Bekræft, at du er et menneske

Uge 5 af 7: IT-sikkerhed, som enhver kan forholde sig til
Ekstra indlæg: Om ClickFix, og hvorfor computerens indstillinger betyder mere, end man tror

Sofie skal booke hotel til en messe i Herning. Inden siden vil vise priserne, dukker der en helt almindelig boks op: “Bekræft, at du er et menneske.”

Men denne gang skal hun ikke klikke på trafiklys. I stedet står der:

1. Tryk på Windows-tasten og R
2. Tryk Ctrl og V
3. Tryk Enter

Det ligner bare en ny slags robottest. Sofie gør, som der står.

Hun har lige selv startet et program, som hjemmesiden i al stilhed havde lagt i hendes udklipsholder. Hun hentede ingen fil, åbnede ingen vedhæftning og fik ingen advarsel.

ClickFix, ikke Click Mix

Metoden hedder ClickFix. Navnet er tæt på Haribos Click Mix, men det er det eneste, de har til fælles.

Ifølge Microsoft rammer ClickFix-kampagner tusindvis af virksomheders og privatpersoners computere hver eneste dag. Lokkemidlet varierer: en falsk robottest, en falsk fejlbesked fra Word eller en side, der siger, at browseren er gået ned. Men opskriften er den samme. Få brugeren til selv at køre kommandoen.

Og det er netop det, der gør metoden så effektiv. Mange af de klassiske værn er bygget til at stoppe filer, der bliver hentet, og links, der bliver klikket på. Her er der ingen af delene. Det er Sofie selv, der gør det.

Hvad der så sker

Det program, der oftest bliver installeret på den måde, er et program, der stjæler adgangskoder. Det tømmer browseren for gemte koder og login-sessioner og sender dem videre.

Det er præcis det, uge 1 handlede om: de koder, der ender til salg på kriminelle markedspladser. ClickFix er en af de mest udbredte veje, de kommer derhen.

Sofie gjorde ikke noget forkert

Hun gjorde ikke noget af det, man har lært hende at passe på. Hun klikkede ikke på et mistænkeligt link, og hun hentede ikke et program. Hun bekræftede bare, at hun var et menneske.

Derfor kan løsningen ikke kun være at bede medarbejderne om at være mere opmærksomme. Den skal ligge i selve computeren.

Computeren skal sige nej

Windows bliver leveret til at virke for alle. Det betyder, at mange af de værktøjer, angrebet bruger, er tilgængelige for alle medarbejdere, selvom langt de fleste aldrig har brug for dem.

Med de rigtige indstillinger kan computeren sige nej:

Fjern genvejen. Boksen, der åbner med Windows-tasten og R, bruges næsten aldrig af almindelige medarbejdere. Den kan slås fra.

Begræns værktøjerne. De kommandoværktøjer, angrebet bruger, hører til hos IT. For en salgsmedarbejder eller en bogholder kan de begrænses, så de ikke kan bruges til at hente og starte programmer fra nettet.

Hav en alarm, der ser adfærden. Moderne malwarebeskyttelse kigger ikke kun efter kendte filer. Den reagerer, når noget opfører sig mistænkeligt, fx når en kommando fra udklipsholderen pludselig begynder at hente programmer fra nettet. Og den kan stoppe det, før koderne er sendt af sted.

Og fortæl medarbejderne én ting. Ikke en hel lektion. Bare den her: En hjemmeside beder dig aldrig om at trykke på Windows-tasten og R. Gør den det, så luk siden.

Kort sagt

ClickFix virker, fordi det er brugeren selv, der gør arbejdet. Der er ingen fil at opdage og intet link at advare om.

Det, der stopper det, er en computer, der er sat op til at sige nej, og en malwarebeskyttelse, der holder øje med, hvad der sker.

Det er ikke medarbejderne, der skal være mere forsigtige. Det er computeren, der skal være bedre indstillet.

Til den it-ansvarlige

Tag listen med til jeres it-leverandør og spørg, hvilke punkter I allerede er dækket på.

Hærdning

• Intune Security Baselines for Windows, Microsoft Edge og Microsoft 365 Apps som udgangspunkt.

• Overvej at fjerne Run-dialogen for almindelige brugere via Intune (Administrative Templates → Start Menu and Taskbar → Remove Run menu from Start Menu).

• Begræns PowerShell, mshta og andre LOLBins for standardbrugere via App Control for Business eller AppLocker.

Malwarebeskyttelse

• Microsoft Defender for Endpoint onboardet på alle enheder, med EDR in block mode og Tamper Protection slået til.

• Attack Surface Reduction rules, særligt Block execution of potentially obfuscated scripts og Block JavaScript or VBScript from launching downloaded executable content. Kør dem i Audit mode først.

• PowerShell Script Block Logging, så I kan se, hvad der faktisk blev kørt.

Opdateringer

• Windows Update for Business eller Windows Autopatch med deadlines, så opdateringer ikke kan udskydes i det uendelige.

• Tredjepartsapps opdateres centralt, fx via Intune Enterprise App Management.

Hvis det er sket

• Isoler enheden i Defender, nulstil brugerens adgangskode, og revoke sessions i Entra ID. Gemte login-sessioner fra browseren kan være stjålet sammen med koderne.

Næste mandag: Microsoft tager ikke backup af jeres data.

Kilder: Microsoft Threat Intelligence om ClickFix (august 2025), refereret i The Register