文章总结： 本文分析了ClickFix社会工程学攻击技术，该技术通过伪造验证码或系统提示诱导用户手动执行恶意命令，取代传统钓鱼邮件成为主流渗透手段。文章详细描述了攻击链、macOS变体CrashReportImpersonator及医疗行业成为重灾区的原因，并提供了从系统层面切断攻击链的防御建议，如启用PowerShell受限语言模式、禁用mshta等。 综合评分： 87 文章分类： 社会工程学,恶意软件,红队,渗透测试,实战经验

一句假验证码，一条真命令：ClickFix 如何取代钓鱼邮件成为今年最暴利的渗透手段

原创

威胁情报中心 威胁情报中心

奇安信威胁情报中心

2026年7月15日 11:55 四川

在小说阅读器读本章

去阅读

一份来自独立研究者的现场观察

过去一年追踪了上百个初始访问（Initial Access）事件后，发现一个让人不安的趋势：传统的钓鱼邮件附件不再是攻击者最爱的敲门砖。取而代之的，是一种几乎不需要任何技术门槛、却能在用户眼皮底下”自愿”执行恶意代码的手法——ClickFix。KnowBe4 最新发布的威胁报告将其列为当前头号恶意软件分发方式，这不是危言耸听，而是数据统计的必然结果。

本文从独立安全研究角度，还原 ClickFix 的完整攻击链，剖析其如何与 macOS 端的 Crash Report Impersonator 配合使用，并讨论医疗行业为何成为重灾区。

攻击者的新剧本：让用户自己按下”自毁键”

ClickFix 的核心思路极其简洁——不投递恶意文件、不利用零日漏洞，而是伪造一个看似无害的系统提示，诱导用户亲手把恶意载荷拉进自己的机器。

整个过程通常这样展开：

攻击者首先攻陷一个合法网站（或者购买流量），在其上植入一段脚本。当用户访问该页面时，浏览器会弹出一个全屏的”验证”提示框，内容大致是”请确认您不是机器人”或”您的浏览器版本需要更新”。这个提示看起来像 Cloudflare、hCaptcha 或者系统自带的验证组件，普通用户很难分辨真伪。

诱导的”魔法”出现在下一步。提示框会要求用户：

1. 按下 Win + R（Windows）或 Command + Space（macOS），打开系统运行对话框；
2. 粘贴一段看起来像”系统修复命令”的字符串——实际上是一行 PowerShell、mshta、curl 或者 osascript 命令；
3. 按下回车执行。

完成这三步的用户，实际上亲手从攻击者控制的服务器下载并执行了恶意载荷。整个过程绕过了所有邮件网关、终端防护软件的启发式扫描，因为执行命令的是被攻陷主机上的合法解释器（PowerShell/Bash），而非直接落地的可执行文件。

对攻击者来说，这种手法的投资回报率极高：一个钓鱼邮件的转化率通常不到 1%，而 ClickFix 引导用户完成”自助式”安装的转化率可达 5%-15%，部分案例甚至更高。

macOS 端的变体：Crash Report Impersonator

ClickFix 并非 Windows 独有。Help Net Security 近期披露了一款针对 macOS 用户的恶意软件——macOS Crash Report Impersonator（Apple 崩溃报告仿冒者），其分发逻辑与 ClickFix 如出一辙。

这款恶意软件伪装成 Apple 官方的”崩溃报告”工具。在正常情况下，当某个应用意外崩溃时，macOS 会弹出 Crash Reporter 窗口，提示用户将崩溃日志发送给 Apple。攻击者复刻了这个界面，在其中嵌入一段 AppleScript 或 shell 命令，诱导用户授权执行。

一旦用户点击”发送报告”或”查看详情”，恶意代码便会触发，最终目的是从 Keychain 中窃取保存的用户密码——包括 iCloud 登录凭证、浏览器保存的网站密码以及加密钱包密钥。

这一变体的危险之处在于：macOS 用户长期被认为受社工攻击影响较小，警惕性普遍低于 Windows 用户群体。攻击者正是利用了这种认知偏差。

为什么医疗行业首当其冲

Cybersecurity Dive 近期的一篇报道指出，医疗行业在供应链安全和身份管理方面面临持续性挑战。ClickFix 的崛起进一步放大了这些痛点，原因有三：

第一，临床终端使用环境特殊。 医院工作站通常锁定了 USB 接口、禁止安装未签名软件，但 PowerShell 和命令提示符很少被禁用（因为 EMR 系统维护需要）。ClickFix 利用的恰恰是这些”被遗忘的合法通道”。

第二，第三方远程访问泛滥。 大量医院依赖第三方供应商进行影像归档、病理分析、远程诊疗，这些供应商的 Web 入口是 ClickFix 伪冒的理想伪装。

第三，人员结构复杂。 护士、技师、行政人员混杂使用同一批终端，安全意识参差不齐。ClickFix 的”验证码”伪装对非技术背景人员尤其有效。

检测与防御：从”教用户不点”到”教系统不执行”

面对 ClickFix，传统的”提高安全意识”培训效果有限。攻击者已经学会了在提示中加上”请勿联系您的 IT 部门，这会自动解决”这类反向心理暗示。

更务实的做法是从系统层面切断攻击链：

• PowerShell Constrained Language Mode：在普通用户终端上强制启用，将 PowerShell 限制为只能执行白名单内的 cmdlet，使任意代码执行变得困难；
• 禁用 mshta、wscript、cscript：这些 Windows 宿主程序几乎只被合法软件极少使用，禁用后可显著压缩 ClickFix 的载荷投递面；
• macOS 上的 Gatekeeper 与 notarization 检查：确保用户只能运行通过 Apple 公证的应用，对”右键打开”的二次确认加以日志记录；
• 浏览器端的 clipboard 监控：检测页面脚本是否试图写入剪贴板以及写入内容的可疑模式（如以 curl、powershell、mshta 开头的字符串）；
• EDR 行为规则：关注 Win+R 调用后立即触发的子进程创建行为，这是 ClickFix 的强特征。

对终端用户而言，最简单的一条规则就够了：任何要求你在”验证”步骤中打开运行对话框并粘贴内容的页面，都是恶意的，没有例外。 真正的验证码只需要你点击或拖动滑块，不需要你操作操作系统。

技术附录

MITRE ATT&CK 映射

| 战术 | 技术编号 | 描述 | | — | — | — | | 初始访问 | T1189 | 水坑攻击（Drive-by Compromise）——通过攻陷合法网站投递 ClickFix 提示 | | 初始访问 | T1566.002 | 鱼叉式钓鱼链接——通过邮件将目标引导至 ClickFix 页面 | | 执行 | T1059.001 | PowerShell——Windows 端 ClickFix 主要载荷执行器 | | 执行 | T1059.002 | AppleScript——macOS Crash Report Impersonator 使用 | | 执行 | T1218.005 | mshta——ClickFix 常见载荷分发方式 | | 凭据访问 | T1555.001 | 浏览器凭据窃取——macOS 变体主要目标 | | 凭据访问 | T1552.001 | Keychain 凭据获取——macOS 变体主要目标 |

检测规则建议

• Sigma 规则（伪概念示意）：检测 explorer.exe 或 launchd 派生的非常规子进程链，尤其是 Win+R 等价操作后立即触发的 powershell.exe、osascript、bash 调用；
• 浏览器侧：监控页面 JavaScript 调用 navigator.clipboard.writeText 写入包含 curl|wget|mshta|powershell|osascript 的字符串。

失陷指标（IOC）

本文涉及事件未提供具体 IP、域名或文件哈希值。ClickFix 的基础设施通常具有短时效、高可替换性，单次投递的 C2 生命周期往往不超过 72 小时，因此静态 IOC 的追踪价值有限，更应关注上述行为特征。

威胁实体清单

• ClickFix（TTP）：社工攻击技术，通过伪造验证码/修复提示诱导用户执行恶意命令
• Social Engineering（TA0009）：MITRE ATT&CK 社工战术分类
• macOS Crash Report Impersonator（Malware）：伪装成 Apple 崩溃报告工具的 macOS 恶意软件，用于窃取 Keychain 密码
• ClickFix Social Engineering（TTP）：ClickFix 社工技术变体

参考来源

• ClickFix 社会工程学现已成为头号恶意软件分发方式 – KnowBe4 博客 – HEAL Security: https://healsecurity.com/clickfix-social-engineering-is-now-the-leading-malware-delivery-method-knowbe4-blog/
• 医疗行业在供应链安全和身份管理方面面临持续挑战 – Cybersecurity Dive – HEAL Security Inc. – 医疗行业的网络: https://healsecurity.com/healthcare-sector-faces-persistent-challenges-with-supply-chain-security-identity-management-cybersecurity-dive/
• 新型 macOS 恶意（healsecurity_com）: https://healsecurity.com/new-macos-malware-steals-passwords-by-posing-as-apples-crash-reporting-tool-help-net-security/
• 谷歌在印度推出涵盖新工具、教育、医疗和语言支持的大规模人工智能计划 – EdexLive – HEAL Security Inc. – 医疗行业网络威胁情报: https://healsecurity.com/google-unveils-sweeping-ai-push-in-india-with-new-tools-education-healthcare-and-language-support-edexlive/
• 美国医学会通过新术语映射计划应对预先授权负担 – HEAL Security Inc. – 医疗保健行业网络威胁情报: https://healsecurity.com/ama-targets-prior-authorization-burden-with-new-terminology-mapping-initiative/

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：奇安信威胁情报中心 《一句假验证码，一条真命令：ClickFix 如何取代钓鱼邮件成为今年最暴利的渗透手段》