenog iznosa pala je sa 150.000 na 139.875 dolara. Bitdefender je samo u junu 2026. na sajtovima za objavu podataka izbrojao 704 organizacije koje su grupe označile kao žrtve.
Takvi pokazatelji podstiču operacije da smanje cenu svakog pokušaja i povećaju broj pokušaja. Modeli veštačke inteligencije mogu pomoći u pripremi mamaca, istraživanju tehnika ili izradi alata, ali njihovo pokretanje uživo kod svake žrtve uvodi dodatni trošak i varijabilnost u poslovni model zasnovan na standardizovanim koracima.
Praktični prioriteti za organizacije
Prvi prioritet je zakrpljivanje javno dostupnih sistema, naročito ranjivosti koje omogućavaju udaljeno izvršavanje koda bez prijave. Vreme između objave upozorenja i javnog dokaza koncepta može biti kratko, pa je korisno rangirati imovinu prema izloženosti i posledicama.
Kontrola aplikacija i pravila izvršavanja skripti mogu prekinuti ClickFix lanac kada nalepljena komanda treba da postane proces. Organizacije takođe mogu ograničiti ko sme da koristi administrativne i alate za udaljeno upravljanje, smanjiti preširoka ovlašćenja servisnih naloga i pratiti povezane događaje, a ne samo izolovana upozorenja. Najvažnije je da upozorenja imaju vlasnika sa ovlašćenjem da reaguje, jer alat koji niko ne prati ostaje samo zapis za naknadnu analizu.