什么是 ClickFix 攻击？它的工作原理是什么？

信息技术数字 » 资源 » 什么是 ClickFix 攻击？它的工作原理是什么？

ClickFix 攻击已成为网络犯罪界最流行的社会工程伎俩之一：这些攻击看似无害，通过虚假的浏览器警告或安全检查，最终却让用户在几乎不知情的情况下在其计算机上运行恶意代码。

ClickFix 远非一项技术奇观，它已经在拉丁美洲、欧洲和其他地区的真实攻击活动中出现，传播信息窃取程序、远程访问木马 (RAT) 和复杂的加载程序，例如 GHOSTPULSE 或 NetSupport RAT，甚至利用 TikTok 视频或 YouTube 教程来接触成千上万的受害者。

ClickFix攻击究竟是什么？

ClickFix 是一种相对较新的社会工程技术（自 2024 年以来流行），其原理非常简单：说服用户复制并在自己的系统上运行命令来“修复”所谓的技术问题或完成验证。

恶意网站不会直接下载恶意程序，而是将脚本或命令注入剪贴板（例如 Windows 中的 PowerShell 或 MSHTA 命令），然后显示分步说明，让受害者将其粘贴到控制台、运行框或终端中运行。

这种策略利用了许多研究人员所说的“验证疲劳”：用户习惯于快速点击“我是人类”、“修复它”或“立即更新”之类的按钮，而不会过多分析消息，这使得他们在屏幕看起来像 Cloudflare 验证、Google CAPTCHA 或 Google Meet 或 Zoom 错误时非常容易受到攻击。

ClickFix 这个名字正是来源于这些诱饵中通常出现的按钮，按钮上的文字诸如“修复它”、“如何修复”、“立即修复”或“解决问题”，这些文字会让用户误以为他们正在应用一个快速解决方案，而实际上他们正在复制并运行一个下载恶意软件的脚本。

ClickFix攻击的运作原理详解

尽管存在许多变体，但几乎所有 ClickFix 攻击都遵循一个共同的顺序，即结合被入侵的网站、恶意 JavaScript 脚本以及“强制”用户干预来执行代码。

第一步通常是访问已被入侵的合法网站或直接访问恶意页面，受害者可能通过钓鱼邮件中的链接、被操纵的搜索引擎结果（恶意 SEO）、恶意广告，甚至是 TikTok 或 YouTube 视频中的所谓激活付费软件的技巧而访问这些页面。

该页面上会出现一个虚假的警告或验证，模拟技术问题：例如加载文档错误、浏览器更新失败、Google Meet/Zoom 中的麦克风或摄像头问题，或者类似 Cloudflare 或 reCAPTCHA 的所谓反机器人检查，除非某些问题得到“修复”，否则不允许您继续。

一旦用户点击“修复”按钮或勾选“我是人类”复选框，JavaScript 脚本就会自动将恶意命令注入剪贴板，通常是经过混淆的 PowerShell 或 MSHTA 命令，然后从远程服务器下载另一段恶意软件。

该网站提供了详细的指南，指导受害者如何执行该命令，例如：

• 点击“修复”按钮以“复制解决方案代码”。.
• 按 Win+R 打开“运行”窗口 在Windows上。
• 按 Ctrl+V 粘贴剪贴板中的内容 （恶意命令）。
• 按 Enter 键“修复问题”或继续验证.

在更高级的变体中，可以使用 Win+X 或浏览器控制台来完成此操作：用户需要从快速菜单 (Win+X) 打开具有管理员权限的 PowerShell 终端，或者使用浏览器控制台 (F12 或 Ctrl+Shift+I)，并将一段 JavaScript 代码或“验证”函数粘贴到那里。

命令执行后，其余的感染过程会在后台进行：脚本会从命令和控制 (C2) 服务器下载其他组件，解压缩文件，通过侧加载执行恶意 DLL，最终在内存或磁盘上安装信息窃取程序或远程访问木马 (RAT)。

为什么 ClickFix 如此难以检测

ClickFix 对攻击者的一大优势在于，它绕过了许多传统的安全屏障，因为感染链似乎是从用户自身开始的，而不是从下载的文件或经典的漏洞利用开始的。

不一定会有可疑的附件或直接从浏览器下载的可执行文件，这意味着许多电子邮件过滤器、下载拦截器和 URL 信誉检查在第一阶段不会发现任何明显的恶意内容。

该命令从系统的“受信任 shell”（例如 PowerShell、cmd.exe 或浏览器控制台）执行，这使得恶意软件看起来像是合法活动，并使基于特征码的防病毒程序和一些不太擅长行为分析的安全解决方案的工作变得复杂。

安全产品通常在有效载荷已经执行或试图集成到受保护的进程中、修改主机文件等关键文件、建立持久性或与 C2 服务器通信时检测到威胁；也就是说，在渗透后阶段检测到威胁。

到那时，攻击者可能已经获得了对系统的重大访问权限：提升权限、窃取凭证、在企业网络中横向移动，甚至试图禁用防病毒软件和其他防御措施。

ClickFix 的实际应用场景：常见渠道和诱饵

来自多个安全实验室的研究表明，ClickFix 被广泛用于各种攻击活动中，目标既包括家庭用户，也包括关键行业的公司。

攻击者经常利用这些渠道部署他们的 ClickFix 诱饵：

• 合法网站遭到入侵他们在其中注入了 ClearFake 等 JavaScript 框架来显示虚假的更新或验证通知。
• 恶意广告（恶意广告）尤其是那些会将用户重定向到虚假软件​​下载或浏览器验证页面的横幅广告和赞助广告。
• YouTube 或 TikTok 上的教程和视频据称，他们利用一些技巧免费激活软件或解锁高级功能。
• 虚假技术支持论坛和模仿帮助门户网站的网站其中“建议”运行命令来修复系统错误。

在拉丁美洲，已经记录了一些官方网站和大学网站遭到入侵的案例：例如，智利天主教大学工业工程学院的网站或秘鲁警察住房基金的网站，最终向访问者显示了 ClickFix 流量。

美国安全机构警告称，有攻击活动针对搜索游戏、PDF 阅读器、Web3 浏览器或即时通讯应用的用户，利用日常搜索将他们重定向到实施 ClickFix 的页面。

我们还观察到一些活动依赖于所谓的 Google Meet、Zoom、DocuSign、Okta、Facebook 或 Cloudflare 页面，这些页面会显示浏览器错误或 CAPTCHA 验证，迫使用户按照顺序复制和执行命令。

通过 ClickFix 分发的最常见恶意软件

ClickFix 很少是攻击的唯一组成部分；它通常只是初始载体，允许部署包含各种恶意软件的多阶段感染链。

在近期的竞选活动中，最引人注目的家族包括：

• 像 Vidar、Lumma、Stealc、Danabot、Atomic Stealer 或 Odyssey Stealer 这样的信息窃取者专门窃取浏览器凭证、cookie、自动填充数据、加密货币钱包、VPN 和 FTP 凭证等。
• 远程访问木马（RAT），例如 NetSupport RAT 或 ARECHCLIENT2（SectopRAT）这使得攻击者能够控制系统、执行命令、窃取信息并启动后续阶段，包括勒索软件。
• 高级加载器，例如 GHOSTPULSE、Latrodectus 或 ClearFake它们起到粘合剂的作用，下载、解密并将后续部分加载到内存中，通常采用非常复杂的混淆和加密层。
• 窃取财务和企业信息的工具它可以从表单、电子邮件客户端、消息传递和业务应用程序中提取数据。

在 2024 年和 2025 年的攻击活动中，ClickFix 被发现参与了复杂的攻击链：例如，ClickFix 诱饵启动 PowerShell，下载包含合法可执行文件（例如 Java 中的 jp2launcher.exe）和恶意 DLL 的 ZIP 文件，并通过侧载最终在计算机上运行 NetSupport RAT。

另一个常见案例是使用 MSHTA 和混淆的 URL 指向像 iploggerco 这样的域名，这些域名模仿合法的 URL 缩短或注册服务；然后下载 Base64 编码的 PowerShell 脚本，最终释放 Lumma Stealer 暂存器或类似程序。

ClickFix 的真实案例研究和特色推广活动

来自多个事件响应团队和安全实验室的报告显示，多个高度活跃的攻击活动都以 ClickFix 为入口点。

在商业领域，先进技术、金融服务、制造业、零售和批发贸易、公共管理、专业和法律服务、能源和公用事业等领域都受到了显著影响。

在 2025 年 5 月的一次攻击活动中，攻击者使用 ClickFix 通过冒充 DocuSign 和 Okta 的虚假页面部署 NetSupport RAT，并利用与 ClearFake 框架相关的基础设施注入 JavaScript 来操纵剪贴板。

2025 年 3 月和 4 月期间，记录到 Latrodectus 家族控制的域名流量增加，该家族开始使用 ClickFix 作为初始访问技术：一个被入侵的门户网站被重定向到一个虚假的验证页面，受害者通过 Win+R 运行 PowerShell，该 PowerShell 下载了一个 MSI 文件，该文件会释放恶意 DLL libcef.dll。

与此同时，还检测到了与 Lumma Stealer 相关的域名抢注活动，其中受害者被要求执行指向模仿 iplogger 的域名的 MSHTA 命令；这些命令下载了高度混淆的 PowerShell 脚本，最终解压缩了包含 PartyContinued.exe 等可执行文件和 CAB 内容 (Boat.pst) 的软件包，以设置一个 AutoIt 脚本引擎，该引擎负责启动 Lumma 的最终版本。

Elastic Security Labs 还描述了 ClickFix 作为 GHOSTPULSE 的初始钩子，GHOSTPULSE 进而加载一个中间的 .NET 加载器，最终将 ARECHCLIENT2 注入内存，通过钩子和高级混淆绕过 AMSI 等机制的攻击活动。

在最终用户方面，一些供应商展示了 ClickFix 攻击的简化示例，其中“浏览器更新”页面或虚假的 CAPTCHA 会悄悄地将脚本复制到剪贴板，然后强迫用户以管理员权限将其粘贴到 PowerShell 中，从而更容易连接到 C2 基础架构并下载修改系统的可执行文件。

一个特别令人担忧的现象是 ClickFix 出现在 TikTok 上：即使是人工智能生成的视频也宣传激活 Office、Spotify Premium 或编辑程序的免费付费版本的“简单方法”，但实际上它们引导用户复制和粘贴恶意命令，从而安装 Vidar 或 Stealc 等信息窃取程序。

分析师如何检测ClickFix感染

虽然对用户来说这可能看起来像是黑魔法，但 ClickFix 感染会留下技术痕迹，威胁狩猎团队和 EDR 可以利用这些痕迹来检测事件。

在 Windows 环境中，分析的重点之一是 RunMRU 注册表项，它存储了最近从“运行”窗口（Win+R）执行的命令：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU

分析人员会审查这些条目，寻找可疑模式：混淆的命令、使用 PowerShell 或 MSHTA 以及不寻常的 URL、对未知域的调用，或者对普通用户通常不使用的管理工具的引用。

当攻击者使用 Win+X 变体（快速访问菜单）启动 PowerShell 或命令提示符时，会在进程遥测中寻找线索：进程创建事件（例如 Windows 安全日志中的 ID 4688），其中 explorer.exe 在按下 Win+X 后立即生成 powershell.exe。

与其他事件（例如访问 %LocalAppData%\Microsoft\Windows\WinX\ 文件夹或执行后出现的可疑网络连接）的关联，有助于勾勒出 ClickFix 感染的典型行为，尤其是在 certutil.exe、mshta.exe 或 rundll32.exe 等进程紧随其后出现的情况下。

另一种检测途径是剪贴板滥用：高级 URL 过滤和 DNS 安全解决方案可以识别试图将恶意命令注入剪贴板缓冲区的 JavaScript，从而在用户完成操作序列之前阻止页面加载。

攻击者试图通过 ClickFix 技术达到什么目的？

所有这些社会工程手段背后都有一个明确的目标：从窃取的信息中获取经济利益，这些信息既来自个人用户，也来自组织。

通过 ClickFix 部署的信息窃取程序旨在收集存储在浏览器、电子邮件客户端、企业应用程序或加密货币钱包中的凭据、cookie 和敏感数据，以及内部文档和财务数据。

利用这些材料，不法分子可以实施多种犯罪活动：

• 勒索公司威胁泄露有关组织或其客户的机密信息。
• 实施直接金融欺诈 通过利用被盗用的银行账户、在线支付系统或加密钱包。
• 冒充公司或其员工 对第三方实施欺诈，例如典型的CEO欺诈或BEC攻击。
• 在暗网上出售凭证和数据包 其他犯罪团伙将在未来的袭击中利用这些手段。
• 进行工业或地缘政治间谍活动 当目标是特定组织或战略部门时。

在许多有记录的攻击活动中，ClickFix 只是更大规模攻击的第一步，包括在窃取凭证后部署勒索软件、长时间访问企业网络，或利用被入侵的基础设施作为跳板攻击其他目标。

用户和企业如何保护自己免受 ClickFix 的侵害？

防御 ClickFix 需要结合技术、最佳实践和高度的意识，因为这种技术利用的薄弱环节恰恰是用户行为。

就个人而言，有几条非常简单的黄金法则可以大大降低跌倒的风险：

• 切勿因为网站要求就将代码粘贴到控制台（PowerShell、cmd、终端、浏览器控制台）中。然而，无论它看起来多么合情合理。
• 要警惕 Cloudflare 验证、CAPTCHA 或要求执行奇怪步骤的“浏览器更新”页面。 不仅仅是点击一个方框或一个按钮。
• 请确保您的浏览器、操作系统和应用程序始终保持最新状态。安装来自官方渠道的补丁，而不是来自随机横幅广告或弹出窗口的补丁。
• 在重要账户上启用双因素身份验证 (2FA)即使攻击者成功窃取了密码，这样做也会增加他们的难度。

在企业环境中，除了这些建议之外，公司还应该更进一步，将 ClickFix 作为安全战略中的一个具体威胁加以应对。

组织需要采取的一些关键措施包括：

• 限制使用命令执行工具（PowerShell、cmd、MSHTA） 通过组策略、应用程序控制列表或 EDR 配置，使只有技术配置文件才能使用它们，并始终记录活动。
• 实施现代反恶意软件和EDR解决方案 具备基于行为的检测能力，即使在用户干预的情况下也能识别可疑的执行模式。
• 监控网络流量和与信誉度低的域的出站连接尤其针对网址缩短服务、新注册的域名或不常见的顶级域名。
• 定期审查 RunMRU、PowerShell 日志和安全事件等工件。 检测滥用 Win+R、Win+X 或管理控制台的迹象。

一个基本支柱是对员工进行持续和实际的培训：理论课程是不够的，但进行受控的社会工程测试，模拟 ClickFix 类型的活动、CEO 欺诈、高级网络钓鱼或恶意广告，是很有用的。

这些模拟使我们能够衡量员工对这些技术的成熟度，调整意识策略，识别风险较大的领域，并强化在遵循网站或电子邮件中的可疑指示之前“停下来思考”的文化。

此外，企业必须做好快速应对事件的准备：制定清晰的应对计划、专业的团队或供应商，以及明确的遏制和根除流程，以便在检测到可能的 ClickFix 案例或任何其他入侵途径时能够迅速采取行动。

ClickFix 技术的扩散清楚地表明，攻击者已经找到了一种非常有效的方法，可以将用户变成不知情的帮凶，而且他们毫不犹豫地将其与复杂的恶意软件、动态 C2 基础设施以及在社交网络或搜索引擎上的大规模攻击活动结合起来；了解其工作原理、识别其信号并加强技术和用户教育，是如今遭受严重攻击还是及时阻止攻击之间的区别。