這篇文章將為大家解析近期盛行的 ClickFix 攻擊手法。對於初入行的工程師來說，最重要的一點是：現代的惡意軟體不再是一個單一的執行檔，而是一個由多個模組組成的「供應鏈」。攻擊者會將進入權限、儲存載體、執行邏輯與最終目標分開，以繞過防毒軟體的偵測。
什麼是 ClickFix 攻擊？
ClickFix 是一種典型的社交工程（Social Engineering）手法。它並不依賴複雜的系統漏洞，而是利用人的心理。攻擊者會建立一個偽裝成「瀏覽器更新」、「機器人驗證」或「AI 工具安裝」的假頁面，並給出看似權威的指令，例如：請按下 Win+R 鍵，將一段指令貼上並按下 Enter。
對使用者來說，這看起來像是在進行故障排除；但對系統來說，這等同於使用者主動授權執行一段惡意指令（通常是 PowerShell），直接跳過了許多瀏覽器的安全沙箱限制。
三大惡意載體（Loader）的實務分析
近期研究發現了三組不同的攻擊鏈，分別使用了不同的 Loader（載體）。Loader 的作用就像是「搬運工」，它的目標不是破壞系統，而是悄悄地在背景下載並安裝真正的惡意軟體（如勒索軟體或資訊竊取者）。
第一組：BabaDeda Loader 這組攻擊主要針對金融與教育機構。其核心技術在於隱匿性。它使用了 DLL Side-loading（DLL 側載）技術，這是一種利用合法程式會優先載入同目錄下特定名稱 DLL 的特性，將惡意程式偽裝成合法 DLL 載入。此外，它還使用了 Storage Crypter（儲存加密器），將惡意代碼藏在看似普通的資料檔（如 .dat 檔）中，直到執行瞬間才解碼，讓傳統的靜態掃描工具難以發現。
第二組：Lorem Ipsum Loader 這組攻擊顯示了攻擊者的適應力。原本他們使用偽造的微軟簽署憑證來騙過系統，但在憑證被微軟撤銷後，他們轉而利用被駭的 WordPress 網站來分發 ClickFix 誘餌。 其執行路徑非常巧妙：它會下載一個 2017 年的舊版 Node.js 環境，利用舊版本的特性來執行 JavaScript 惡意代碼，進而部署後續的勒索軟體（如 Rhysida）。這告訴我們，舊版軟體即使在開發環境中看似無害，在攻擊鏈中也可能成為規避偵測的工具。
第三組：Potemkin Loader 這是一個更複雜的 x64 載體，使用了 DGA（Domain Generation Algorithm，域名生成演算法）。DGA 讓惡意軟體不需要將 C2（Command and Control，指令控制伺服器）的固定網址寫死在程式碼中，而是根據演算法每天生成不同的域名，讓安全人員難以透過封鎖單一 IP 或域名來阻斷通訊。
這些攻擊最終部署的工具包括 EtherRAT 與 RMMProject，後者甚至能繞過 Chromium 瀏覽器的 ABE（App-Bound Encryption，應用程式綁定加密）保護來竊取儲存的密碼。
為什麼這種攻擊如此有效？
從工程實務角度看，ClickFix 成功的關鍵在於它將「執行權限」轉移到了使用者身上。當使用者親手貼上指令時，許多端點防護軟體（EDR）可能會將其視為管理員的合法操作。
此外，攻擊者將功能模組化： 進入點：偽裝網頁（ClickFix）。 載體：Loader（負責偵測環境、繞過防毒、建立通道）。 執行體：RAT（遠端控制）或 Stealer（資訊竊取）。 最終目標：部署勒索軟體或竊取機密資料。
目前的防禦趨勢
面對這種攻擊，單靠防毒軟體是不夠的。Apple 已在 macOS Tahoe 26.4 中引入安全彈窗，警告使用者不要將網頁上的指令直接貼入終端機（Terminal）。
對於開發者與維運人員，建議採取以下方針： 第一，嚴格限制 PowerShell 或終端機的執行權限，避免一般使用者能隨意執行未簽署的指令碼。 第二，監控異常的子程序啟動，例如瀏覽器或系統設定啟動了不尋常的 PowerShell 過程。 第三，教育使用者：任何要求你「複製並貼上指令到系統終端機」以修復問題的網站，幾乎 100% 是詐騙。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。