Exvicy продаёт ClickFix-атаки по подписке и повторяет код ErrTraffic

Схема, вокруг которой построен сервис, называется ClickFix. Посетителю показывают привычную проверку "подтвердите, что вы человек", но вместо галочки просят выполнить несколько действий. Нужно открыть системное окно "Выполнить" сочетанием клавиш Win и R, вставить заранее скопированный текст и нажать Enter. Вставленный текст оказывается командой, которая незаметно загружает и запускает чужой код. Страницы маскируются под проверку Cloudflare Turnstile - сервис, отличающий живых посетителей от автоматических программ. Подсказки переведены на 13 языков и подбираются по настройкам браузера, чтобы жертва не заподознила подвоха.

Распространяется обманка через взломанные сайты на WordPress. На чужой ресурс добавляют короткий скрипт, который посетитель не видит. Человек читает обычную страницу, а скрипт в этот момент открывает полноэкранное окно с поддельной проверкой и связывается с управляющим сервером. {По данным Sekoia}, отследить всю эту инфраструктуру удалось от единственного снимка экрана: продавец опубликовал фотографию своей панели управления на форуме, и специалисты компании определили по ней домены, боевые серверы и десятки заражённых сайтов.

Exvicy продвигают как самостоятельный продукт, однако сравнение кода показало обратное. Страница с поддельной проверкой почти дословно повторяет наработки ErrTraffic - другого сервиса того же назначения, который продаётся на Exploit.IN с декабря 2025 года. Совпадают способ маскировки скрипта, порядок запуска, работа с буфером обмена, набор переводов и даже имена служебных переменных. Отличие, на котором настаивает продавец, всего одно: его схема просит нажать Win и R, тогда как конкурент использовал другое сочетание клавиш. Зато управляющие адреса у Exvicy вписаны прямо в код, а ErrTraffic прячет их в блокчейне.

Возможность скопировать чужие наработки у продавца была. Он мог купить подписку у конкурента или получить доступ к утечке исходников. Похожие истории в криминальной среде уже случались: один разработчик берёт чужой код и открывает собственный сервис. Есть и другая версия - скрипт вытащили прямо с заражённого сайта, как это делают исследователи, а серверную часть написали с нуля. Она выглядит менее убедительной: переписывать чужую программу сложнее, чем создать свою.

Схема работает в автоматическом режиме и собирает данные о каждом посетителе. Сервер получает сведения о системе жертвы и возвращает страницу с подделкой. После клика по фальшивой галочке он следит за ходом заражения, опрашивая собственные записи каждые полторы секунды в течение трёх минут. Отдельно фиксируются показы и нажатия - так продавец считает, сколько людей довели дело до конца. Скрипт на заражённом сайте срабатывает только один раз, чтобы не привлекать внимания повторными запросами.

На одном из найденных серверов лежал загрузчик, который устанавливал легитимную программу удалённого подключения. Сама программа законная, но в руках злоумышленника она даёт постоянный доступ к рабочей машине. В списке файлов для распространения у продавца фигурировало её название. Наблюдения за сетями клиентов Sekoia показали обращения к серверам Exvicy из реальных корпоративных сред. Инструмент не просто рекламируют - его уже применяют.

Для бизнеса опасность в том, что схема не требует ни ошибки в коде, ни уязвимости нулевого дня. Достаточно, чтобы сотрудник открыл заражённую страницу и поверил подсказке. Дальше на его компьютере появляется средство удалённого управления, а вместе с ним - возможность украсть документы, переписку и учётные данные. Владельцы сайтов на WordPress страдают отдельно: их ресурсы становятся бесплатным инструментом для чужих атак, а репутация и позиции в поиске падают.

Защита здесь не требует сложных средств. Владельцам сайтов стоит регулярно обновлять систему управления содержимым, плагины и темы, проверять файлы на посторонние вставки и включить двухфакторную аутентификацию для входа в административную панель. Компаниям полезно объяснить сотрудникам простое правило: ни один сайт не вправе просить вставить что-либо в системное окно "Выполнить". Настороженность к внезапным проверкам "я не робот" и запрет на такие действия на уровне политик безопасности снижают риск надёжнее, чем технические фильтры. Службам информационной безопасности стоит следить за обращениями рабочих станций к незнакомым серверам проверки подлинности.