ClickFix：2025–2026年头号社会工程学攻击手法

ClickFix如何运作：四步欺骗流程

几乎所有已记录的恶意活动中，攻击流程都遵循一致的模式^EFS：

1. 诱饵：用户访问受感染或恶意网站，遭遇伪造的验证提示——伪装的Google reCAPTCHA、假冒的Cloudflare“验证您是真人”页面、虚假的浏览器更新消息，或欺诈性的QuickBooks、Booking.com错误界面^EFE。
2. 复制粘贴指令：页面显示类似“按Win + R，然后按Ctrl + V，再按回车”的指示，声称能完成验证任务^ER。
3. 隐藏载荷：实际复制到用户剪贴板的是一个恶意PowerShell、mshta或curl命令，该命令会从远程服务器下载并执行恶意软件加载器^HES。
4. 执行：命令以用户自身权限运行。由于是用户亲手粘贴并启动的，终端检测工具往往无法将其识别为入侵行为^P。

该技术也被称为粘贴劫持(pastejacking)，因为它利用剪贴板作为感染传播途径^RN。

ClickFix活动投放的载荷

攻击者利用ClickFix诱饵投放了多种恶意软件，通常涉及多阶段感染链条：

• HijackLoader：自2025年6月起在ClickFix链条中被观察到的第一阶段加载器，常紧随其后投放DeerStealer信息窃取器^SM。
• CastleLoader（亦称CastleBot）：自2025年初活跃的恶意软件即服务平台。某恶意活动利用虚假的抠图网站投放CastleLoader，后者再安装NetSupport RAT和一款自定义.NET信息窃取器，目标锁定浏览器凭据、加密货币钱包和Telegram会话^FMH。
• NetSupport RAT：一款被攻击者滥用的正规远程管理工具，用于提供持久的后门访问^FES。
• StealC：一款瞄准浏览器凭据和加密货币钱包的信息窃取木马^CC。
• Amatera：通过结合虚假CAPTCHA与经过签名的Microsoft App-V脚本进行分发的信息窃取器^T。
• 基于Rust的信息窃取器：在2025年底开始的多形态ClickFix活动中被记录^F。
• DeerStealer：HijackLoader之后投放的最终可执行载荷^S。
• ResiLoader：新近发现的加载器，专门设计用于终止受害设备上超过140款杀毒软件和安全工具进程，在最终载荷运行前有效解除防御^HP。

传播方式

攻击者利用多样化的基础设施来托管和投放ClickFix攻击：

• Cloudflare R2存储：用于托管恶意载荷二进制文件^H。
• Cloudflare Pages子域名：被滥用来借助Cloudflare自身可信证书提供虚假CAPTCHA页面^H。
• Dedik Services Limited主机：被观察到作为ClickFix命令与控制基础设施的托管服务商^H。
• 过期域名：注册或重新注册的过期域名，用于凭据窃取页面和载荷投放^H。
• 被攻陷的合法网站：最常见初始途径。攻击者将恶意JavaScript或iframe注入合法网站（通常利用插件漏洞或CMS漏洞），将访客重定向至ClickFix登陆页面^FEM。
• SEO投毒与恶意广告：通过搜索引擎结果推广虚假安装包网站和盗版软件门户^MS。
• Ghost CMS漏洞利用：2026年5月，攻击者利用一个高危Ghost CMS SQL注入漏洞（CVE‑2026‑26980），劫持了超过700个合法的教育和科技网站，植入ClickFix提示^M。

威胁意义：为何ClickFix占据主导

• 微软2025年数字防御报告将ClickFix列为头号初始访问手段，占微软Defender Experts团队观察到的全部攻击的47%——超过传统钓鱼攻击(35%)^FCMB。
• ESET遥测数据显示，仅2025年上半年ClickFix攻击量就激增517%^FCO。
• 在Menlo Labs记录的一起活动中，ClickFix通过单个多形态JavaScript诱饵投放了跨平台载荷：Windows PowerShell命令、macOS .command脚本和Linux Bash脚本^F。
• 美国卫生与公众服务部(HHS)于2026年7月发布行业警告，确认该技术已渗透至关键基础设施领域^H。
• Recorded Future的Insikt Group于2026年3月评估认为，ClickFix很可能在2026年全年保持主导初始访问手段的地位^B。

防御措施：研究人员的建议

由于ClickFix利用的是人为行为而非软件漏洞，防御主要依赖技术控制和用户安全意识培养^HEM：

• 限制PowerShell执行：禁止非管理员用户运行PowerShell脚本。通过组策略将执行策略设置为Restricted，并记录所有PowerShell执行事件^HE。
• 禁用Windows运行对话框：注册表修改（NoRun策略）可阻止使用Win+R粘贴和执行命令^EH。
• 将未经提示的命令行指令视为危险信号：没有任何正规网站或服务会要求用户按Win+R、粘贴命令并回车。这应作为用户安全意识培训的首要内容^HFM。
• 阻止mshta、cscript和curl以用户上下文运行：使用AppLocker或Windows Defender应用程序控制来限制脚本解释器^HE。
• 部署端点检测规则：监控异常的powershell.exe -ep bypass父进程、从explorer.exe到脚本解释器的进程链路以及RunMRU注册表痕迹^FU。
• 利用剪贴板安全功能：浏览器级别的剪贴板保护可阻断ClickFix依赖的核心复制-粘贴机制。

Opera的Paste Protect功能

Opera引入了原生的Paste Protect功能（适用于Opera 100+的Windows、macOS和Linux版本），可拦截并阻断基于剪贴板的粘贴劫持攻击。当网站试图程序化地向剪贴板写入可疑载荷并提示用户粘贴时，Paste Protect会向用户发出警告并阻止操作完成，无需安装任何扩展即可直接缓解ClickFix的核心攻击手法。