metadataJson
articleBody 背景
根據資安新聞網站 The Hacker News 在2026年9月24日的報導，資安公司 Arctic Wolf Labs 揭露了一場利用 ClickFix 手法的大規模攻擊活動。攻擊者先行入侵多個合法的烏克蘭商業網站，再於這些網站中植入惡意 iframe，藉此顯示偽造的 Cloudflare 驗證頁面，引誘造訪者下載一款先前未被紀錄的資訊竊取惡意軟體 Psychedelic。受影響的網站涵蓋毛髮治療診所、模型製造商、專業書籍出版社、心理治療機構、工具零售商與汽車零售商，顯示攻擊者並未鎖定特定產業，而是廣泛入侵後隨機利用。
ClickFix 是近年常見的社交工程攻擊手法，核心概念是讓使用者在不知情的狀況下，自行把攻擊者提供的命令貼到 Windows 的執行對話框中。攻擊者先在受害網站中注入 iframe，載入來自 fsputnik[.]com 的攻擊者控制 JavaScript。當訪客瀏覽該頁面時，網頁會模仿 Cloudflare 的驗證畫面，並以烏克蘭語顯示操作指示。這個畫面會先將一段 Windows Installer 命令複製到使用者的剪貼簿，再要求使用者按下 Win+R 開啟執行對話框並貼上命令。整個流程包含約三秒的載入動畫，之後才顯示指示對話框，且 Done 按鈕會停用約三十五秒。Arctic Wolf 指出，這段延遲只是為了控制使用者在介面上的操作節奏，並不會驗證使用者是否真的開啟了執行對話框、貼上命令或安裝了惡意程式。
攻擊流程
使用者貼上並執行命令後，系統會透過 msiexec.exe 從 uasputnik[.]com 下載一個名為 elita.msi 的 MSI 安裝檔。這個網域註冊於2026年9月9日，研究人員也發現其他多個 MSI 檔案名稱，包括 miks.msi、astra.msi、harbor.msi、neon.msi、sova.msi 和 vyse.msi。MSI 安裝檔接著會從 107.175.82[.]242:9000 下載下一階段的酬載 psychedeliclove.exe，這是一個 64 位元的 Windows 可執行檔，也就是 Psychedelic Stealer。
Psychedelic Stealer 的主要功能是竊取受害者的敏感資料。它會從 Chromium 核心的瀏覽器中收集帳號密碼，涵蓋 Google Chrome、Microsoft Edge、Brave、Opera、Opera GX、Vivaldi 與 Yandex，並透過 /api/v1/ext/passwords 路徑回傳。它也會收集與瀏覽器帳號相關的存取權杖，以及掃描已知的加密貨幣錢包擴充功能與桌面應用程式，包括 MetaMask、Trust Wallet、OKX Wallet、SafePal、Exodus、Atomic Wallet、Electrum、Bitcoin Core 與 Litecoin Core。此外，它會蒐集受害主機的詳細資訊，並有能力終止特定瀏覽器程序、將內嵌的擴充功能封包解壓縮到瀏覽器設定檔中，並建立原生訊息橋接機制。這代表攻擊者可以在受害者的瀏覽器內部署惡意擴充功能，並讓這些擴充功能與本機元件溝通，使攻擊不只是一次性的資料收集，而是具備持續運作的能力。惡意軟體還會定期執行與擴充功能相關的常駐作業，並向 C2 伺服器輪詢新任務，顯示瀏覽器元件的處理已經整合進植入物的持續執行迴圈中。
基礎設施與攻擊對象
Arctic Wolf 進一步發現，這場攻擊活動使用了一個暴露在外的 lure 管理面板，名為 Rublevka TDS，位於 uasputnik[.]com 網域上。這個面板與植入物的 C2 伺服器（193.178.159[.]128:8080）是分開的，主要用於設定網頁 lure 的命令並記錄使用者互動。面板的儀表板每兩秒輪詢一次訪客紀錄，提供近乎即時的介面操作進度。在分析期間，面板記錄了來自32個國家的557次瀏覽、426次點擊與79次完整事件，其中烏克蘭佔了446次瀏覽、351次點擊與71次完整事件，其他目標包括美國、波蘭、德國、加拿大與荷蘭。面板與 lure 介面都使用俄語與烏克蘭語，研究人員評估攻擊者可能來自俄語地區，且攻擊重點明顯集中在烏克蘭使用者身上。
另一條 ClickFix 攻擊鏈
與此同時，Blackpoint Cyber 也揭露了另一組透過 ClickFix 鏈散播的 .NET 惡意軟體元件，分別是 RemotePanel 與 BoundSiphon。RemotePanel 是一個具備持續性的遠端存取平台，會偽裝成 Windows Time 服務來建立持久化，並提供操作者 PowerShell 執行、檔案與程序管理、螢幕存取、模組化隱藏虛擬網路運算（HVNC）與設備群組管理等功能。BoundSiphon 則是一個主要從記憶體執行的憑證與加密貨幣竊取器，目標涵蓋 Chromium 與 Firefox 瀏覽器的憑證、連線階段、加密貨幣錢包、密碼管理員資料，以及受 Chromium App-Bound Encryption 保護的秘密。RemotePanel 使用 BNB Smart Chain 合約來解析 C2 伺服器位址，讓攻擊者可以在不重新部署惡意軟體的情況下輪換基礎設施。這條攻擊鏈同樣以 ClickFix 命令開頭，透過 PowerShell 啟動多階段流程，其中一個中間元件會濫用 CMSTPLUA COM 物件繞過 Windows 的使用者帳戶控制（UAC）機制，在沒有提示使用者的情況下取得管理員權限，並設定廣泛的 Microsoft Defender 排除規則。Blackpoint 表示，這兩個元件反映了一種更廣泛的趨勢：模組化的惡意軟體生態系統將持續性存取與資料竊取分離，讓操作者可以替換基礎設施與個別元件，同時保留繼續執行攻擊所需的核心能力。這波攻擊尚未歸因於任何已知的威脅組織，但研究人員找到的跡象顯示開發環境可能使用俄語，例如原始碼中包含了避免在俄語鍵盤配置的系統上執行的檢查。
影響與防禦意義
這兩起攻擊事件說明了 ClickFix 手法的演進與威脅範圍的擴大。攻擊者不再只是寄送釣魚郵件，而是直接入侵可信賴的合法網站，利用使用者對 Cloudflare 驗證流程的熟悉感來降低戒心。對企業與一般使用者而言，最重要的是理解：任何要求你開啟執行對話框並貼上命令的網頁驗證流程都是可疑的。正規的 Cloudflare 驗證不會要求使用者複製命令或執行 Windows Installer。此外，這類攻擊也凸顯了網站供應鏈安全的重要性，合法網站被植入惡意 iframe 後，原本信賴該網站的使用者就會成為攻擊目標。資安團隊應定期檢查網站前端程式碼是否有異常的第三方腳本或 iframe，並留意網域是否出現非預期的 DNS 紀錄或子網域。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。