ClickFix Tuzağı: Chrome Enhanced Protection Artık Tehlikeli Komutları Uyarıyor 10-22-2026, 08:25 AM
Selamlar,
"Sayfanızda bir hata var, şu komutu kopyalayıp Çalıştır'a yapıştırın" diye başlayan sahte düzeltme sayfalarını duymuşsunuzdur. Bu yöntemin adı ClickFix. Google, Chrome'un Enhanced Protection (Gelişmiş Koruma) modunu bu tuzakları yakalayacak şekilde güncelledi: şüpheli komut panoya kopyalandığında Safe Browsing'e gönderiliyor ve tehlikeli bulunursa kullanıcı uyarılıyor.
Konuda anlatılacaklar
- ClickFix nedir, neden klasik indirme korumalarını aşıyor?
- Chrome'un yeni uyarısı nasıl çalışıyor?
- Enhanced Protection'ın diğer yenilikleri
- Kullanıcı ve kurum için pratik kurallar
ClickFix nedir?
Help Net Security'nin aktardığına göre ClickFix siteleri, sahte bir sorunu "düzeltmek" için kullanıcıyı kötü amaçlı bir komutu kopyalayıp kendi bilgisayarında çalıştırmaya ikna ediyor. Panoya kopyalanan komut, sayfada gösterilen metinden farklı olabiliyor. Komutlar çoğu zaman işletim sisteminde zaten bulunan meşru araçları (LOLBins) çağırıyor: PowerShell, cmd.exe gibi. İndirme işlemi tarayıcıdan terminal'e taşındığı için Chrome ve Safe Browsing'in indirme korumaları baypas ediliyor.
Chrome'un yeni uyarısı nasıl çalışıyor?
Enhanced Protection kullanıcıları şüpheli bir komutu kopyaladığında Chrome, panodaki yükten kişisel tanımlayıcı bilgileri (PII) çıkarıp Safe Browsing'e gönderiyor. Komut tehlikeli bulunursa bir uyarı görünüyor. Bu, "dosya indirildi mi?" değil, "kullanıcı kendi makinesinde çalıştırılacak bir komutu panoya aldı mı?" sorusuna yanıt veren bir katman.
Önemli sınır: Bu özellik Enhanced Protection açıkken geçerli. Standart koruma kullananlar bu yeni uyarıyı görmeyebilir. Google'a göre Enhanced Protection kullanıcıları, phishing ve sosyal mühendislik gibi tehditlere karşı Standart koruma kullanıcılarına kıyasla ortalama on kat daha az risk altında (şirketin iki mod arasında gösterilen güvenlik uyarısı sayısına dayanan karşılaştırması).
Diğer Enhanced Protection yenilikleri
- Şüpheli site uyarıları: Bilinen kötü sitelerle ilişkili aldatıcı kalıplar gösteren sayfalarda, duruma özel ikon/renk/metin ile uyarılıyor.
- Tehlikeli site uyarıları: Yüksek riskli, bilinen kötü sayfalarda tam sayfa kırmızı ekran devam ediyor.
- Gemini destekli scam tespiti: Cihaz üzeri modelden sunucu tarafı modele geçildi; sahte antivirüs ve tarayıcı güncelleme dolandırıcılıkları da teknik destek dolandırıcılıklarına eklendi. Sayfa metni yalnızca yüksek güvenli scam göstergeleri olduğunda analiz için gönderiliyor; Google metnin loglanmadığını, saklanmadığını ve model eğitiminde kullanılmadığını söylüyor.
Kullanıcı için tek kural
Hiçbir meşru web sitesi sizden Win+R açmanızı, Terminal veya PowerShell'e bir komut yapıştırmanızı istemez. "CAPTCHA doğrulaması", "tarayıcı güncellemesi", "bağlantıyı düzelt" bahaneleriyle gelen yapıştır-çalıştır adımlarının tamamını reddedin.
Kurum için pratik adımlar
- E-posta ve ödeme işleyen personelde Chrome Enhanced Safe Browsing'i politika ile zorunlu kılın.
- Standart kullanıcı hesaplarında Çalıştır iletişim kutusunu (Win+R) mümkünse kısıtlayın.
- PowerShell Script Block Logging, Module Logging ve Transcription'ı açın; "kullanıcı panodan çalıştırdı" senaryolarını EDR'da ayrı bir kural sınıfı yapın.
- Farkındalık eğitiminde ClickFix'i ayrı bir senaryo olarak gösterin; klasik ek dosya / link eğitimine ekleyin.
Kod:
# Windows (kendi labınız) - PowerShell Script Block Logging kontrolu
Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" -ErrorAction SilentlyContinue
# Chrome politikasi (kurumsal): SafeBrowsingProtectionLevel = 2 (Enhanced)
# https://chromeenterprise.google/policies/#SafeBrowsingProtectionLevelClickFix tarzı bir sayfa gördünüz mü? Win+R / Terminal'e yapıştır denince ne yaptınız?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar