ClickFix 攻擊成爲 2025–2026 年最主流入侵管道

ClickFix 並非 Windows 漏洞，也不是特定應用程式的瑕疵——它是一種完全仰賴使用者自行操作的社交工程技巧，卻已成為駭客取得初始入侵權限的首要方法 。截至 2025–2026 年，網路犯罪集團甚至國家級駭客都已大量採用此手法，利用偽造的 Google reCAPTCHA 與 Cloudflare 驗證頁面，誘騙受害者在自己的電腦上執行惡意指令 。

ClickFix 四步騙局流程

根據多份安全報告，此攻擊手法幾乎一致 ：

1. 釣餌： 使用者造訪遭駭或惡意網站後，看到偽造的驗證視窗——假冒的 Google reCAPTCHA、Cloudflare「請驗證您是真人」頁面、虛假的瀏覽器更新訊息，或偽裝成 QuickBooks、Booking.com 的錯誤畫面 。
2. 複製貼上指示： 頁面顯示類似「按下 Win+R，再按 Ctrl+V，最後按 Enter 以完成驗證」的操作步驟 。
3. 藏匿的酬載： 其實複製到使用者剪貼簿的是一段惡意的 PowerShell、mshta 或 curl 指令，會從遠端伺服器下載並執行惡意軟體載入器 。

此手法也稱為 pastejacking（剪貼簿挾持），因為攻擊者利用剪貼簿作為感染媒介 。

ClickFix 常見酬載

駭客透過 ClickFix 釣餌傳遞多種惡意軟體，且常在多階段感染鏈中出現：

• HijackLoader： 第一階段載入器，至少從 2025 年 6 月起就在 ClickFix 攻擊鏈中現身，後續常接續 DeerStealer 資訊竊取器 。
• CastleLoader（又名 CastleBot）： 2025 年初活躍的「惡意軟體即服務」框架。某波攻擊使用假的去背網站傳遞 CastleLoader，再植入 NetSupport RAT 與自製 .NET 竊取器，鎖定瀏覽器憑證、加密貨幣錢包與 Telegram 工作階段 。
• NetSupport RAT： 正規遠端管理工具被重製為持續後門 。

散播管道

駭客使用多種基礎架構來承載與散播 ClickFix 攻擊：

• Cloudflare R2 儲存空間： 用於託管惡意酬載二進位檔 。
• Cloudflare Pages 子網域： 濫用以提供假冒的 CAPTCHA 頁面，同時帶有 Cloudflare 本身的可信憑證 。
• Dedik Services Limited 主機： 觀察到作為 ClickFix 命令與控制（C2）架構的主機商 。
• 過期網域： 註冊或重新註冊的過期網域，用於憑證竊取與酬載傳遞 。
• 遭駭網站： 最常見的初始媒介。攻擊者透過外掛漏洞或 CMS 弱點，將惡意 JavaScript 或 iframe 植入正規網站，將訪客導向 ClickFix 登陸頁面 。

威脅規模：為何 ClickFix 稱霸

• 微軟 2025 數位防禦報告 將 ClickFix 列為 第一大初始入侵手法，在微軟 Defender Experts 觀察到的攻擊中佔 47%，超越傳統釣魚郵件（35%）。
• ESET 遙測 記錄 2025 年上半年 暴增 517% 。
• Menlo Labs 記錄的某波攻擊中，單一多型 JavaScript 釣餌即可同時散播 跨平台酬載：Windows PowerShell 指令、macOS .command 腳本、Linux Bash 腳本 。

防禦建議

由於 ClickFix 利用的是人類行為而非軟體漏洞，防禦重點在於技術控制與使用者意識 ：

• 限制 PowerShell 執行： 封鎖非管理員使用者執行 PowerShell 腳本。透過群組原則設定執行政策為 Restricted，並記錄所有 PowerShell 執行事件 。
• 停用 Windows Run 對話框： 透過登錄修改（NoRun 原則）可防止使用 Win+R 貼上並執行指令 。
• 將「非預期的命令提示操作」視為紅旗： 沒有任何正規網站或服務會要求使用者按下 Win+R、貼上指令並按下 Enter。這應是最高優先順序的使用者意識教材 。

Opera 的 Paste Protect 功能

Opera 瀏覽器推出原生 Paste Protect 功能（Opera 100+ 版本，支援 Windows、macOS、Linux），可攔截並封鎖基於剪貼簿的 pastejacking 攻擊。當網站嘗試以程式方式將可疑酬載寫入剪貼簿，再引導使用者貼上時，Paste Protect 會發出警告並阻止操作完成，直接消解 ClickFix 的核心手法，且無需安裝任何擴充套件。