答案已发布17 来源
假冒 Cloudflare 验证，正诱导 Windows 用户自己运行恶意命令
攻击者把运行命令伪装成“完成验证”：仅仅看到页面，不等于恶意软件已安装。 乌克兰网站上的 ClickFix 诱饵通过 msiexec 安装 Psychedelic，目标包括浏览器密码、账户令牌和加密货币钱包数据。 third party.com 案例使用 PowerShell 诱导指令；现有报道没有证据表明它与 Psychedelic 攻击由同一批人操纵。
发布者使用 GPT-6 Sol 编辑图片由 GPT Image 2 生成
研究答案
要点
- 攻击者把运行命令伪装成“完成验证”：仅仅看到页面，不等于恶意软件已安装。
- 乌克兰网站上的 ClickFix 诱饵通过 msiexec 安装 Psychedelic，目标包括浏览器密码、账户令牌和加密货币钱包数据。
- third party.com 案例使用 PowerShell 诱导指令；现有报道没有证据表明它与 Psychedelic 攻击由同一批人操纵。
AI 提示
openai.comCreate a landscape editorial hero image for this Studio Global article: How are attackers using fake Cloudflare verification pages and ClickFix instructions to target Windows users through compromised Ukrainian b. Article summary: The campaigns exploit a simple trust mistake: a page that looks like a Cloudflare check tells a Windows user to run a command that installs malware. The compromised Ukrainian sites deliver the Psychedelic stealer; the ac. Topic tags: general, general web, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fak
看到“请证明你是真人”，多数人会想到勾选验证码，而不是打开 Windows 的运行窗口。ClickFix 攻击正是利用这一步认知落差：页面冒充 Cloudflare 安全检查，要求访问者复制、粘贴并执行命令。近期报道涉及两条不同的攻击线索——遭入侵的乌克兰企业网站，以及常被开发文档引用的 third-party.com。它们手法相似，但不能据此认定背后是同一批攻击者。31
5
乌克兰网站：验证码如何变成安装指令
Arctic Wolf Labs 发现，攻击者在正规乌克兰企业网站中植入 iframe，展示乌克兰语的假 Cloudflare 验证页。访问者与诱饵交互后，页面会把一条 msiexec 命令复制到剪贴板，并引导其粘贴到 Windows“运行”窗口。只有用户执行命令，才会触发获取 MSI 安装包、投放 Psychedelic 窃密软件的过程；单纯浏览页面不等于已经安装恶意软件。31
3
Psychedelic 的目标包括浏览器保存的密码、账户令牌及加密货币钱包数据。相关分析还描述了它通过计划任务维持驻留，并与命令与控制服务器通信、接收后续任务。因此，一旦怀疑命令已被执行，排查不能只停留在删除下载文件，还应评估数据是否暴露、恶意程序是否仍在运行。31
3
Arctic Wolf Labs 称，已观察到的受害者分布在欧洲、美洲和亚太地区的 32 个国家。这是受害者涉及的国家数量，不是感染设备总数；现有报道不足以得出可靠的感染台数。研究还提到一个带有俄罗斯元素的流量管理面板，但面板的品牌线索本身不能证明操作者的身份、所在地或所属组织。31
third-party.com：示例域名也可能成为陷阱
third-party.com 常被写进开发文档和代码示例，充当“某个外部网站”的占位域名。但 BleepingComputer 报道称，它向 Windows 访问者展示过假 Cloudflare 验证页，试图诱导他们运行 PowerShell 命令；另一些访问者看到的则是无害的伪装页面。文档里看似普通的示例链接，因此可能把读者带到真实的诱饵页面。5
4
**这不是 Psychedelic 攻击的另一种安装步骤。**两起案例分别涉及 PowerShell 诱导指令和 msiexec 安装链；现有报道既未确认共同的操作者，也未确认相同的恶意载荷。访问过该域名，同样不能直接推断访问者执行了命令。5
31
对安全团队意味着什么
另一项独立研究中，Blackpoint Cyber 发现 ClickFix 攻击链同时投放 RemotePanel 和 BoundSiphon：前者用于持续远程访问，后者窃取凭据和加密货币数据。这说明 ClickFix 事件未必止于一次性数据窃取，但该发现不构成它与 Psychedelic 或 third-party.com 有关联的证据。19
防护重点应放在“用户是否执行了命令”及其后果上：
- **识别假验证：**凡是要求把命令粘贴进 Windows“运行”窗口或 PowerShell 的所谓验证码、安全检查，都应视为危险信号。
15
40
- **核查执行痕迹：**调查浏览网页后是否出现异常的
msiexec下载或 PowerShell 启动，并确认剪贴板中的命令是否被执行。5
- **评估后续风险：**若怀疑 Psychedelic 已运行，检查浏览器凭据、账户令牌、钱包数据及持久化机制；若载荷不同，也要排查是否形成了远程访问入口。
3
19
- **清理诱饵来源：**检查受影响网站是否有注入内容，并将文档、测试中的真实占位域名替换为可控示例，避免读者被引向内容随时可能变化的第三方网站。
Studio Global AI
继续你的研究
此页面包含一个有来源支持的答案，您可以在 Studio Global 内继续。
人们还问
“假冒 Cloudflare 验证，正诱导 Windows 用户自己运行恶意命令”的简短答案是什么？
攻击者把运行命令伪装成“完成验证”：仅仅看到页面，不等于恶意软件已安装。
首先要验证的关键点是什么？
攻击者把运行命令伪装成“完成验证”：仅仅看到页面，不等于恶意软件已安装。 乌克兰网站上的 ClickFix 诱饵通过 msiexec 安装 Psychedelic，目标包括浏览器密码、账户令牌和加密货币钱包数据。
接下来在实践中我应该做什么？
third party.com 案例使用 PowerShell 诱导指令；现有报道没有证据表明它与 Psychedelic 攻击由同一批人操纵。
来源