С 28 июля по 3 ноября 2026 года поддельная проверка Cloudflare работала на 245 хостах. К 3 ноября 103 из них всё ещё отдавали страницу. Команду, ради которой ловушка существует, посетитель не получает: в буфер обмена попадает сохранённая копия страницы Google.
Описание
Схема относится к ClickFix. Сайт рисует ненастоящую проверку Cloudflare, а после галочки выдаёт три шага: Windows + R, CTRL + V, Enter. По данным Ohey, окно открывается по клику на любую ссылку или кнопку поверх копии страницы Google, и кнопки закрытия у него нет. Саму проверку добавляют в конец сохранённой страницы, до клика её не видно.
Ломается набор в двух местах. На 243 хостах метка, куда подставляется адрес командного файла, осталась незаполненной. Скрипт запрашивает этот файл у того же сервера, сервер на неизвестный путь отдаёт саму страницу, и скрипт принимает разметку за команду. В буфер обмена уходит вся страница целиком. Логотип в окне проверки тоже не грузится: его адрес ведёт туда же, поэтому в окне остаётся оранжевая надпись CLOUDFLARE.
Нажатие Verify уводит на страницу с сообщением об ошибке. Она сообщает о визите нескольким счётчикам Meta, которых на самой копии Google нет.
Основой послужила сохранённая копия страницы Google о Merchant Center. Её сохранили из-под учётной записи Google, и адрес этой записи виден в шапке каждой копии. Поиск по адресу добавил к хостам, найденным при сканировании, ещё 165. Часть страниц ранее попадала в публичные отчёты ThreatFox.
Домены в основном кулинарной и грильной тематики, попадаются имена про ставки, криптовалюты и AI-сервисы. Регистрировали их через Hostinger с марта по октябрь 2026 года, партиями до девяти в день. Остальные хосты работают без доменных имён, на голых IP-адресах.
Одна сборка всё же получила команду. 11 октября 2026 года та же ловушка нашлась на странице сервиса OneAI, где адрес командного файла был заполнен. К 3 ноября этот хост отдавал только страницу панели управления по умолчанию. Копии командного файла у исследователей нет, записей о его запуске тоже.
Известно и о соседнем проекте: тот же сервер, что отдавал ClockTail, работал под вторую ловушку - якобы проверку аккаунта Fortnite. Её описал Christopher Willett из Anvil Development 21 октября 2026 года. Сколько посетителей прошло шаги и что именно оказалось у них в буфере обмена, не установлено.
Индикаторы компрометации
