Imagine you open a website and see a familiar box: "Verify you are human." But instead of ticking a checkbox, it gives you instructions. Press Win + R. Press Ctrl + V. Press Enter. Done.
It looks like a slightly odd security check. In reality you have just run a command that downloads and starts malware, with your own hands. Security researchers call this trick ClickFix, and it has become one of the most common ways stealers reach people's computers.
How the trick works
The key is that the page has already copied something to your clipboard. Any website can put text on your clipboard when you click a button. You never see what it copied.
- You click "I'm not a robot". The page quietly copies a long command to your clipboard.
- It tells you to open the Windows Run box (Win + R), or on a Mac, to open Terminal.
- You paste (Ctrl + V or ⌘ + V) and press Enter.
- The command downloads a script from the attacker's server and runs it. Because you ran it, many of the normal warnings never appear.
The command is usually disguised. It may end with a comment like # I am not a robot - Verification ID 4821 so that the visible part of the Run box looks harmless, while the real command scrolls off to the left.
Common disguises
- Fake CAPTCHA or "Cloudflare verification" pages, often on hacked but otherwise normal websites.
- Fake error messages: "Your browser can't display this document. Click Fix to repair it."
- Fake video-call problems: "Your microphone isn't working. Run this to fix your audio driver."
- Fake install guides for Mac: "To install this app, open Terminal and paste this command." Real apps almost never install this way for ordinary users.
Why it works so well
ClickFix gets around a lot of built-in protection. There is no suspicious file to download, so the browser shows no warning. On macOS, a command pasted into Terminal isn't checked by Gatekeeper the way a downloaded app is. And people are used to CAPTCHAs getting stranger, so one more strange step doesn't feel alarming.
No real website will ever ask you to verify yourself by pasting something into Run, PowerShell or Terminal.
The one rule
If a web page, email or chat message asks you to copy a command and run it, close the page. That's it. CAPTCHAs are clicked in the browser. Real fixes come from the app's own settings or official support pages, and a support agent who asks you to paste commands should be treated with suspicion until proven otherwise.
If you already pasted and pressed Enter, treat it as a stealer infection: from another device, change your important passwords, sign out of all sessions and scan the computer. Our post on infostealers has a step-by-step list.
What Agamemnon does about it
Agamemnon has a paste-command guard. When something on your clipboard looks like a download-and-run command (for example curl … | bash on a Mac, or an encoded PowerShell command on Windows), Agamemnon warns you before you run it, explaining in plain words what the command would do. If the command still gets through, real-time protection checks whatever it downloads the moment it starts.
Bir web sitesini açtığınızı ve tanıdık bir kutu gördüğünüzü düşünün: "İnsan olduğunuzu doğrulayın." Ama bir kutucuğu işaretlemek yerine size talimat veriyor. Win + R'ye basın. Ctrl + V'ye basın. Enter'a basın. Bitti.
Biraz tuhaf bir güvenlik kontrolü gibi görünüyor. Oysa az önce kendi ellerinizle zararlı yazılım indirip başlatan bir komut çalıştırdınız. Güvenlik araştırmacıları bu hileye ClickFix diyor ve bu yöntem, veri hırsızlarının insanların bilgisayarlarına ulaşmasının en yaygın yollarından biri hâline geldi.
Hile nasıl işliyor?
İşin püf noktası, sayfanın panonuza önceden bir şey kopyalamış olmasıdır. Herhangi bir web sitesi, bir düğmeye tıkladığınızda panonuza metin koyabilir. Neyi kopyaladığını hiç görmezsiniz.
- "Ben robot değilim"e tıklarsınız. Sayfa sessizce panonuza uzun bir komut kopyalar.
- Sizden Windows Çalıştır kutusunu (Win + R) ya da Mac'te Terminal'i açmanızı ister.
- Yapıştırırsınız (Ctrl + V ya da ⌘ + V) ve Enter'a basarsınız.
- Komut, saldırganın sunucusundan bir betik indirip çalıştırır. Komutu siz çalıştırdığınız için normal uyarıların çoğu hiç görünmez.
Komut genellikle gizlenir. Sonunda # I am not a robot - Verification ID 4821 gibi bir açıklama bulunabilir; böylece Çalıştır kutusunun görünen kısmı zararsız görünürken asıl komut sola kayarak gözden kaybolur.
Sık kullanılan kılıklar
- Çoğu zaman hacklenmiş ama normal görünen sitelerde çıkan sahte CAPTCHA ya da "Cloudflare doğrulaması" sayfaları.
- Sahte hata mesajları: "Tarayıcınız bu belgeyi gösteremiyor. Onarmak için Düzelt'e tıklayın."
- Sahte görüntülü görüşme sorunları: "Mikrofonunuz çalışmıyor. Ses sürücünüzü düzeltmek için bunu çalıştırın."
- Mac için sahte kurulum rehberleri: "Bu uygulamayı kurmak için Terminal'i açın ve bu komutu yapıştırın." Gerçek uygulamalar sıradan kullanıcılar için neredeyse hiçbir zaman bu şekilde kurulmaz.
Neden bu kadar işe yarıyor?
ClickFix, yerleşik korumaların birçoğunu atlatır. İndirilen şüpheli bir dosya olmadığı için tarayıcı uyarı göstermez. macOS'ta Terminal'e yapıştırılan bir komut, indirilmiş bir uygulama gibi Gatekeeper tarafından denetlenmez. Ayrıca insanlar CAPTCHA'ların giderek tuhaflaşmasına alıştığı için bir tuhaf adım daha endişe verici gelmez.
Hiçbir gerçek web sitesi, kimliğinizi Çalıştır'a, PowerShell'e ya da Terminal'e bir şey yapıştırarak doğrulamanızı istemez.
Tek kural
Bir web sayfası, e-posta ya da sohbet mesajı sizden bir komutu kopyalayıp çalıştırmanızı istiyorsa sayfayı kapatın. Bu kadar. CAPTCHA'lar tarayıcının içinde tıklanır. Gerçek çözümler uygulamanın kendi ayarlarından ya da resmî destek sayfalarından gelir; sizden komut yapıştırmanızı isteyen bir destek görevlisine de aksi kanıtlanana kadar şüpheyle yaklaşın.
Zaten yapıştırıp Enter'a bastıysanız bunu bir veri hırsızı bulaşması olarak ele alın: başka bir cihazdan önemli parolalarınızı değiştirin, tüm oturumlardan çıkış yapın ve bilgisayarı tarayın. Veri hırsızları yazımızda adım adım bir liste var.
Agamemnon bu konuda ne yapıyor?
Agamemnon'un bir komut yapıştırma koruması var. Panonuzdaki bir şey indir-ve-çalıştır komutuna benzediğinde (örneğin Mac'te curl … | bash ya da Windows'ta kodlanmış bir PowerShell komutu), Agamemnon siz çalıştırmadan önce sizi uyarır ve komutun ne yapacağını sade bir dille açıklar. Komut yine de geçerse gerçek zamanlı koruma, indirdiği her şeyi başladığı anda denetler.
