答案已發布17 個來源
假 Cloudflare 驗證頁，真正危險的是它要你執行的指令
烏克蘭企業網站上的假驗證頁會引導訪客把 msiexec 指令貼到 Windows「執行」，藉此安裝 Psychedelic 竊資軟體。[31][3] third party.com 出現的是另一套誘導執行 PowerShell 指令的 ClickFix 攻擊；單純造訪頁面不等於已感染。[5][31] Psychedelic 瞄準瀏覽器密碼、帳戶權杖與加密貨幣錢包資料；「受害者遍及 32 國」不能解讀為感染裝置數。[31][3]
發布者使用 GPT-6 Sol 編輯圖片由 GPT Image 2 生成
研究答案
重點整理
- 烏克蘭企業網站上的假驗證頁會引導訪客把 msiexec 指令貼到 Windows「執行」，藉此安裝 Psychedelic 竊資軟體。[31][3]
- third party.com 出現的是另一套誘導執行 PowerShell 指令的 ClickFix 攻擊；單純造訪頁面不等於已感染。[5][31]
- Psychedelic 瞄準瀏覽器密碼、帳戶權杖與加密貨幣錢包資料；「受害者遍及 32 國」不能解讀為感染裝置數。[31][3]
AI 提示詞
openai.comCreate a landscape editorial hero image for this Studio Global article: How are attackers using fake Cloudflare verification pages and ClickFix instructions to target Windows users through compromised Ukrainian b. Article summary: The campaigns exploit a simple trust mistake: a page that looks like a Cloudflare check tells a Windows user to run a command that installs malware. The compromised Ukrainian sites deliver the Psychedelic stealer; the ac. Topic tags: general, general web, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fak
網頁要求「驗證你是真人」並不稀奇；若下一步卻是叫你把指令貼進 Windows「執行」視窗或 PowerShell，就該停下來。這是 ClickFix 的核心手法：把執行惡意指令包裝成修復問題或完成驗證的必要步驟。近期兩起假冒 Cloudflare 驗證的案例，分別出現在遭入侵的烏克蘭企業網站與網域 third-party.com。誘餌相似，不代表攻擊者或惡意程式相同。15
31
5
烏克蘭網站：把安裝指令藏在「驗證」之後
Arctic Wolf Labs 指出，攻擊者在合法的烏克蘭企業網站植入內嵌頁面，顯示烏克蘭語的假 Cloudflare 驗證。訪客與頁面互動後，一段 msiexec 指令會被複製到剪貼簿，頁面接著要求訪客將它貼進 Windows「執行」視窗。使用者真的執行指令，才會啟動下載 MSI 安裝檔、投放 Psychedelic Stealer 的流程；看到頁面本身不等於已安裝惡意程式。31
3
Psychedelic 瞄準瀏覽器密碼、帳戶權杖和加密貨幣錢包資料。相關報告也指出，它可透過排程工作維持駐留，並聯繫命令與控制伺服器接收後續指令。因此，一旦懷疑有人執行了誘餌指令，調查不能只停在是否有資料外洩，也要確認惡意程式是否仍在運作。31
3
Arctic Wolf Labs 報告的受害者分布於歐洲、美洲及亞太地區的 32 個國家，儘管誘餌使用烏克蘭語。這是地理分布，不是感染裝置總數；現有資料不足以可靠估算感染量。報告還提到一個帶有俄語品牌標示的流量管理面板，但僅憑這項線索，無法判定操作者的身分、所在地或所屬組織。31
third-party.com：範例網址也可能變成真實陷阱
third-party.com 常被開發文件和程式碼範例拿來代表「某個第三方網站」。BleepingComputer 報導，該網域曾向 Windows 訪客顯示假 Cloudflare 驗證頁，試圖誘使他們執行 PowerShell 指令；其他訪客則可能看到無害的掩護頁面。這讓文件中的範例連結成為風險：讀者若真的點進去，看到的可能已不是單純的示例網站。5
4
這起事件不能併入 Psychedelic 案。third-party.com 案誘導的是 PowerShell 指令，烏克蘭網站案則以 msiexec 下載安裝檔；現有報導未證實兩者有共同操作者或相同酬載。造訪該網域，也不能據此認定訪客已執行指令。5
31
對防守端的提醒：不只要查竊資，也要查持續存取
Blackpoint Cyber 在另一條 ClickFix 攻擊鏈中，發現 RemotePanel 與 BoundSiphon 一同投放：前者提供持續的遠端存取能力，後者竊取憑證及加密貨幣相關資料。這說明 ClickFix 造成的後果可能不只是一次性的資料失竊；但 Blackpoint 的發現並未證明它與 Psychedelic 或 third-party.com 有關。19
安全團隊可優先採取以下措施：
- **讓警訊容易辨識：**任何自稱 CAPTCHA 或安全檢查、卻要求把指令貼進 Windows「執行」或 PowerShell 的頁面，都應視為警訊，而非正常驗證步驟。
15
40
- **查清是否真的執行：**追查瀏覽網頁後是否出現異常的
msiexec下載或 PowerShell 啟動，並確認使用者有沒有執行剪貼簿中的指令。5
- **依可能後果擴大調查：**若懷疑 Psychedelic 已執行，檢查瀏覽器憑證、帳戶權杖、錢包資料及駐留跡象；若涉及其他 ClickFix 酬載，也要評估持續遠端存取的可能。
3
19
- **從來源減少暴露：**檢查受影響網站是否有遭植入內容；在文件與測試中，避免使用可能指向真實第三方網站的佔位網域，改用可控的範例。
Studio Global AI
繼續深入研究
這個頁面包含附來源佐證的答案，你可以在 Studio Global 內繼續追問。
大家也會問
「假 Cloudflare 驗證頁，真正危險的是它要你執行的指令」的簡短答案是什麼？
烏克蘭企業網站上的假驗證頁會引導訪客把 msiexec 指令貼到 Windows「執行」，藉此安裝 Psychedelic 竊資軟體。[31][3]
最值得優先驗證的重點是什麼？
烏克蘭企業網站上的假驗證頁會引導訪客把 msiexec 指令貼到 Windows「執行」，藉此安裝 Psychedelic 竊資軟體。[31][3] third party.com 出現的是另一套誘導執行 PowerShell 指令的 ClickFix 攻擊；單純造訪頁面不等於已感染。[5][31]
接下來在實務上該怎麼做？
Psychedelic 瞄準瀏覽器密碼、帳戶權杖與加密貨幣錢包資料；「受害者遍及 32 國」不能解讀為感染裝置數。[31][3]
來源