TikTok i „ClickFix”: jak krótkie filmiki napędzają infekcje infostealerami (Vidar, StealC, RedLine)

Wprowadzenie do problemu / definicja luki

Atakujący coraz częściej wykorzystują krótkie filmiki na TikToku jako przynętę do kampanii ClickFix – socjotechnicznej techniki nakłaniającej ofiarę do samodzielnego uruchomienia złośliwych poleceń pod pozorem „szybkiej naprawy” lub „aktywacji” oprogramowania. Najnowsza fala dotyczy filmów podszywających się pod poradniki aktywacji Windows/Office czy „premium” Spotify/Netflix i prowadzi do instalacji infostealerów (m.in. Vidar, StealC), które kradną hasła, ciasteczka sesyjne i dane portfeli krypto.

W skrócie

• Kanał dystrybucji: TikTok (krótkie wideo + link w bio/komentarzu).
• Technika: ClickFix – ofiara wykonuje „naprawcze” kroki (PowerShell/batch, pobranie „aktywatora”, wyłączenie AV).
• Ładunki: głównie Vidar, StealC, obserwowany także RedLine w pokrewnych kampaniach.
• Cel: kradzież poświadczeń i sesji do usług chmurowych/SaaS, eskalacja ataków BEC i przejęć kont.
• Nowość: kampanie są ciągłe – po majowych raportach badaczy przez cały czas realizowane są i adaptują się.

Kontekst / historia / powiązania

Microsoft zidentyfikował ClickFix w kampaniach e-mailowych już w 2024 r. (np. dystrybucja DarkGate), opisując wzorzec: fałszywa diagnoza problemu + „kliknij, by naprawić” → uruchomienie skryptu. W 2025 r. technika przeniosła się na platformy społecznościowe (TikTok), co znacząco zwiększyło zasięg i tempo infekcji. Równolegle obserwowano wykorzystanie ClickFix w innych łańcuchach (GHOSTPULSE/Stealer, RedLine).

Analiza techniczna / szczegóły luki

Wejście (Initial Access):

1. Filmik na TikToku udaje poradnik „aktywacji”/„naprawy” i kieruje do skrótu/strony z „narzędziem” lub poleceniami do wklejenia (często PowerShell).
2. Czasem „instrukcja” wymaga wyłączenia ochrony (Defender/SmartScreen), co toruje drogę do droppera.

Wykonanie (Execution):

• Polecenia PS pobierają loader (np. przez Invoke-WebRequest/bitsadmin) i uruchamiają go z parametrami ukrywającymi aktywność (tymczasowe katalogi, LOLBins).
• Stosowane są archiwa samorozpakowujące, pliki .bat/.vbs i living-off-the-land, aby ominąć sygnatury. Opisane schematy są spójne z wcześniejszymi obserwacjami ClickFix (DarkGate/GHOSTPULSE).

Ładunek (Payload):

• Vidar i StealC – typowe funkcje: kradzież haseł z przeglądarek (Chromium/Firefox), plików cookie, tokenów, autofill, danych komunikatorów i portfeli; eksfiltracja na C2.
• W innych gałęziach kampanii: RedLine Stealer jako downstream payload.

Trwałość i zaciemnianie:

• Harmonogram zadań/Run Keys, pliki w %AppData% i %LocalAppData%, czasem packery.
• Domeny C2 często rotują; krótkie żywoty kont TikTok ograniczają możliwość reakcji platformy. (Wniosek na podstawie raportów o rotacji infrastruktury i zbieżnych TTPs ClickFix).

Wskaźniki i TTPs (MITRE ATT&CK):

• T1566.002 (Socjotechnika – media społecznościowe), T1059.001 (PowerShell), T1105 (Exfiltracja przez kanał zdalny), T1053.005 (Trwałość – Task Scheduler), T1112/T1562 (Modyfikacja zabezpieczeń). (Mapowanie na podstawie publikacji technicznych Microsoft/Elastic/Trend Micro).

Praktyczne konsekwencje / ryzyko

• Kompromitacja kont osobistych i służbowych (SaaS, poczta, CRM, Git, chmura) przez przejęte cookie sesyjne i hasła → BEC, przejęcia repozytoriów, nadużycia API.
• Uderzenie w MDM/środowiska BYOD – infekcje na urządzeniach niezarządzanych stają się punktem wejścia do tożsamości korporacyjnych. Okta pokazuje, iż duża część nadużyć poświadczeń pochodzi z takich urządzeń.
• Ryzyko eskalacji: dosyłanie loaderów/RAT-ów, np. DarkGate/GHOSTPULSE, dalsza pivotacja w sieci.

Rekomendacje operacyjne / co zrobić teraz

Dla SOC/Blue Team:

• Detekcje PowerShell/LOLBins: alerty na Invoke-WebRequest, curl.exe, bitsadmin, nietypowe Start-Process z katalogów tymczasowych; inspekcja Child-Process z przeglądarek.
• Telemetria przeglądarek: monitoruj nietypowe odczyty plików profili (Login Data, Cookies) i tworzenie archiwów w %AppData%.
• Zasady EDR/Defender: blokuj uruchamianie PS bez podpisu, egzekwuj ASR (blokowanie uruchamiania skryptów z Office/OneNote, wyłączanie makr z Internetu).
• Network/C2: TLS SNI/JA3 do znanych rodzin (Vidar/StealC/RedLine), egress filtering, DNS sinkhole; reaguj na nagłe zmiany domen krótkowiecznych.
• Hunting/IR: przeszukaj Scheduled Tasks, Run/RunOnce, katalogi %AppData%, %LocalAppData%, artefakty PS (Microsoft-Windows-PowerShell/Operational). (Wzorce zgodne z techniką ClickFix i raportami Microsoft/Elastic/Trend).

Dla IT/SecOps:

• Zarządzaj przeglądarkami i hasłami: wymuś passkeys/2FA, seedy haseł w managerach, politykę „bez zapisywania haseł w przeglądarce” dla kont służbowych.
• Ogranicz BYOD lub segmentuj dostęp; wprowadź device posture checks (kompatybilność z EDR/MDM).
• Application Control: wdroż WDAC/AppLocker, blokuj wykonywalne z %Temp%/Downloads.
• Edukacja ukierunkowana: krótkie scenariusze o „aktywatorach”, „crackach” i fałszywych poradnikach wideo – pokaż, jak wygląda prawdziwy vs. złośliwy „fix”. (Zbieżne z obserwacjami trwałości kampanii).

Dla użytkowników:

• Nie wyłączaj ochrony AV „na chwilę”.
• Nie uruchamiaj skryptów z komentarzy/biogramów.
• Aktualizacje i licencje tylko z oficjalnych źródeł.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

• ClickFix vs. Fake CAPTCHA/Malvertising: Fake CAPTCHA zmusza do wklejenia komend „weryfikacyjnych” na stronach z reklam; ClickFix przenosi mechanikę do wideo-poradnika i buduje większe zaufanie (efekt „tutorialu”). Trend Micro opisało oba wektory – kampanie TikTok są nowszą iteracją.
• ClickFix vs. FileFix/Messenger phish: pokrewne wzorce socjotechniki (naprawa/aktualizacja) – w 2025 r. widziano także warianty podszywające się pod alerty Facebooka („FileFix”). (Wniosek porównawczy na tle szerszego trendu).

Podsumowanie / najważniejsze wnioski

ClickFix to nie pojedyncza kampania, ale utrwalona technika socjotechniczna adaptowana do różnych kanałów. TikTok – dzięki formatowi „szybkich poradników” – stał się skutecznym dystrybutorem infostealerów (Vidar/StealC/RedLine). Obrona wymaga połączenia telemetrii endpointowej, kontroli przeglądarek, polityk tożsamości i edukacji ukierunkowanej na realne przykłady „aktywizujących” filmów.

Źródła / bibliografia

1. BleepingComputer – „TikTok videos continue to push infostealers in ClickFix attacks”, 19 października 2025. (BleepingComputer)
2. Trend Micro – „TikTok Videos Promise Pirated Apps, Deliver Vidar and StealC”, 21 maja 2025. (www.trendmicro.com)
3. Microsoft Threat Intelligence – „Think before you Click(Fix): Analyzing the ClickFix social engineering technique”, 21 sierpnia 2025. (Microsoft)
4. Elastic Security Labs – „A Wretch Client: From ClickFix deception to information stealer deployment”, 17 czerwca 2025. (Elastic)
5. Okta – „How this ClickFix campaign leads to Redline Stealer”, 3 lipca 2025. (sec.okta.com)