Okendo 評論掛件供應鏈攻擊：SmartApeSG 如何利用 ClickFix 技術感染逾 18,000 個電商網站

被注入的程式碼扮演著分階段載入器的角色，具備多層次的規避與鎖定功能 。它不會立即投放惡意軟體，而是先執行環境檢查以躲避偵測，並確保受害者是合適的目標：

• localStorage 追蹤：首次造訪時，腳本會在使用者瀏覽器的 localStorage 中設定一個時間戳記標記。這能防止對同一使用者重複執行，減少雜訊並降低在例行測試中觸發安全警報的機率 。
• User-Agent 過濾（排除行動裝置）：腳本檢查訪客的 User-Agent 字串，忽略行動瀏覽器，僅鎖定桌面環境。由於後續感染階段依賴 Windows 特有的互動，因此完全繞過行動裝置上的受害者 。
• XOR 混淆：載入器在執行期間，透過解碼 XOR 混淆的字串片段，動態重建其下一階段的命令與控制 (C2) URL，以此繞過基本的特徵碼偵測 。
• 動態腳本注入：重建隱藏的 C2 URL 後，程式碼會在頁面中注入一個新的 <script> 元素，以擷取後續的有效酬載 。
• 虛假 CAPTCHA / ClickFix 社交工程：通過所有檢查的受害者會看到一個模仿 ClickFix 風格的虛假「驗證身分」頁面。該提示會引導使用者開啟 Windows 的 執行 對話框，並貼上一個已悄悄複製到剪貼簿的指令 。

ClickFix 社交工程誘餌

ClickFix 是一項社交工程技術：惡意腳本將一個指令複製到使用者的剪貼簿，然後顯示指示，要求使用者將其貼上並執行——通常是按下 Win + R 鍵，貼上後按下 Enter。該指令被偽裝成一個驗證步驟。在此次攻擊中，ClickFix 誘餌被嵌入到被入侵掛件所產生的一個虛假 CAPTCHA 頁面中 。如果使用者遵循指示，所貼上的指令會觸發一個 PowerShell 腳本 或一個 HTML 應用程式 (HTA) 檔案，進而下載並安裝惡意軟體 。

酬載投放：遠端存取木馬與資訊竊取器

一旦使用者執行 ClickFix 誘餌，感染鏈便會投放以下一種或多種酬載 ：

• NetSupport RAT：一種遠端存取木馬，能賦予攻擊者對受感染機器的持續遠端控制權。
• Remcos RAT：一種具備鍵盤側錄、監控及憑證竊取能力的遠端存取木馬。
• StealC：一種針對密碼與金融憑證的資訊竊取器。
• Sectop RAT：一種用於間諜活動的遠端存取木馬。
• DeerStealer：一種資訊竊取器，曾在更早的 SmartApeSG ClickFix 變種中被觀察到 。

入侵規模

• 超過 18,000 個電商品牌 使用了遭入侵的 Okendo 掛件，暴露了極大的下游攻擊面 。
• 受影響的網站範圍從中型線上商店到大型美國零售品牌，每個網站的流量估計在 15 萬到數百萬月訪客 之間。其中一個受影響的美國零售品牌，單月訪客量就約達 700 萬 。
• 光是在 2026 年 5 月 14 日當天，Zscaler 雲端平台就記錄了 近 15,000 次 與 SmartApeSG 活動相關的封鎖事件——這是該威脅行為者有史以來的最高單日封鎖量 。

SmartApeSG 過往的惡意軟體歷史

SmartApeSG 並非新出現的行為者。該組織自 2024 年中起即有使用 ClickFix 風格活動的紀錄，在先前的多次行動中投放了 NetSupport RAT、Remcos RAT、StealC 以及 Sectop RAT 。早期的活動利用被入侵的網站，透過虛假的 CAPTCHA 頁面，誘騙使用者透過 Windows「執行」對話框貼上並執行惡意指令 。該組織也曾在更早的 ClickFix 變種中部署 DeerStealer 資訊竊取器 。此次針對 Okendo 的攻擊代表了手法升級：SmartApeSG 不再是感染個別的網站，而是入侵一個廣泛使用的第三方掛件，一次影響數千個網站——這是一起典型的供應鏈放大攻擊案例 。

已採取的補救措施

• Zscaler ThreatLabz 於 2026 年 5 月 14 日直接向 Okendo 通報此事件 。
• Okendo 確認已獲悉 此事件，並 將受影響的掛件腳本恢復為乾淨狀態，有效地將惡意程式碼從流通中移除 。
• Zscaler 以威脅名稱 JS.Injection.SmartApeSG 部署了偵測特徵碼，以追蹤並封鎖此注入活動 。
• 研究人員發布的 入侵指標 (IoC) 包括受感染的掛件 URL (

  hxxp://cdn-static[.]okendo[.]io/reviews-widget-plus/js/okendo-reviews[.]js

  ) 以及 SmartApeSG 的 C2 基礎設施域名，例如 api[.]wigetticks[.]com 和 api[.]wizzleticks[.]com 。