什麼是 ClickFix 攻擊？它的工作原理是什麼？

資訊科技數位 » recursos » 什麼是 ClickFix 攻擊？它的工作原理是什麼？

ClickFix 攻擊已成為網路犯罪界最受歡迎的社會工程伎倆之一：這些攻擊看似無害，透過虛假的瀏覽器警告或安全檢查，最終卻讓用戶在幾乎不知情的情況下在其電腦上運行惡意程式碼。

ClickFix 遠非一項技術奇觀，它已經在拉丁美洲、歐洲和其他地區的真實攻擊活動中出現，傳播信息竊取程序、遠程訪問木馬 (RAT) 和復雜的加載程序，例如 GHOSTPULSE 或 NetSupport RAT，甚至利用 TikTok 視頻或 YouTube 教程來接觸成千上萬的受害者。

ClickFix攻擊究竟是什麼？

ClickFix 是一種相對較新的社會工程技術（自 2024 年以來流行），其原理非常簡單：說服用戶複製並在自己的系統上運行命令來「修復」所謂的技術問題或完成驗證。

惡意網站不會直接下載惡意程序，而是將腳本或命令注入剪貼簿（例如 Windows 中的 PowerShell 或 MSHTA 命令），然後顯示逐步說明，讓受害者將其貼到控制台、運行框或終端機中運行。

這種策略利用了許多研究人員所說的「驗證疲勞」：使用者習慣於快速點擊「我是人類」、「修復它」或「立即更新」之類的按鈕，而不會過多分析訊息，這使得他們在螢幕看起來像 Cloudflare 驗證、Google CAPTCHA 或 Google Meet 或 Zoom 錯誤時非常容易受到攻擊。

ClickFix 這個名字正是來自這些誘餌中通常出現的按鈕，按鈕上的文字諸如“修復它”、“如何修復”、“立即修復”或“解決問題”，這些文字會讓用戶誤以為他們正在應用一個快速解決方案，而實際上他們正在複製並運行一個下載惡意軟體的腳本。

ClickFix攻擊的運作原理詳解

儘管存在許多變體，但幾乎所有 ClickFix 攻擊都遵循一個共同的順序，即結合被入侵的網站、惡意 JavaScript 腳本以及「強制」使用者乾預來執行程式碼。

第一步通常是訪問已被入侵的合法網站或直接訪問惡意頁面，受害者可能透過釣魚郵件中的連結、被操縱的搜尋引擎結果（惡意 SEO）、惡意廣告，甚至是 TikTok 或 YouTube 影片中的所謂激活付費軟體的技巧而訪問這些頁面。

該頁面上會出現一個虛假的警告或驗證，模擬技術問題：例如加載文檔錯誤、瀏覽器更新失敗、Google Meet/Zoom 中的麥克風或攝像頭問題，或者類似 Cloudflare 或 reCAPTCHA 的所謂反機器人檢查，除非某些問題得到“修復”，否則不允許您繼續。

一旦使用者點擊「修復」按鈕或勾選「我是人類」複選框，JavaScript 腳本就會自動將惡意命令注入剪貼簿，通常是經過混淆的 PowerShell 或 MSHTA 命令，然後從遠端伺服器下載另一段惡意軟體。

該網站提供了詳細的指南，指導受害者如何執行該命令，例如：

• 點擊“修復”按鈕以“複製解決方案代碼”。.
• 按 Win+R 鍵開啟「執行」視窗 在Windows中。
• 按 Ctrl+V 貼上剪貼簿中的內容 （惡意命令）。
• 按 Enter 鍵「修復問題」或繼續驗證.

在更進階的變體中，可以使用 Win+X 或瀏覽器控制台來完成此操作：使用者需要從快速選單 (Win+X) 開啟具有管理員權限的 PowerShell 終端，或使用瀏覽器控制台 (F12 或 Ctrl+Shift+I)，並將 JavaScript 程式碼或「驗證」函數貼上到那裡。

命令執行後，其餘的感染過程會在後台進行：腳本會從命令和控制 (C2) 伺服器下載其他元件，解壓縮文件，透過側載執行惡意 DLL，最終在記憶體或磁碟上安裝資訊竊取程式或遠端存取木馬 (RAT)。

為什麼 ClickFix 如此難以偵測

ClickFix 對攻擊者的一大優勢在於，它繞過了許多傳統的安全屏障，因為感染鏈似乎是從使用者本身開始的，而不是從下載的檔案或經典的漏洞開始的。

不一定會有可疑的附件或直接從瀏覽器下載的可執行文件，這意味著許多電子郵件過濾器、下載攔截器和 URL 信譽檢查在第一階段不會發現任何明顯的惡意內容。

該命令從系統的「受信任 shell」（例如​​ PowerShell、cmd.exe 或瀏覽器控制台）執行，這使得惡意軟體看起來像是合法活動，並使基於特徵碼的防毒程式和一些不太擅長行為分析的安全解決方案的工作變得複雜。

安全產品通常在有效載荷已經執行或試圖整合到受保護的進程中、修改主機檔案等關鍵檔案、建立持久性或與 C2 伺服器通訊時偵測到威脅；也就是說，在滲透後階段偵測到威脅。

到那時，攻擊者可能已經獲得了對系統的重大存取權限：提升權限、竊取憑證、在企業網路中橫向移動，甚至試圖停用防毒軟體和其他防禦措施。

ClickFix 的實際應用場景：常見管道和誘餌

來自多個安全實驗室的研究表明，ClickFix 被廣泛用於各種攻擊活動中，目標既包括家庭用戶，也包括關鍵產業的公司。

攻擊者經常利用這些管道部署他們的 ClickFix 誘餌：

• 合法網站遭到入侵他們在其中註入了 ClearFake 等 JavaScript 框架來顯示虛假的更新或驗證通知。
• 惡意廣告（惡意廣告）尤其是那些會將使用者重新導向到虛假軟體下載或瀏覽器驗證頁面的橫幅廣告和贊助廣告。
• YouTube 或 TikTok 上的教學和視頻據稱，他們利用一些技巧免費啟動軟體或解鎖高級功能。
• 虛假技術支援論壇和模仿幫助門戶網站的網站其中“建議”運行命令來修復系統錯誤。

在拉丁美洲，已經記錄了一些官方網站和大學網站遭到入侵的案例：例如，智利天主教大學工業工程學院的網站或秘魯警察住房基金的網站，最終向訪客顯示了 ClickFix 流量。

美國安全機構警告稱，有攻擊活動針對搜尋遊戲、PDF 閱讀器、Web3 瀏覽器或即時通訊應用程式的用戶，利用日常搜尋將他們重定向到實施 ClickFix 的頁面。

我們也觀察到一些活動依賴所謂的 Google Meet、Zoom、DocuSign、Okta、Facebook 或 Cloudflare 頁面，這些頁面會顯示瀏覽器錯誤或 CAPTCHA 驗證，迫使使用者按照順序複製和執行命令。

透過 ClickFix 分發的最常見惡意軟體

ClickFix 很少是攻擊的唯一組成部分；它通常只是初始載體，允許部署包含各種惡意軟體的多階段感染鏈。

在近期的競選活動中，最引人注目的家族包括：

• 像 Vidar、Lumma、Stealc、Danabot、Atomic Stealer 或 Odyssey Stealer 這樣的資訊竊取者專門竊取瀏覽器憑證、cookie、自動填入資料、加密貨幣錢包、VPN 和 FTP 憑證等。
• 遠端存取木馬（RAT），例如 NetSupport RAT 或 ARECHCLIENT2（SectopRAT）這使得攻擊者能夠控制系統、執行命令、竊取資訊並啟動後續階段，包括勒索軟體。
• 高級加載器，例如 GHOSTPULSE、Latrodectus 或 ClearFake它們起到黏合劑的作用，下載、解密並將後續部分載入到記憶體中，通常採用非常複雜的混淆和加密層。
• 竊取財務和企業資訊的工具它可以從表單、電子郵件用戶端、訊息傳遞和業務應用程式中提取資料。

在 2024 年和 2025 年的攻擊活動中，ClickFix 被發現參與了複雜的攻擊鏈：例如，ClickFix 誘餌啟動 PowerShell，下載包含合法可執行檔（例如 Java 中的 jp2launcher.exe）和惡意 DLL 的 ZIP 檔案，並透過側載最終在電腦上執行 NetSupport RAT。

另一個常見案例是使用 MSHTA 和混淆的 URL 指向像 iploggerco 這樣的域名，這些域名模仿合法的 URL 縮短或註冊服務；然後下載 Base64 編碼的 PowerShell 腳本，最終釋放 Lumma Stealer 暫存器或類似程序。

ClickFix 的真實案例研究和特色推廣活動

來自多個事件回應團隊和安全實驗室的報告顯示，多個高度活躍的攻擊活動都以 ClickFix 為入口點。

在商業領域，先進技術、金融服務、製造業、零售和批發貿易、公共管理、專業和法律服務、能源和公用事業等領域都受到了顯著影響。

在 2025 年 5 月的攻擊活動中，攻擊者使用 ClickFix 透過冒充 DocuSign 和 Okta 的虛假頁面部署 NetSupport RAT，並利用與 ClearFake 框架相關的基礎設施注入 JavaScript 來操縱剪貼簿。

2025 年 3 月和 4 月期間，記錄到 Latrodectus 家族控制的域名流量增加，該家族開始使用 ClickFix 作為初始訪問技術：一個被入侵的門戶網站被重定向到一個虛假的驗證頁面，受害者通過 Win+R 運行 PowerShell，該 PowerShell 下載了一個 MSI 文件，該文件會釋放惡意 Dlllibcef.

同時，也偵測到了與 Lumma Stealer 相關的網域搶注活動，受害者被要求執行指向模仿 iplogger 的網域的 MSHTA 指令；這些指令下載了高度混淆的 PowerShell 腳本，最終解壓縮了包含 PartyContinued.exe 等可執行檔和 CAB 內容 (Boat.pst) 的軟體套件，以設定為一個 AutoItma 的腳本，該程式設定一個自動

Elastic Security Labs 還描述了 ClickFix 作為 GHOSTPULSE 的初始鉤子，GHOSTPULSE 進而加載一個中間的 .NET 加載器，最終將 ARECHCLIENT2 注入內存，通過鉤子和高級混淆繞過 AMSI 等機制的攻擊活動。

在最終用戶方面，一些供應商展示了 ClickFix 攻擊的簡化範例，其中「瀏覽器更新」頁面或虛假的 CAPTCHA 會悄悄地將腳本複製到剪貼簿，然後強迫使用者以管理員權限將其貼上到 PowerShell 中，從而更容易連接到 C2 基礎架構並下載修改系統的可執行檔。

一個特別令人擔憂的現像是 ClickFix 出現在 TikTok 上：即使是人工智慧生成的影片也宣傳啟動 Office、Spotify Premium 或編輯程式的免費付費版本的“簡單方法”，但實際上它們引導用戶複製和貼上惡意命令，從而安裝 Vidar 或 Stealc 等資訊竊取程式。

分析師如何偵測ClickFix感染

雖然對使用者來說這可能看起來像是黑魔法，但 ClickFix 感染會留下技術痕跡，威脅狩獵團隊和 EDR 可以利用這些痕跡來偵測事件。

在 Windows 環境中，分析的重點之一是 RunMRU 註冊表項，它儲存了最近從「執行」視窗（Win+R）執行的命令：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU

分析人員會審查這些條目，尋找可疑模式：混淆的命令、使用 PowerShell 或 MSHTA 以及不尋常的 URL、對未知域的調用，或對普通用戶通常不使用的管理工具的引用。

當攻擊者使用 Win+X 變體（快速存取功能表）啟動 PowerShell 或命令提示字元時，會在進程遙測中尋找線索：進程建立事件（例如 Windows 安全性日誌中的 ID 4688），其中 explorer.exe 按下 Win+X 後立即產生 powershell.exe。

與其他事件（例如存取 %LocalAppData%\Microsoft\Windows\WinX\ 資料夾或執行後出現的可疑網路連線）的關聯，有助於勾勒出 ClickFix 感染的典型行為，尤其是在 certutil.exe、mshta.exe 或 rundll32.exe 等進程緊接著出現的情況下。

另一種偵測途徑是剪貼簿濫用：進階 URL 過濾和 DNS 安全解決方案可以識別試圖將惡意命令注入剪貼簿緩衝區的 JavaScript，從而在使用者完成操作序列之前阻止頁面載入。

攻擊者試圖透過 ClickFix 技術達到什麼目的？

所有這些社會工程手段背後都有一個明確的目標：從竊取的資訊中獲取經濟利益，這些資訊既來自個人用戶，也來自組織。

透過 ClickFix 部署的資訊竊取程式旨在收集儲存在瀏覽器、電子郵件用戶端、企業應用程式或加密貨幣錢包中的憑證、cookie 和敏感數據，以及內部文件和財務資料。

利用這些資料，不法分子可以實施多種犯罪活動：

• 勒索公司威脅洩漏有關組織或其客戶的機密資訊。
• 實施直接金融詐欺 透過利用被盜用的銀行帳戶、線上支付系統或加密錢包。
• 冒充公司或其員工 對第三方實施欺詐，例如典型的CEO欺詐或BEC攻擊。
• 在暗網上出售憑證和資料包 其他犯罪集團將在未來的攻擊中利用這些手段。
• 進行工業或地緣政治間諜活動 當目標是特定組織或策略部門。

在許多有記錄的攻擊活動中，ClickFix 只是更大規模攻擊的第一步，包括在竊取憑證後部署勒索軟體、長時間訪問企業網絡，或利用被入侵的基礎設施作為跳板攻擊其他目標。

使用者和企業如何保護自己免受 ClickFix 的侵害？

防禦 ClickFix 需要結合技術、最佳實踐和高度的意識，因為這種技術利用的弱點正是使用者行為。

就個人而言，有幾個非常簡單的黃金法則可以大大降低跌倒的風險：

• 切勿因為網站要求就將程式碼貼到控制台（PowerShell、cmd、終端機、瀏覽器控制台）中。然而，無論它看起來多麼合情合理。
• 若要警惕 Cloudflare 驗證、CAPTCHA 或要求執行奇怪步驟的「瀏覽器更新」頁面。 不僅僅是點擊一個方框或一個按鈕。
• 請確保您的瀏覽器、作業系統和應用程式始終保持最新狀態。安裝來自官方管道的補丁，而不是來自隨機橫幅廣告或彈出視窗的補丁。
• 在重要帳號上啟用雙重認證 (2FA)即使攻擊者成功竊取了密碼，這樣做也會增加他們的難度。

在企業環境中，除了這些建議之外，公司還應該更進一步，將 ClickFix 作為安全策略中的一個具體威脅加以回應。

組織需要採取的一些關鍵措施包括：

• 限制使用指令執行工具（PowerShell、cmd、MSHTA） 透過群組原則、應用程式控制清單或 EDR 配置，使只有技術設定檔才能使用它們，並始終記錄活動。
• 實施現代反惡意軟體和EDR解決方案 具備基於行為的偵測能力，即使在使用者介入的情況下也能辨識可疑的執行模式。
• 監控網路流量和與信譽度低的網域的出站連接尤其針對網址縮短服務、新註冊的網域或不常見的頂級網域。
• 定期檢視 RunMRU、PowerShell 日誌和安全事件等工件。 偵測濫用 Win+R、Win+X 或管理控制台的跡象。

一個基本支柱是對員工進行持續和實際的培訓：理論課程是不夠的，但進行受控的社會工程測試，模擬 ClickFix 類型的活動、CEO 欺詐、高級網絡釣魚或惡意廣告，是很有用的。

這些模擬使我們能夠衡量員工對這些技術的成熟度，調整意識策略，識別風險較大的領域，並強化在遵循網站或電子郵件中的可疑指示之前「停下來思考」的文化。

此外，企業必須做好快速應對事件的準備：制定清晰的應對計劃、專業的團隊或供應商，以及明確的遏制和根除流程，以便在檢測到可能的 ClickFix 案例或任何其他入侵途徑時能夠迅速採取行動。

ClickFix 技術的擴散清楚地表明，攻擊者已經找到了一種非常有效的方法，可以將用戶變成不知情的幫兇，而且他們毫不猶豫地將其與復雜的惡意軟體、動態 C2 基礎設施以及在社交網絡或搜索引擎上的大規模攻擊活動結合起來；了解其工作原理、識別其信號並加強技術和用戶教育，是如今遭受嚴重攻擊還是及時阻止攻擊之間的區別。