ClickFix 點樣呃人：四步陷阱

呢個攻擊模式喺幾乎所有記錄嘅案件中都非常一致 ：

1. 引你上釣： 你去咗一個被入侵或者假網站，見到個假驗證畫面——扮 Google reCAPTCHA、假 Cloudflare「Verify you are human」頁面、假瀏覽器更新訊息，或者扮 QuickBooks、Booking.com 嘅錯誤畫面 。
2. 叫你 Copy-Paste： 個網頁叫你「撳 Win+R，然後撳 Ctrl+V，最後撳 Enter」嚟完成驗證 。
3. 暗藏毒餌： 其實複製到你剪貼簿嘅，係一條惡意 PowerShell、mshta 或者 curl 指令，會從遠端伺服器下載同執行一個惡意軟件載入器 。
4. 自己中招： 因為係你自己貼上同執行嘅，所以好多防毒工具都當係正常操作，唔會攔截 。

呢種技術有時亦叫 Pastejacking，因為佢利用剪貼簿嚟做感染媒介 。

ClickFix 攻擊會送啲乜 Payload

黑客用 ClickFix 呃人，已經發現會裝好多種惡意軟件，好多仲係連環攻擊：

• HijackLoader： 第一階段嘅載入器，至少由 2025 年 6 月已經見到喺 ClickFix 攻擊鏈入面，之後通常會再裝 DeerStealer 偷資料 。
• CastleLoader（又叫 CastleBot）： 一個 2025 年初活躍嘅「惡意軟件即服務」框架。有次攻擊用假嘅去除背景網站嚟送 CastleLoader，然後再裝 NetSupport RAT 同一個自訂 .NET 偷資料程式，專偷瀏覽器密碼、加密貨幣錢包同 Telegram 記錄 。
• NetSupport RAT： 原本係合法嘅遠端管理工具，但被黑客利用做持續控制嘅後門 。
• StealC： 資訊竊取木馬，專偷瀏覽器密碼同加密貨幣錢包 。
• Amatera： 資訊竊取程式，透過假 CAPTCHA 同微軟簽署嘅 App-V 指令碼嚟散佈 。
• Rust 寫嘅偷資料程式： 喺 2025 年底開始嘅多變種 ClickFix 攻擊中發現 。
• DeerStealer： HijackLoader 之後最終執行嘅偷資料程式 。
• ResiLoader： 最新發現嘅載入器，專門 Kill 超過 140 個防毒同安全工具嘅程序，等最後嘅惡意軟件可以安心執行 。

點樣散佈

黑客用好多種方法嚟寄存同發放 ClickFix 攻擊：

• Cloudflare R2 儲存： 用嚟放惡意軟件檔案 。
• Cloudflare Pages 子域名： 濫用 Cloudflare 自己嘅可信證書嚟提供假 CAPTCHA 頁面 。
• Dedik Services Limited 寄存： 有啲 ClickFix 嘅控制伺服器係用呢間公司 。
• 過期域名： 註冊或重新註冊過期域名嚟做偷資料同發放惡意軟件 。
• 被入侵網站： 最常見嘅方法。黑客喺正當網站（通常透過外掛漏洞或 CMS 漏洞）注入惡意 JavaScript 或者 iframe，將訪客 redirect 去 ClickFix 嘅頁面 。
• SEO 下毒同惡意廣告： 假安裝網站同盜版軟件網站，透過搜尋引擎結果引人點擊 。
• Ghost CMS 漏洞： 2026 年 5 月，黑客利用 Ghost CMS 嘅 SQL 注入漏洞（CVE‑2026‑26980），入侵咗 超過 700 個正當嘅教育同科技網站，再注入 ClickFix 嘅攻擊 。

點解咁勁：ClickFix 嘅威脅程度

• 微軟嘅 2025 數位防禦報告 話 ClickFix 係 最主要嘅入侵方法，喺過去一年微軟 Defender Experts 觀察到嘅攻擊中佔 47%——已經超過傳統釣魚攻擊嘅 35% 。
• ESET 嘅數據 顯示，單係 2025 年上半年，ClickFix 攻擊就 升咗 517% 。
• 有個由 Menlo Labs 記錄嘅攻擊，一個多變種 JavaScript 可以同時送 Windows PowerShell 指令、macOS .command 指令，同埋 Linux Bash 指令 。
• 美國衛生及公共服務部（HHS）喺 2026 年 7 月都出咗行業警示，確認呢種攻擊已經影響到關鍵基礎設施 。
• Recorded Future 喺 2026 年 3 月評估，ClickFix 好可能會繼續係 2026 年最主要嘅入侵方法 。

點樣防禦：研究人員嘅建議

因為 ClickFix 係利用人類行為，而唔係軟件漏洞，所以防禦主要靠技術控制同用家教育 ：

• 限制 PowerShell 執行： 唔俾非管理員嘅用戶執行 PowerShell 指令。用 Group Policy 設定執行政策做 Restricted，並且記錄所有 PowerShell 執行事件 。
• 停用 Windows 執行對話框： 修改登錄檔（NoRun 政策）可以防止用 Win+R 嚟貼上同執行指令 。
• 見到叫人貼指令嘅即刻要警覺： 冇任何正當網站或服務會叫你撳 Win+R、貼上指令、再撳 Enter。呢個應該係員工培訓嘅第一課 。
• 封鎖 mshta、cscript 同 curl 俾普通用戶執行： 用 AppLocker 或者 Windows Defender 應用程式控制嚟限制指令解釋器 。
• 部署端點偵測規則： 留意異常嘅 powershell.exe -ep bypass 父程序、從 explorer.exe 跳到指令解釋器嘅程序鏈，同 RunMRU 登錄檔嘅痕跡 。
• 用剪貼簿安全功能： 瀏覽器級嘅剪貼簿保護可以阻止 ClickFix 最核心嘅 Copy-Paste 機制。

Opera 嘅 Paste Protect 功能

Opera 瀏覽器已經加入原生嘅 Paste Protect 功能（Opera 100 以上版本，支援 Windows、macOS 同 Linux）。當一個網站想用程式寫入可疑嘅惡意載荷到剪貼簿，然後叫你貼上嘅時候，Paste Protect 會警告你並阻止呢個操作。呢個功能直接針對 ClickFix 嘅核心技術，而且唔使安裝任何擴充功能。

ClickFix 點樣呃人：四步陷阱

呢個攻擊模式喺幾乎所有記錄嘅案件中都非常一致 ：

1. 引你上釣： 你去咗一個被入侵或者假網站，見到個假驗證畫面——扮 Google reCAPTCHA、假 Cloudflare「Verify you are human」頁面、假瀏覽器更新訊息，或者扮 QuickBooks、Booking.com 嘅錯誤畫面 。
2. 叫你 Copy-Paste： 個網頁叫你「撳 Win+R，然後撳 Ctrl+V，最後撳 Enter」嚟完成驗證 。
3. 暗藏毒餌： 其實複製到你剪貼簿嘅，係一條惡意 PowerShell、mshta 或者 curl 指令，會從遠端伺服器下載同執行一個惡意軟件載入器 。
4. 自己中招： 因為係你自己貼上同執行嘅，所以好多防毒工具都當係正常操作，唔會攔截 。

呢種技術有時亦叫 Pastejacking，因為佢利用剪貼簿嚟做感染媒介 。

ClickFix 攻擊會送啲乜 Payload

黑客用 ClickFix 呃人，已經發現會裝好多種惡意軟件，好多仲係連環攻擊：

• HijackLoader： 第一階段嘅載入器，至少由 2025 年 6 月已經見到喺 ClickFix 攻擊鏈入面，之後通常會再裝 DeerStealer 偷資料 。
• CastleLoader（又叫 CastleBot）： 一個 2025 年初活躍嘅「惡意軟件即服務」框架。有次攻擊用假嘅去除背景網站嚟送 CastleLoader，然後再裝 NetSupport RAT 同一個自訂 .NET 偷資料程式，專偷瀏覽器密碼、加密貨幣錢包同 Telegram 記錄 。
• NetSupport RAT： 原本係合法嘅遠端管理工具，但被黑客利用做持續控制嘅後門 。
• StealC： 資訊竊取木馬，專偷瀏覽器密碼同加密貨幣錢包 。
• Amatera： 資訊竊取程式，透過假 CAPTCHA 同微軟簽署嘅 App-V 指令碼嚟散佈 。
• Rust 寫嘅偷資料程式： 喺 2025 年底開始嘅多變種 ClickFix 攻擊中發現 。
• DeerStealer： HijackLoader 之後最終執行嘅偷資料程式 。
• ResiLoader： 最新發現嘅載入器，專門 Kill 超過 140 個防毒同安全工具嘅程序，等最後嘅惡意軟件可以安心執行 。

點樣散佈

黑客用好多種方法嚟寄存同發放 ClickFix 攻擊：

• Cloudflare R2 儲存： 用嚟放惡意軟件檔案 。
• Cloudflare Pages 子域名： 濫用 Cloudflare 自己嘅可信證書嚟提供假 CAPTCHA 頁面 。
• Dedik Services Limited 寄存： 有啲 ClickFix 嘅控制伺服器係用呢間公司 。
• 過期域名： 註冊或重新註冊過期域名嚟做偷資料同發放惡意軟件 。
• 被入侵網站： 最常見嘅方法。黑客喺正當網站（通常透過外掛漏洞或 CMS 漏洞）注入惡意 JavaScript 或者 iframe，將訪客 redirect 去 ClickFix 嘅頁面 。
• SEO 下毒同惡意廣告： 假安裝網站同盜版軟件網站，透過搜尋引擎結果引人點擊 。
• Ghost CMS 漏洞： 2026 年 5 月，黑客利用 Ghost CMS 嘅 SQL 注入漏洞（CVE‑2026‑26980），入侵咗 超過 700 個正當嘅教育同科技網站，再注入 ClickFix 嘅攻擊 。

點解咁勁：ClickFix 嘅威脅程度

• 微軟嘅 2025 數位防禦報告 話 ClickFix 係 最主要嘅入侵方法，喺過去一年微軟 Defender Experts 觀察到嘅攻擊中佔 47%——已經超過傳統釣魚攻擊嘅 35% 。
• ESET 嘅數據 顯示，單係 2025 年上半年，ClickFix 攻擊就 升咗 517% 。
• 有個由 Menlo Labs 記錄嘅攻擊，一個多變種 JavaScript 可以同時送 Windows PowerShell 指令、macOS .command 指令，同埋 Linux Bash 指令 。
• 美國衛生及公共服務部（HHS）喺 2026 年 7 月都出咗行業警示，確認呢種攻擊已經影響到關鍵基礎設施 。
• Recorded Future 喺 2026 年 3 月評估，ClickFix 好可能會繼續係 2026 年最主要嘅入侵方法 。

點樣防禦：研究人員嘅建議

因為 ClickFix 係利用人類行為，而唔係軟件漏洞，所以防禦主要靠技術控制同用家教育 ：

• 限制 PowerShell 執行： 唔俾非管理員嘅用戶執行 PowerShell 指令。用 Group Policy 設定執行政策做 Restricted，並且記錄所有 PowerShell 執行事件 。
• 停用 Windows 執行對話框： 修改登錄檔（NoRun 政策）可以防止用 Win+R 嚟貼上同執行指令 。
• 見到叫人貼指令嘅即刻要警覺： 冇任何正當網站或服務會叫你撳 Win+R、貼上指令、再撳 Enter。呢個應該係員工培訓嘅第一課 。
• 封鎖 mshta、cscript 同 curl 俾普通用戶執行： 用 AppLocker 或者 Windows Defender 應用程式控制嚟限制指令解釋器 。
• 部署端點偵測規則： 留意異常嘅 powershell.exe -ep bypass 父程序、從 explorer.exe 跳到指令解釋器嘅程序鏈，同 RunMRU 登錄檔嘅痕跡 。
• 用剪貼簿安全功能： 瀏覽器級嘅剪貼簿保護可以阻止 ClickFix 最核心嘅 Copy-Paste 機制。

Opera 嘅 Paste Protect 功能

Opera 瀏覽器已經加入原生嘅 Paste Protect 功能（Opera 100 以上版本，支援 Windows、macOS 同 Linux）。當一個網站想用程式寫入可疑嘅惡意載荷到剪貼簿，然後叫你貼上嘅時候，Paste Protect 會警告你並阻止呢個操作。呢個功能直接針對 ClickFix 嘅核心技術，而且唔使安裝任何擴充功能。