假驗證碼誘騙用戶執行指令，ClickFix成新型供應鏈殺手

紐西蘭國家網路安全中心（NCSC）於9月2日發布警告指出，部分遭入侵的網站，包括以WordPress架設的網站，會顯示冒充CAPTCHA或Cloudflare驗證的ClickFix頁面，誘騙訪客自行在裝置上執行惡意指令。美國聯邦貿易委員會（FTC）則明確提醒，真正的CAPTCHA驗證不會要求用戶在裝置上執行指令。

Kaspersky分析一項Windows攻擊活動發現，點擊假的「驗證」按鈕只會把PowerShell指令複製到剪貼簿，後續仍須用戶自行開啟Windows執行視窗、貼上指令並按Enter，才會真正完成感染。這個看似迂迴的設計，正是為了繞過瀏覽器沙箱並把最終執行責任轉嫁給使用者。

不同活動窃取的資料不盡相同；Kaspersky發現的Lumma Stealer會鎖定加密貨幣錢包檔、瀏覽器Cookie、已儲存憑證與密碼管理器備份，同一活動亦散布Amadey木馬。FBI、CISA、HHS與MS-ISAC的聯合公告則指出，Interlock相關組織曾利用ClickFix誘使用戶執行編碼後的PowerShell指令，另有多起鍵盤記錄器與憑證竊取程式在攻擊者取得遠端控制後被下載。