ClickFix 四步騙局流程

根據多份安全報告，此攻擊手法幾乎一致 ：

1. 釣餌： 使用者造訪遭駭或惡意網站後，看到偽造的驗證視窗——假冒的 Google reCAPTCHA、Cloudflare「請驗證您是真人」頁面、虛假的瀏覽器更新訊息，或偽裝成 QuickBooks、Booking.com 的錯誤畫面 。
2. 複製貼上指示： 頁面顯示類似「按下 Win+R，再按 Ctrl+V，最後按 Enter 以完成驗證」的操作步驟 。
3. 藏匿的酬載： 其實複製到使用者剪貼簿的是一段惡意的 PowerShell、mshta 或 curl 指令，會從遠端伺服器下載並執行惡意軟體載入器 。
4. 執行： 該指令以使用者本身權限執行。由於是使用者自己貼上並執行的，端點偵測工具往往無法判定為入侵 。

此手法也稱為 pastejacking（剪貼簿挾持），因為攻擊者利用剪貼簿作為感染媒介 。

ClickFix 常見酬載

駭客透過 ClickFix 釣餌傳遞多種惡意軟體，且常在多階段感染鏈中出現：

• HijackLoader： 第一階段載入器，至少從 2025 年 6 月起就在 ClickFix 攻擊鏈中現身，後續常接續 DeerStealer 資訊竊取器 。
• CastleLoader（又名 CastleBot）： 2025 年初活躍的「惡意軟體即服務」框架。某波攻擊使用假的去背網站傳遞 CastleLoader，再植入 NetSupport RAT 與自製 .NET 竊取器，鎖定瀏覽器憑證、加密貨幣錢包與 Telegram 工作階段 。
• NetSupport RAT： 正規遠端管理工具被重製為持續後門 。
• StealC： 針對瀏覽器憑證與加密貨幣錢包的資訊竊取木馬 。
• Amatera： 透過偽 CAPTCHA 搭配微軟簽章 App-V 腳本散播的資訊竊取器 。
• Rust 語言竊取器： 2025 年底在多型 ClickFix 攻擊中現蹤 。
• DeerStealer： 作為 HijackLoader 之後的最終可執行檔酬載 。
• ResiLoader： 新發現的載入器，專為終止受害者電腦上 超過 140 種防毒與安全工具程序 而設計，可在最終酬載執行前全面癱瘓防禦 。

散播管道

駭客使用多種基礎架構來承載與散播 ClickFix 攻擊：

• Cloudflare R2 儲存空間： 用於託管惡意酬載二進位檔 。
• Cloudflare Pages 子網域： 濫用以提供假冒的 CAPTCHA 頁面，同時帶有 Cloudflare 本身的可信憑證 。
• Dedik Services Limited 主機： 觀察到作為 ClickFix 命令與控制（C2）架構的主機商 。
• 過期網域： 註冊或重新註冊的過期網域，用於憑證竊取與酬載傳遞 。
• 遭駭網站： 最常見的初始媒介。攻擊者透過外掛漏洞或 CMS 弱點，將惡意 JavaScript 或 iframe 植入正規網站，將訪客導向 ClickFix 登陸頁面 。
• SEO 毒化與惡意廣告： 透過搜尋引擎結果推廣假的安裝程式網站與盜版軟體入口 。
• Ghost CMS 漏洞利用： 2026 年 5 月，攻擊者利用 Ghost CMS 重大 SQL 注入漏洞（CVE‑2026‑26980）挾持 超過 700 個正規教育與科技網站，植入 ClickFix 提示 。

威脅規模：為何 ClickFix 稱霸

• 微軟 2025 數位防禦報告 將 ClickFix 列為 第一大初始入侵手法，在微軟 Defender Experts 觀察到的攻擊中佔 47%，超越傳統釣魚郵件（35%）。
• ESET 遙測 記錄 2025 年上半年 暴增 517% 。
• Menlo Labs 記錄的某波攻擊中，單一多型 JavaScript 釣餌即可同時散播 跨平台酬載：Windows PowerShell 指令、macOS .command 腳本、Linux Bash 腳本 。
• 美國衛生及公共服務部（HHS）已於 2026 年 7 月發布 ClickFix 行業警報，確認此手法已滲入關鍵基礎設施 。
• Recorded Future 的 Insikt Group 在 2026 年 3 月評估，ClickFix 極有可能在 2026 年全年維持主導地位 。

防禦建議

由於 ClickFix 利用的是人類行為而非軟體漏洞，防禦重點在於技術控制與使用者意識 ：

• 限制 PowerShell 執行： 封鎖非管理員使用者執行 PowerShell 腳本。透過群組原則設定執行政策為 Restricted，並記錄所有 PowerShell 執行事件 。
• 停用 Windows Run 對話框： 透過登錄修改（NoRun 原則）可防止使用 Win+R 貼上並執行指令 。
• 將「非預期的命令提示操作」視為紅旗： 沒有任何正規網站或服務會要求使用者按下 Win+R、貼上指令並按下 Enter。這應是最高優先順序的使用者意識教材 。
• 封鎖 mshta、cscript、curl 在使用者環境中執行： 使用 AppLocker 或 Windows Defender 應用程式控制來限制腳本直譯器 。
• 部署端點偵測規則： 監控異常的 powershell.exe -ep bypass 父程序、從 explorer.exe 到腳本直譯器的程序衍生鏈，以及 RunMRU 登錄機碼 。
• 啟用剪貼簿安全功能： 瀏覽器層級的剪貼簿保護可預防 ClickFix 仰賴的核心複製貼上機制。

Opera 的 Paste Protect 功能

Opera 瀏覽器推出原生 Paste Protect 功能（Opera 100+ 版本，支援 Windows、macOS、Linux），可攔截並封鎖基於剪貼簿的 pastejacking 攻擊。當網站嘗試以程式方式將可疑酬載寫入剪貼簿，再引導使用者貼上時，Paste Protect 會發出警告並阻止操作完成，直接消解 ClickFix 的核心手法，且無需安裝任何擴充套件。

ClickFix 四步騙局流程

根據多份安全報告，此攻擊手法幾乎一致 ：

1. 釣餌： 使用者造訪遭駭或惡意網站後，看到偽造的驗證視窗——假冒的 Google reCAPTCHA、Cloudflare「請驗證您是真人」頁面、虛假的瀏覽器更新訊息，或偽裝成 QuickBooks、Booking.com 的錯誤畫面 。
2. 複製貼上指示： 頁面顯示類似「按下 Win+R，再按 Ctrl+V，最後按 Enter 以完成驗證」的操作步驟 。
3. 藏匿的酬載： 其實複製到使用者剪貼簿的是一段惡意的 PowerShell、mshta 或 curl 指令，會從遠端伺服器下載並執行惡意軟體載入器 。
4. 執行： 該指令以使用者本身權限執行。由於是使用者自己貼上並執行的，端點偵測工具往往無法判定為入侵 。

此手法也稱為 pastejacking（剪貼簿挾持），因為攻擊者利用剪貼簿作為感染媒介 。

ClickFix 常見酬載

駭客透過 ClickFix 釣餌傳遞多種惡意軟體，且常在多階段感染鏈中出現：

• HijackLoader： 第一階段載入器，至少從 2025 年 6 月起就在 ClickFix 攻擊鏈中現身，後續常接續 DeerStealer 資訊竊取器 。
• CastleLoader（又名 CastleBot）： 2025 年初活躍的「惡意軟體即服務」框架。某波攻擊使用假的去背網站傳遞 CastleLoader，再植入 NetSupport RAT 與自製 .NET 竊取器，鎖定瀏覽器憑證、加密貨幣錢包與 Telegram 工作階段 。
• NetSupport RAT： 正規遠端管理工具被重製為持續後門 。
• StealC： 針對瀏覽器憑證與加密貨幣錢包的資訊竊取木馬 。
• Amatera： 透過偽 CAPTCHA 搭配微軟簽章 App-V 腳本散播的資訊竊取器 。
• Rust 語言竊取器： 2025 年底在多型 ClickFix 攻擊中現蹤 。
• DeerStealer： 作為 HijackLoader 之後的最終可執行檔酬載 。
• ResiLoader： 新發現的載入器，專為終止受害者電腦上 超過 140 種防毒與安全工具程序 而設計，可在最終酬載執行前全面癱瘓防禦 。

散播管道

駭客使用多種基礎架構來承載與散播 ClickFix 攻擊：

• Cloudflare R2 儲存空間： 用於託管惡意酬載二進位檔 。
• Cloudflare Pages 子網域： 濫用以提供假冒的 CAPTCHA 頁面，同時帶有 Cloudflare 本身的可信憑證 。
• Dedik Services Limited 主機： 觀察到作為 ClickFix 命令與控制（C2）架構的主機商 。
• 過期網域： 註冊或重新註冊的過期網域，用於憑證竊取與酬載傳遞 。
• 遭駭網站： 最常見的初始媒介。攻擊者透過外掛漏洞或 CMS 弱點，將惡意 JavaScript 或 iframe 植入正規網站，將訪客導向 ClickFix 登陸頁面 。
• SEO 毒化與惡意廣告： 透過搜尋引擎結果推廣假的安裝程式網站與盜版軟體入口 。
• Ghost CMS 漏洞利用： 2026 年 5 月，攻擊者利用 Ghost CMS 重大 SQL 注入漏洞（CVE‑2026‑26980）挾持 超過 700 個正規教育與科技網站，植入 ClickFix 提示 。

威脅規模：為何 ClickFix 稱霸

• 微軟 2025 數位防禦報告 將 ClickFix 列為 第一大初始入侵手法，在微軟 Defender Experts 觀察到的攻擊中佔 47%，超越傳統釣魚郵件（35%）。
• ESET 遙測 記錄 2025 年上半年 暴增 517% 。
• Menlo Labs 記錄的某波攻擊中，單一多型 JavaScript 釣餌即可同時散播 跨平台酬載：Windows PowerShell 指令、macOS .command 腳本、Linux Bash 腳本 。
• 美國衛生及公共服務部（HHS）已於 2026 年 7 月發布 ClickFix 行業警報，確認此手法已滲入關鍵基礎設施 。
• Recorded Future 的 Insikt Group 在 2026 年 3 月評估，ClickFix 極有可能在 2026 年全年維持主導地位 。

防禦建議

由於 ClickFix 利用的是人類行為而非軟體漏洞，防禦重點在於技術控制與使用者意識 ：

• 限制 PowerShell 執行： 封鎖非管理員使用者執行 PowerShell 腳本。透過群組原則設定執行政策為 Restricted，並記錄所有 PowerShell 執行事件 。
• 停用 Windows Run 對話框： 透過登錄修改（NoRun 原則）可防止使用 Win+R 貼上並執行指令 。
• 將「非預期的命令提示操作」視為紅旗： 沒有任何正規網站或服務會要求使用者按下 Win+R、貼上指令並按下 Enter。這應是最高優先順序的使用者意識教材 。
• 封鎖 mshta、cscript、curl 在使用者環境中執行： 使用 AppLocker 或 Windows Defender 應用程式控制來限制腳本直譯器 。
• 部署端點偵測規則： 監控異常的 powershell.exe -ep bypass 父程序、從 explorer.exe 到腳本直譯器的程序衍生鏈，以及 RunMRU 登錄機碼 。
• 啟用剪貼簿安全功能： 瀏覽器層級的剪貼簿保護可預防 ClickFix 仰賴的核心複製貼上機制。

Opera 的 Paste Protect 功能

Opera 瀏覽器推出原生 Paste Protect 功能（Opera 100+ 版本，支援 Windows、macOS、Linux），可攔截並封鎖基於剪貼簿的 pastejacking 攻擊。當網站嘗試以程式方式將可疑酬載寫入剪貼簿，再引導使用者貼上時，Paste Protect 會發出警告並阻止操作完成，直接消解 ClickFix 的核心手法，且無需安裝任何擴充套件。