现在，连俄罗斯最精英的黑客都在使用Clickfix感染设备

现在，就连俄罗斯最顶级的黑客也在使用 Clickfix 感染设备 来源：https://arstechnica.com/security/2026/07/now-even-russias-most-elite-hackers-are-using-clickfix-to-infect-devices/ 乌克兰 CERT 中心警告，俄罗斯政府最顶级的黑客组织之一已采用一种名为 Clickfix 的攻击手段，入侵乌克兰敏感组织的设备。 Clickfix（https://arstechnica.com/security/2025/11/clickfix-may-be-the-biggest-security-threat-your-family-has-never-heard-of/）已成为一种有效的攻击技术，主要受金钱驱动的攻击者从去年左右开始使用。受攻击者控制的网站会显示一个 CAPTCHA，要求访客复制一组乱码文本并粘贴到终端中。这些文本包含脚本，一旦输入便会执行恶意操作，通常是安装恶意软件或窃取敏感数据。乌克兰 CERT 周三表示（https://cert.gov.ua/article/6318437），Sandworm（https://www.wired.com/story/sandworm-kremlin-most-dangerous-hackers/）——俄罗斯军事情报机构 GRU 内部的高级黑客单位——现在正在使用这一技术。 ## “GhettoVibe”、“ScoutCurl” 等等 Clickfix 攻击始于今年春天，并持续了整个夏天。该活动已导致至少一个组织的网络遭到入侵，当时发现某个连接的设备被 Sandworm 的定制恶意软件包之一 FreakyPoll 感染。乌克兰当局发现了 10 个被入侵的网站，这些网站显示了一个 PowerShell 命令，作为虚假 CAPTCHA 的一部分，声称必须通过该命令才能验证访问设备后存在真实人类。 一旦用户输入脚本，它可能会安装恶意的 Visual Basic 脚本和其他恶意软件，进而安装多种 Sandworm 恶意软件。通常运行的第一个恶意软件是一个侦察程序，用于收集感染设备的信息。被认为重要的机器随后会接收后续恶意软件，从而在系统中植入后门。 “例如，该命令可能旨在加载并保存一个 VBS 文件到启动文件夹中，”周二发布的咨询的翻译版本指出。“此类程序的一个变体被称为 GHETTOVIBE。在下一阶段，为了确定网络攻击对象的重要性，可能会在受攻击的计算机上加载 SCOUTCURL 软件工具，这是一个 PowerShell 脚本，通过收集并外传计算机的基本信息（如基本特征、程序、文件、浏览器数据等）执行基本侦察工作。”