答案已發布17 來源
假 Cloudflare 驗證誘用戶執行指令：兩宗 ClickFix 攻擊有何不同？
假驗證頁會叫 Windows 用戶把指令貼到「執行」視窗或 PowerShell；單是看到頁面，不等於已安裝惡意程式。 Psychedelic 可竊取瀏覽器密碼、帳戶權杖及加密貨幣錢包資料；研究人員報告的「32 個國家」並非感染裝置總數。 third party.com 的誘導頁與 Psychedelic 個案不能視為同一攻擊；其他 ClickFix 個案亦顯示，風險可能包括持續遠端存取。
發布者使用 GPT-6 Sol 編輯圖片由 GPT Image 2 生成
研究答案
重點
- 假驗證頁會叫 Windows 用戶把指令貼到「執行」視窗或 PowerShell；單是看到頁面，不等於已安裝惡意程式。
- Psychedelic 可竊取瀏覽器密碼、帳戶權杖及加密貨幣錢包資料；研究人員報告的「32 個國家」並非感染裝置總數。
- third party.com 的誘導頁與 Psychedelic 個案不能視為同一攻擊；其他 ClickFix 個案亦顯示，風險可能包括持續遠端存取。
AI 提示
openai.comCreate a landscape editorial hero image for this Studio Global article: How are attackers using fake Cloudflare verification pages and ClickFix instructions to target Windows users through compromised Ukrainian b. Article summary: The campaigns exploit a simple trust mistake: a page that looks like a Cloudflare check tells a Windows user to run a command that installs malware. The compromised Ukrainian sites deliver the Psychedelic stealer; the ac. Topic tags: general, general web, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fak
網站突然要求你「驗證是真人」，未必只是例行程序。兩宗已報告的 ClickFix 個案都冒充 Cloudflare 安全檢查，關鍵不是用戶看到了甚麼，而是頁面能否說服用戶親手在 Windows 執行指令。一宗經被入侵的烏克蘭企業網站散播 Psychedelic；另一宗涉及常見於開發文件的 third-party.com。手法相似，不代表兩者由同一批人操作，或會安裝同一種惡意程式。31
5
烏克蘭網站：把「驗證」變成安裝步驟
Arctic Wolf Labs 指，攻擊者在合法的烏克蘭企業網站植入 iframe，顯示烏克蘭語的假 Cloudflare 驗證頁。訪客與頁面互動後，頁面會把一段 msiexec 指令複製到剪貼簿，再叫訪客貼進 Windows「執行」（Run）視窗。用戶一旦執行，指令便會取得用來散播 Psychedelic Stealer 的 MSI 安裝檔。單是開啟網頁，不等於已執行指令或安裝惡意程式。31
3
Psychedelic 針對瀏覽器密碼、帳戶權杖和加密貨幣錢包資料。相關報告亦描述它可透過排程工作維持運作，並聯絡指揮控制伺服器接收後續指令。因此，若懷疑有人執行過該指令，調查不應只停留在有否下載檔案，還要評估資料有否外洩，以及程式是否仍在運作。31
3
「32 個國家」不等於感染數字
雖然誘導頁使用烏克蘭語，Arctic Wolf Labs 報告的受害者遍及歐洲、美洲及亞太區32 個國家。這是涉及國家的數目，不是受感染裝置總數；現有報告不足以得出可靠的感染數字。研究亦提及一個帶有俄羅斯品牌元素的流量管理面板，但單憑這項線索，不能確定操作者是誰、身處何地，或將攻擊歸因於某個特定組織。31
third-party.com：範例網址也可能變成陷阱
third-party.com 常被當作開發文件和程式碼範例中的佔位網址。BleepingComputer 報道，該網域曾向 Windows 訪客顯示假 Cloudflare 驗證頁，試圖誘使他們執行 PowerShell 指令；其他訪客則可能看到看似無害的頁面。換言之，文件中原本只作示例的網址，若指向真實網站，讀者可能會被帶到誘導頁；而不同訪客看到不同內容，也會令問題較難察覺。5
4
**這是另一宗個案，不應與 Psychedelic 混為一談。**third-party.com 個案涉及 PowerShell 指令，而烏克蘭網站個案的已報告安裝鏈使用 msiexec。現有資料沒有證實兩者共用操作者或惡意程式；有人造訪該網域，也不能據此認定他已執行指令。5
31
ClickFix 的後果可以不止於盜取資料
Blackpoint Cyber 在另一條 ClickFix 攻擊鏈中，發現 RemotePanel 與 BoundSiphon 一同散播：前者是可持續運作的遠端存取工具，後者針對登入憑證及加密貨幣資料。這說明同類誘導手法除了可能造成資料失竊，也可能讓攻擊者持續存取受影響系統。不過，Blackpoint 的發現並未證實與 Psychedelic 或 third-party.com 有關。19
用戶與保安團隊應留意甚麼？
- **認清警號：**自稱 CAPTCHA 或安全驗證的頁面，若要求把指令貼進 Windows「執行」視窗或 PowerShell，應視作警號，而非照做的驗證步驟。
15
40
- **查明有否執行：**調查瀏覽網站後是否出現異常的
msiexec下載或 PowerShell 啟動，並確認用戶有否執行剪貼簿中的指令。5
- **評估後果：**若懷疑 Psychedelic 已執行，應檢查瀏覽器憑證、帳戶權杖和錢包資料的潛在外洩情況，以及程式有否持續運作。若涉及其他 ClickFix 惡意程式，也要調查是否存在遠端存取，不能假設風險只限於一次資料盜取。
3
19
- **堵住入口：**檢查受影響網站有否被植入內容；開發文件或測試亦應改用受控的示例網址，避免把讀者帶往內容可能變動的第三方網站。
Studio Global AI
繼續你的研究
此頁麵包含一個有來源支援的答案，您可以在 Studio Global 內繼續。
人們還問
「假 Cloudflare 驗證誘用戶執行指令：兩宗 ClickFix 攻擊有何不同？」的簡短答案是什麼？
假驗證頁會叫 Windows 用戶把指令貼到「執行」視窗或 PowerShell；單是看到頁面，不等於已安裝惡意程式。
首先要驗證的關鍵點是什麼？
假驗證頁會叫 Windows 用戶把指令貼到「執行」視窗或 PowerShell；單是看到頁面，不等於已安裝惡意程式。 Psychedelic 可竊取瀏覽器密碼、帳戶權杖及加密貨幣錢包資料；研究人員報告的「32 個國家」並非感染裝置總數。
接下來在實務上我該做什麼？
third party.com 的誘導頁與 Psychedelic 個案不能視為同一攻擊；其他 ClickFix 個案亦顯示，風險可能包括持續遠端存取。
來源