400-9909-139
“人机验证”作掩护 ClickFix钓鱼正借你的手入侵电脑
发布时间：2026-10-27 09:44:55
—发布时间—
2026-10-27 09:44:55
目前，火绒安全产品已实现对相关样本的查杀。 注意以下原则，可有效阻断典型ClickFix攻击： 正规的人机验证（验证码、滑块、点选图片），永远不会要求你打开运行窗口、终端或执行任何命令。 最近，在安全社区和社交平台，类似的求助越来越多： 这几位网友所描述的，正是同一种钓鱼手法——ClickFix。 8月初，火绒安全工程师在分析一起仿冒开黑语音网站的事件时曾遇到该手法（仿冒语音网站通过PowerShell载荷实现远控攻击的事件分析）：攻击者正是利用这套“人机验证”诱导用户亲手执行命令，从而完成恶意程序的落地。当时，该手法仅作为攻击链的一环，尚未进一步展开。 此后火绒安全工程师持续跟踪。监测数据显示，ClickFix相关钓鱼页面数量从7月的14个逐月攀升至8月的44个、9月的105个，10月前23天即达170个，增至7月的约12倍。这些页面多为即时投放、用完即弃——监测时333个页面中已有285个下线，说明攻击者仍在持续更换域名、批量生成新页面。 批量生产的页面，已经精致到可以以假乱真。以火绒安全工程师跟踪的一起位于德国的攻击为例：9月24–27日，国际经典车展Techno Classica Salon首次在多特蒙德举办；三周后的10月15日起，一批冒牌车行网站集中注册——公司'创立于 1989 年'，恰好与展会历史同龄、总部设在多特蒙德、业务和诱饵文档全部对标展会上的车商。结合注册时间与内容的高度吻合，火绒安全工程师推测其投放瞄准了'展会余热'：借会后商务跟进的名义，向参展商发送携带专属链接的钓鱼邮件。这类链接一人一号，打开页面还会显示'已登录为 <你的邮箱>'，受害者几乎无从察觉异常。 ClickFix的钓鱼入口几乎涵盖了所有可设想的渠道：钓鱼邮件和私信、恶意广告、搜索引擎投毒（搜索“下载某某软件”后进入虚假网站）、被入侵的正常网站、社交媒体评论区、二维码，以及伪装成PDF/SVG/HTML的恶意附件。其入口防不胜防——无法预知下一个被入侵的是哪个正规网站。但无论入口如何变化，所有ClickFix最终都归结为同一个动作：诱导用户将命令粘贴至系统组件并执行。 攻击仅需三步： powershell -enc <一长串Base64> # 解码后是下载并运行远程木马 普通木马需下载一个文件，安全软件可监控“下载”这一动作；而缓存走私利用的是浏览器自身的缓存机制： 浏览网页时，页面里的图片、脚本会自动存进浏览器的缓存目录——这是浏览器的正常功能，任何下载提醒都不会出现。攻击者把恶意程序伪装成网页图片，先让它正常地进入缓存，再诱导用户运行一段修复命令，命令本身不从网上下载任何东西，而是从缓存中把恶意文件找出、拼好、运行。 真实捕获的命令核心逻辑： 此外，针对不同浏览器有不同的提取逻辑。 与缓存走私经常配合使用的是一张看起来完全正常的 JPG/PNG 图片，文件结尾处被拼接了一段可执行程序。 浏览器将其作为图片缓存，用户所见的仅为一张图片；而提取命令按偏移量或标记读取文件尾部，即可获取完整木马。对普通用户而言，识别方法只有一个：图片为真，不代表图片无问题——因此不应执行任何粘贴的不明命令。 用户按钓鱼页面指引粘贴并回车，恶意命令随即运行，从远程服务器下载提取脚本并执行。 恶意文件附在update.dat的尾部，提取脚本从update.dat文件尾部拆出第二阶段程序并运行。 第二阶段程序连接远程服务器，分块下载第三阶段加密载荷，并完成完整性校验。 以挂起方式启动系统进程RuntimeBroker.exe，写入载荷，修改线程入口并恢复执行。 最终载荷为一款基于Go语言开发、经过符号混淆处理的远程控制程序。样本分析显示，该程序具备隐蔽远程会话相关能力，涉及屏幕实时传输、键鼠输入控制、文件管理及剪贴板同步等功能。此外，程序中发现多个Solana 区块链RPC节点地址及相关链上交互逻辑，表明其具备与Solana网络通信、提交链上交易的潜在能力。结合样本中的隐藏浏览器会话机制，该程序可能被用于在受控主机上实施隐蔽操作，并存在数字资产盗取风险。 ClickFix仅承担初始访问入口的角色，实际危害程度取决于后续投放的载荷。结合公开事件与捕获样本，常见后续载荷可分为四类，且经常在同一攻击链中前后衔接： 窃取程序主要收集浏览器存储的账号口令、Cookie会话、密码管理器数据以及加密货币钱包与助记词等信息。 远程控制类载荷并非一次性窃取数据，而是实现对受害主机的持续观察与任意操作。值得注意的是，攻击者往往直接滥用NetSupport、AnyDesk等合法远程管理工具——其进程行为与网络流量与正常运维活动高度相似，给检测带来较大困难。 此类载荷仅负责建立立足点并按需拉取下一阶段组件，最终载荷可由攻击者随时更换。该模式使钓鱼页面与初始命令得以长期复用：同一入口既可用于投放窃密木马，也可在后续攻击中改投其他类型的恶意软件。 部分勒索软件将伪造的验证码页面诱导用户执行 PowerShell 命令作为初始入口，先植入远程控制组件，再经横向移动与数据窃取，最终实施加密勒索。从初始入侵到受害者收到勒索信，中间通常间隔数周。
同时，火绒安全提醒广大用户：
作者： 浏览量：
关于比特信息
公司成立于2018年，坐落于粤港澳大湾区-中山，专注为中大型企业提供全套企业信息安全解决方案，包括但不限于服务器虚拟化、桌面虚拟化、信息安全、数据存储、行为管理、工控安全、私有云、公有云等服务。
Copyright © 广东比特信息科技有限公司 All Rights Reserved. 备案号：粤ICP备19007201号-1
技术支持电话：18825383068
联系方式
咨询电话
400-9909-139
中山市石岐街道江怡街2号富力中心2栋20楼2004
公众号二维码
关于比特信息
比特信息科技是一家专注于阿里云、网络安全及数据安全的企业，“诚信、专业、创新”是比特信息对待客户及合作伙伴的最基本原则。比特信息科技通过与各大软、硬件厂商的紧密合作，为用户提供优质、高效、实用的整体信息化解决方案，为客户提供阿里云、网络安全、主机安全、应用安全、数据安全等服务。
联系方式
咨询电话
139-2450-5487
中山市石岐街道江怡街2号富力中心2栋20楼2004
关注公众号
Copyright © 广东比特信息科技有限公司
技术支持电话：18825383068
