不久前，ClickFix攻击还相当罕见。现在这一技术已成主流，攻击者利用其在感染PC和Mac用户方面的简单性和有效性大肆获利。所需的仅仅是一个被入侵的网站——这是一项足够轻松的任务——一个虚假的验证码（CAPTCHA）覆盖层，以及包含一个单一的终端命令。

如此多的访客被诱骗粘贴并运行该命令，以至于几乎每个恶意软件推销者都采用了这一技术。甚至有克里姆林宫支持的黑客组织也加入其中。“Reddit上充斥着关于人们通过ClickFix导致电脑中毒的帖子，”独立研究员凯文·博蒙特（Kevin Beaumont）周四观察到。“到处都是合法的网站被黑客入侵以提供虚假的验证码提示。”

我们当中有多少人让情况变得更糟？更有经验的互联网用户——其中相当一部分阅读本网站的人——往往很快就会对这种攻击不屑一顾。他们通常责怪落入骗局的人，并对他们的轻信和缺乏注意力感到惊叹。现实情况是，对于更普通的休闲用户来说，使用电脑和互联网已经变得如此困难——想想那些无法关闭的插页广告、有一系列无休止图片需要分析的验证码，以及不断更改并掩盖他们正在寻找功能的界面——以至于他们对那些看起来荒谬且繁琐的指令变得麻木。

ClickFix攻击者正在利用这种疲劳。通常情况下，攻击始于一个简单的验证码图像，通常伪装成来自Cloudflare的图像。与该框交互后，用户会看到一行文本，通常以某种方式被混淆，以掩盖任何恶意命令。

然后，用户被指示将文本复制并粘贴到Windows运行、PowerShell或macOS终端中，并点击回车。这些指令来自人们多年来一直在使用的网站。这些指导看起来并不比十年来他们被要求做的事情更可疑。

对于一个没有扎实计算机安全概念的人来说，有什么理由去犹豫呢？对于攻击背后的幕后黑手来说，ClickFix让他们的工作变得容易得多。

安全公司BlueVoyant最近表示，以前由恶意软件安装程序负责人使用并被跟踪为Lorem Ipsum的方法，需要资源密集型基础设施，包括经过SEO操纵和恶意广告宣传的下载门户网站、微软信任的签名证书，以及用于分发微软安装程序包的不断轮换的域名。

“2026年5月下旬转向ClickFix完全消除了代码签名要求，用一种不同形式的合法性取代了有效签名安装程序的合法性：用户在自己的终端中自愿执行恶意命令，”BlueVoyant表示。“虽然ClickFix模型将受害者群体从专门寻找Microsoft Teams的用户扩大到任何浏览受感染网站的人……”

macOS用户的情况并没有更好。Mac安全公司Jamf和一位研究人员都记录了可以绕过Gatekeeper保护的macOS变体ClickFix。

根据思科塔洛斯（Cisco Talos）的说法，ClickFix攻击者不断寻找使用公共服务的新方法——包括公开发布的谷歌表格文档。其他攻击者，包括俄罗斯国家资助的桑德沃姆（Sandworm），正在基于区块链的智能合约中托管其控制基础设施。

安全公司Netskope最近发现了另一场使用相同方法的活动。该安全公司统计了5400个向其发出信标的网站，这表明了该活动的覆盖范围和规模。

随着操作系统制造商和防御者建立新的防御措施，攻击者不断寻找已被记录的方法来绕过它们。这一切的结果是，ClickFix是一种传播各种恶意软件的高效手段。

它不会消失，责怪或羞辱受害者只会让问题变得更糟。有相当数量的插件、独立产品和内置防御措施旨在削弱ClickFix攻击的成功率。

例如，监视Mac上寻求永久安装自己的进程的软件BlockBlock，可以在用户按下⌘+V键的瞬间阻止ClickFix攻击。Ublock已更新以执行类似的操作。

除了这些修复程序之外，我们这些具有更多安全培训的人应该与缺乏经验的邻居、家庭成员和朋友建立意识。ClickFix的大规模采用证明了它的成功，它不会很快消失。