الأمن التقني

هجمات ClickFix تتصاعد بأدوات الذكاء الاصطناعي كطُعم خادع

تحوّلت هجمات ClickFix إلى التهديد الأكثر شيوعاً في 2026، حيث يستغل المهاجمون ثقة المستخدمين بأدوات الذكاء الاصطناعي لتنفيذ برمجيات خبيثة عبر متصفحات الويب.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 22 أكتوبر 2026 · آخر تحديث: 22 أكتوبر 2026 · 4 دقائق قراءة

هجمات ClickFix تتصاعد بأدوات الذكاء الاصطناعي كطُعم خادع — الصورة: BleepingComputer

الخلاصة

تشكل هجمات ClickFix 52% من إجمالي التهديدات المكتشفة، بزيادة حادة في أغسطس لتصل إلى 67%.
يعتمد المهاجمون على صفحات تثبيت مزيفة لأدوات مثل Claude Code وChatGPT لخداع المستخدمين.
تتجاوز 4 من كل 5 هجمات ClickFix عبر محركات البحث بدلاً من البريد الإلكتروني.
تستفيد الهجمات من ميزات المشاركة في منصات الذكاء الاصطناعي لاستضافة روابط خبيثة على نطاقات موثوقة.
أظهر تقرير Microsoft نمواً هائلاً في الهجمات، مع نجاح 96.3% منها في تسليم البرمجيات الخبيثة.

تفوق هجمات ClickFix على التهديدات التقليدية

منذ ظهورها عام 2024، أصبحت تقنية ClickFix من أكثر الأساليب استخداماً لدى المجرمين، حيث توسعت لتشمل تقنيات فرعية مثل FileFix وInstallFix وConsentFix. وتكشف بيانات الكشف لدى Push Security عن انتشار واسع لهذه التقنية، إذ شكلت هجمات ClickFix في المتوسط 52% من إجمالي التهديدات المكتشفة حتى الربع الثاني من عام 2026، متجاوزةً هجمات AiTM والاحتيال عبر رموز الجهاز لأول مرة. وفي أغسطس الماضي، ارتفع هذا الرقم ليصل إلى 67%، مما يعكس تحولاً جذرياً في تكتيكات المهاجمين.

محركات البحث كبوابة رئيسية للاختراق

تتجاوز هجمات ClickFix حدود البريد الإلكتروني التقليدي، حيث تشير البيانات إلى أن نصف الهجمات القائمة على المتصفح تصل عبر قنوات أخرى مثل محركات البحث ووسائل التواصل الاجتماعي. وبشكل أكثر تحديداً، تم الوصول إلى 4 من كل 5 صفحات ClickFix التي تم اعتراضها في عام 2026 عبر محركات البحث، إما من خلال مواقع مخترقة أو إعلانات خبيثة أو تسميم نتائج البحث. هذا النمط يجعل من الصعب على أنظمة أمان البريد الإلكتروني رصد هذه التهديدات، لأنها لا تمر عبر بوابات البريد أبداً.

استغلال أدوات الذكاء الاصطناعي كطُعم

تستهدف أحدث نسخ هجمات ClickFix المستخدمين الذين يبحثون عن أدوات الذكاء الاصطناعي أو يستخدمونها. وتظهر بيانات ANY.RUN أن 1,258 تحليلاً عاماً بين أبريل وأكتوبر 2026 ارتبطت بحملات أدوات ذكاء اصطناعي مزيفة، 81% منها انتحلت هوية Claude أو ChatGPT. ويعمل هذا الطُعم بفعالية لأن انتشار أدوات الذكاء الاصطناعي غرس عادة جديدة لدى الموظفين: تثبيت الأدوات عبر سطر الأوامر والبحث عنها عبر محركات البحث بدلاً من زيارة المواقع مباشرة، مما يضع المستخدم في بيئة عرضة للهجوم.

خدعة صفحات التثبيت المزيفة (InstallFix)

وثقت Push Security تقنية InstallFix في مارس 2026، حيث يقوم المهاجمون بنسخ صفحات التثبيت الرسمية لأدوات مثل Claude Code وCodex، ويستبدلون أوامر التثبيت بأخرى خبيثة. في إحدى الحالات، أظهرت نتائج البحث على Google إعلاناً راعياً يعرض نطاق bing.com، ثم يوجه الزائر عبر إعادة توجيه إلى موقع تجزئة مخترق، وأخيراً إلى صفحة تنزيل مزيفة. تعتمد هذه الصفحة على خدعة بصرية: تعرض الأمر الشرعي لـ Anthropic، لكن زر النسخ يضع أمراً مختلفاً في الحافظة، مما يؤدي إلى تنفيذ سكربت خبيث في الطرفية دون حفظه على القرص.

تقنية LLMshare: استضافة الطُعم على المنصات الموثوقة

تستغل تقنية LLMshare ميزات المشاركة في محادثات الذكاء الاصطناعي. يقوم المهاجمون بإنشاء محادثات مشتركة أو Artifacts على ChatGPT وClaude تحتوي على تعليمات تثبيت خبيثة أو روابط لصفحات تنزيل مزيفة. وبما أن الطُعم مستضاف على نطاقات موثوقة مثل chatgpt.com أو claude.ai، فإن أدوات فحص سمعة الروابط تعتبرها آمنة. وتستخدم أحدث النسخ GPTs المخصصة، حيث يكتب المنشئ تعليمات خفية تجعل الردود تبدو طبيعية حتى يظهر رابط خبيث، مما يجعل الخدعة أكثر إقناعاً للمستخدم.

تقرير Microsoft: نمو هائل وكفاءة اختراق مرتفعة

يؤكد تقرير الدفاع الرقمي لعام 2026 الصادر عن Microsoft أن حجم هجمات ClickFix ينمو بسرعة فائقة. فقد زادت هذه الهجمات بمعدل 23 ضعفاً بين ديسمبر 2025 ومايو 2026، وشُهد تنفيذ أوامر مهاجمين على أكثر من 1.1 مليون جهاز فريد بين فبراير وأوائل مايو. وتصف Microsoft هذه التقنية بأنها واحدة من أكثر تقنيات الوصول الأولي كفاءة، حيث أدت 96.3% من اختراقات ClickFix إلى تسليم برمجيات خبيثة ناجحة.

لماذا تفشل أنظمة الكشف التقليدية؟

تتجاوز هجمات ClickFix أنظمة الكشف المعتادة لعدة أسباب. أولاً، لا ترى أنظمة أمان البريد الإلكتروني الصفحات التي يصل إليها المستخدم عبر نتائج البحث. ثانياً، ترى قوائم الحظر نطاقات موثوقة مثل bing.com أو chatgpt.com أو مواقع مخترقة. ثالثاً، تستخدم الأدوات الرئيسية تقنية EtherHiding، حيث تُخزن الإعدادات في عقد ذكي على سلسلة الكتل العامة، مما يعني عدم وجود خادم مركزي يمكن إسقاطه، ويمكن للمشغل تبديل رابط الحمولة الخبيثة عبر معاملة واحدة على جميع المواقع المخترقة.