ClickFix 攻击席卷 PC 与 M... Features
2026 年 9 月 11 日,据 Ars Technica 报道,一种名为 ClickFix 的网络攻击手段正在全球范围内呈病毒式蔓延,同时感染 Windows PC 和 macOS 设备。这种攻击利用用户对 CAPTCHA 验证的疲劳感,诱导受害者将恶意命令粘贴到终端中执行,从而植入多种恶意软件。安全研究人员指出,由于攻击成本极低且成功率惊人,几乎所有的恶意软件传播者都已采用这项技术,甚至连俄罗斯政府背景的黑客组织也加入其中。
剧集资讯ClickFix 攻击的运作机制
ClickFix 攻击的起点通常是一个被入侵的合法网站。攻击者会在这类网站上覆盖一层仿冒 Cloudflare 的虚假 CAPTCHA 弹窗。当用户点击看似正常的验证框时,页面会显示一行被故意模糊处理过的文字,并提示用户按下 Windows 键 + R,或打开 macOS 终端,将文字复制粘贴进去并回车。
剧情爆料独立安全研究员 Kevin Beaumont 在 9 月 10 日发帖称:"Reddit 上满屏都是用户因为 ClickFix 导致电脑被感染的帖子,到处都是合法网站被入侵后用来展示虚假 CAPTCHA 提示。" 资深安全编辑 Dan Goodin 在报道中指出,这种方法之所以高效,是因为它完全绕过了用户对未知链接的警惕——受害者亲手在终端中执行了恶意命令。
片场花絮为什么越来越多的人中招
许多资深网民倾向于将 ClickFix 的受害者归咎为"愚蠢"或"缺乏常识"。但 Ars Technica 分析认为,问题的根源在于现代互联网使用体验变得异常复杂:层出不穷的弹窗、永无止境的图片验证码、频繁改版的界面,让普通用户对这些荒谬但看似常规的操作要求逐渐麻木。
对于没有受过安全培训的普通用户而言,他们并不知道 Windows R 是运行对话框,也不理解"终端"意味着什么。他们只知道网站要求他们执行一个操作,而这个操作和他们过去十年间被反复要求做的事看起来并无区别。这种对复杂界面的脱敏反应,恰好被 ClickFix 攻击者精准利用。
攻击链升级:恶意软件传播方式剧变
在 ClickFix 出现之前,恶意软件传播者需要依赖大量高成本的基础设施:被搜索引擎优化的下载站、恶意广告、微软可信签名证书,以及持续轮换的域名来投递 MSI 安装包。安全公司 BlueVoyant 指出,恶意软件 Lorem Ipsum 的传播团队在 2026 年 5 月底全面转向 ClickFix 模式。
BlueVoyant 在分析报告中表示:"转向 ClickFix 后,代码签名要求被完全消除。攻击者不再需要伪造合法签名,而是用另一种合法性取而代之——用户自愿在自己的终端中执行恶意命令。这种模式将受害范围从特定搜索 Microsoft Teams 的用户,扩展到任何访问被入侵网站的普通网民。"
macOS 同样难以幸免
Mac 用户并非绝对安全。Mac 安全公司 Jamf 和独立研究员 Bugra Sahinoglu 分别记录了可绕过 Gatekeeper 防护的 macOS 版 ClickFix 变种。这些变种利用 macOS 用户对"终端"操作的陌生感,诱骗他们粘贴执行恶意脚本,无需任何系统漏洞即可完成入侵。
| 对比维度 | 传统恶意软件传播 | ClickFix 攻击模式 |
|---|
| --- | --- | --- |
|---|
| 基础成本 | 需要域名证书、签名证书、广告投放 | 仅需一个被入侵的网站 |
|---|
| 受害者范围 | 定向搜索软件的用户 | 任意访问网页的普通网民 |
|---|
| 用户心理防线 | 需要绕过下载警告 | 用户主动执行命令 |
|---|
| 防护对抗 | 需要绕过杀毒软件 | 利用系统自带命令行工具 |
|---|
| 典型代表 | Lorem Ipsum(5 月前) | Lorem Ipsum(5 月底后)、MacStealer |
|---|
ClickFix 已演变为全球性威胁
根据 Cisco Talos 的追踪报告,ClickFix 攻击者持续利用公共服务作为跳板,包括公开的 Google Sheets 文档。俄罗斯政府背景的 Sandworm 组织则尝试将控制基础设施部署在区块链智能合约中,这一做法也被 Netskope 发现的另一项攻击活动所采用。
Netskope 统计显示,该区块链托管攻击活动中至少有 5,400 个网站作为信标回连到攻击者的智能合约基础设施。微软安全团队在 2026 年 8 月 28 日披露了名为 TerminalFix 的多阶段入侵活动,该活动通过反向隧道技术进一步绕过传统终端监控。AP 与路透社的消息源均确认,ClickFix 已经成为多个国家级黑客组织的标准攻击手段。
防御手段与局限
目前已经有一些针对 ClickFix 的防御工具。独立安全研究员 Patrick Wardle 开发的 BlockBlock 可以监控 macOS 上尝试持久化安装的进程,当用户按下 Command+V 粘贴恶意命令时即可触发拦截。uBlock Origin 也进行了类似更新,可拦截部分伪装的 CAPTCHA 弹窗。
但这些工具保护范围有限。ClickFix 的攻击面覆盖 Windows、macOS 和浏览器,且攻击者不断寻找新的绕过方式。微软在 8 月的报告中指出,攻击者已经找到了多种规避新防御的方法,包括利用系统自带的隧道工具进行反向连接。
认识与防范:减少对受害者的苛责
Ars Technica 特别强调,对 ClickFix 受害者的指责和嘲笑无助于解决问题。普通用户面对的是经过精心设计的骗局,其伪装程度远超日常警惕所能覆盖的范围。与其嘲笑受害者,不如帮助身边的家人和朋友识别这类攻击模式。
报道建议,具备安全知识的用户应主动向亲友讲解:验证码永远不会要求你打开终端或运行对话框。任何要求复制粘贴代码到命令行的"验证"行为都极可能是恶意攻击。对于企业用户,IT 部门应部署端点检测与响应系统,并限制 PowerShell 和终端的无理由使用。
Q1: ClickFix 攻击为什么能够绕过传统杀毒软件?
A1: 因为 ClickFix 诱导用户自己将恶意命令粘贴到系统自带的终端或运行对话框中执行,整个过程中没有文件被下载,也没有代码签名需要验证。杀毒软件通常监控文件和网络流量,而对用户直接在终端输入的命令难以做到实时拦截。
Q2: 普通用户如何快速识别 ClickFix 攻击?
A2: 记住一条原则:任何合法网站的 CAPTCHA 验证都不会要求你打开终端、按 Win+R 或粘贴内容到运行框。如果页面要求复制文字到命令行,第一时间关闭浏览器标签页,并运行杀毒扫描。
ClickFix 的迅速普及深刻反映了当前网络安全领域的现实:攻击者正在从系统漏洞转向利用人的认知疲劳。只要终端仍然存在于操作系统中,只要互联网的验证流程依然繁琐,ClickFix 这类攻击就有生存土壤。维护安全不仅是技术问题,更是对人性弱点的持续博弈。
