了解虚假验证码恶意软件攻击的兴起
验证码系统——那些要求用户识别扭曲字母或选择特定图片的常见谜题——是网络安全的基石。它们旨在区分真人与机器人，保护网站免受垃圾信息、自动化滥用和撞库攻击。然而，随着验证码日益普及，网络犯罪分子找到了利用用户对验证码信任的方法，由此催生了一种新型且极为有效的社会工程攻击：虚假验证码恶意软件活动，其中最受关注的是名为ClickFix的方法。
目录
本文将介绍虚假验证码攻击的运作方式、背后的技术和心理操纵手段、攻击者投放的恶意软件（如 Lumma Stealer），以及个人和组织可以采取哪些切实措施来保护自己。
什么是虚假验证码攻击？
在虚假验证码攻击中，网络犯罪分子会制作网页或弹出窗口，刻意模仿 Google reCAPTCHA 或 Cloudflare 验证页面等正规验证码系统。这些伪造页面极具迷惑性，即使是经验丰富的用户也可能察觉不到异常。攻击通常按以下步骤展开：
- 受害者被诱导访问恶意网站，诱导途径通常包括钓鱼邮件、虚假广告或遭入侵的正规网站。
- 网站显示虚假验证码，要求用户证明自己不是机器人。
- 用户与验证码互动后，页面会进一步提供操作指示，例如将一条命令复制并粘贴到电脑的“运行”对话框或终端中。
- 按照指示操作会导致恶意代码运行，使设备感染恶意软件。
这种方法尤其阴险，因为它利用用户自己的操作绕过安全控制，使攻击更难被发现和防范。
ClickFix：攻击背后的社会工程手段
ClickFix指的是一种社会工程技术，它诱骗用户亲自执行恶意命令。传统恶意软件通常依靠利用软件漏洞，或诱骗用户下载受感染文件；ClickFix 则操纵用户运行命令来安装恶意软件，整个过程往往伪装成看似无害的操作。
例如，虚假验证码可能会指示用户：
- 按下Windows 键 + R，打开“运行”对话框。
- 粘贴提供的命令（通常是 PowerShell 或 mshta.exe 脚本）。
- 按下Enter键执行命令。
这些步骤看似是常规验证流程的一部分，实际上却会下载并运行 Lumma Stealer、AsyncRAT 等恶意软件或其他信息窃取木马。
虚假验证码攻击如何传播：真实案例
虚假验证码攻击已出现在多种场景中，目标遍及全球的个人和组织。值得关注的攻击活动包括：
- Booking.com 钓鱼攻击：攻击者冒充热门酒店预订网站，发送钓鱼邮件，将用户引导至带有伪造验证码的 Booking.com 假页面。按指示操作的受害者最终安装了恶意软件，导致登录凭证和个人数据被窃取。
- 恶意广告与 SEO 投毒：网络犯罪分子利用搜索引擎优化（SEO）技术和恶意广告，为热门软件、音乐或电影的虚假下载网站引流。这些网站会在用户受感染前显示虚假验证码。
- 遭入侵的正规网站：即使是受信任的网站也可能遭到入侵，被植入虚假验证码弹窗，从而进一步增加攻击的迷惑性。
据安全公司 LAC 称，自 2024 年底以来，他们已在多个客户环境中发现 ClickFix 相关事件，且 2025 年事件显著增加。这类攻击并不限于日本；美国、欧洲和亚洲均有相关报告，受影响行业涵盖电信、医疗保健、金融和酒店业。
这类攻击为何如此有效？
虚假验证码攻击利用了多种心理和技术因素：
- 熟悉感与信任：用户习惯了验证码，很少质疑其真实性。
- 日常操作疲劳：频繁遇到验证码可能导致“验证疲劳”，使用户放松警惕。
- 社会工程：攻击者将分步指示包装成验证所必需的操作，从而降低用户的戒心。
- 绕过安全控制：由于命令由用户主动执行，终端安全解决方案可能将其识别为合法操作，增加检测难度。
伪装背后的恶意软件：Lumma Stealer 及其他威胁
虚假验证码攻击最常投放的恶意软件之一是Lumma Stealer。这是一种信息窃取恶意软件（infostealer），自 2022 年出现以来，已迅速受到网络犯罪分子的青睐。Lumma Stealer 在暗网论坛和 Telegram 频道上出售，通常以恶意软件即服务（MaaS）的形式提供，因此各类攻击者都能轻易获取。
Lumma Stealer 有哪些功能？
安装后，Lumma Stealer 可以：
- 窃取浏览器中保存的密码和 Cookie。
- 窃取加密货币钱包凭证（如 MetaMask、Binance）。
- 提取双重身份验证（2FA）数据和浏览器扩展程序。
- 收集系统和应用程序数据，包括远程桌面凭证。
- 将文件和敏感信息外传至攻击者控制的远程服务器。
在这些攻击活动中还发现了 AsyncRAT、Vidar Stealer、XWorm 及各种远程访问木马（RAT）。为逃避检测，攻击链还可能使用经过混淆的脚本、包含隐藏代码的图像文件（.png、.gif）以及多阶段载荷。
技术细节：攻击如何运作
安全研究人员记录了以下技术流程：
- 用户通过钓鱼链接或恶意广告等途径打开虚假验证码页面。
- 用户完成验证码后，页面会提示其运行一条命令（例如通过 Windows“运行”对话框或 macOS 终端）。
- 该命令通常会调用 PowerShell 或 mshta.exe，从远程服务器下载并运行脚本。
- 脚本下载恶意软件载荷（例如包含 Lumma Stealer 的 ZIP 文件），随后在受害者设备上运行。
- 恶意软件开始外传数据，通常通过加密的 HTTPS 连接进行，以躲避网络监控。
一些攻击活动还使用嵌入在看似无害文件（如 MP3 或 PDF）中的混淆 JavaScript，进一步掩饰攻击。
全球影响与重大事件
虚假验证码攻击已在全球造成重大经济损失和数据损失。据 Norton 和 Avast 的母公司 Gen Digital 称，2024 年日本利用虚假验证码实施的钓鱼和恶意软件攻击增加了 600% 以上，全球也出现了类似趋势。据报告，此类攻击造成的损失总额已达数亿美元。
受影响最严重的行业包括：
- 电信——攻击者以客户数据和基础设施数据为目标。
- 医疗保健——攻击医疗门户网站和患者数据。
- 金融与银行业——凭证被盗可能导致未经授权的交易。
- 酒店业——攻击者利用 Booking.com 等平台作为诱饵。
包括朝鲜、伊朗和俄罗斯国家支持的攻击者在内的高级持续性威胁（APT）组织，也采用了 ClickFix 式攻击，将其用于间谍活动和对企业网络的持久访问。
如何识别和防范虚假验证码攻击
鉴于这类攻击手法日益复杂，技术防护和行为防范缺一不可。以下是需要注意的事项：
危险信号：如何识别虚假验证码
- 异常指示：正规验证码绝不会要求你运行系统命令、打开“运行”对话框或将代码粘贴到终端中。
- 要求下载或安装软件：对于提示你下载文件或浏览器扩展程序的验证码，要提高警惕。
- 意外弹窗：在陌生或可疑网站上出现的验证码尤其值得警惕，特别是在点击广告或未经请求的邮件中的链接后出现时。
- 可疑网址：仔细检查网站地址。虚假验证码经常出现在拼写错误或与预期服务无关的域名下。
个人防护建议
- 切勿按照不可信来源的指示运行命令。如果验证码要求你打开“运行”对话框或终端，请立即关闭页面。
- 核实网站的真实性。通过直接输入网址访问网站，不要点击邮件或广告中的链接。
- 及时更新软件和操作系统。安全补丁有助于防止攻击者利用漏洞。
- 使用信誉良好的安全软件。开启实时防护，并及时更新病毒库。
- 提高自身和他人的安全意识。增强防范意识是抵御社会工程攻击的最佳方式。
组织防护建议
- 实施技术控制：通过组策略或终端管理工具，限制非管理员用户运行 PowerShell 或 mshta.exe 命令。
- 监控可疑活动：使用终端检测与响应（EDR）解决方案，发现异常命令执行和网络流量。
- 屏蔽已知恶意域名和网址：及时更新屏蔽列表，并使用网络过滤解决方案。
- 强制启用多因素身份验证（MFA）：降低凭证被盗造成的影响。
- 定期开展安全意识培训：教会员工识别钓鱼和社会工程手法。
- 制定事件响应计划：确保能够迅速隔离受感染的终端并展开调查。
怀疑感染时该怎么办
如果你认为自己遭遇了虚假验证码攻击：
- 立即断开网络连接，防止数据进一步外传。
- 如果你身处组织环境中，联系 IT 部门或安全团队。
- 使用信誉良好的安全软件进行全面恶意软件扫描。
- 更改所有在受感染设备上访问过的账户密码，尤其是银行、电子邮件和云存储等敏感服务的密码。
- 留意账户是否有可疑活动，并考虑启用 MFA 等额外安全措施。
虚假验证码攻击为何预示着网络犯罪进入新时代
虚假验证码攻击，尤其是使用 ClickFix 的攻击，代表着网络犯罪的一次重大演变。攻击者利用用户对熟悉安全机制的信任，并借助社会工程手段，能够绕过许多传统防御措施。这类攻击难以检测，因为它们依赖用户主动操作，而投放的恶意软件也日益复杂，且采用模块化设计。
随着网络犯罪分子不断改进手法，合法与恶意在线体验之间的界限变得越来越模糊。这一趋势凸显了将技术控制、用户教育和保持警惕结合起来的重要性。
总结
- 虚假验证码攻击通过精心伪造的安全验证谜题，诱骗用户在自己的设备上运行恶意软件。
- ClickFix 通过操纵用户运行恶意命令，绕过许多安全控制。
- Lumma Stealer 等恶意软件能够窃取密码、金融数据等，给个人和组织造成重大损失。
- 此类攻击正在全球蔓延，目标涵盖多个行业和各类个人。
- 如果验证码要求你运行系统命令或下载文件，就应提高警惕；正规验证码绝不会这样做。
- 防范此类攻击需要综合运用技术控制、及时更新的安全软件和用户教育。
- 如果设备感染恶意软件，应断开网络连接、运行恶意软件扫描、更改密码并寻求专业帮助。
- 对网上意料之外的操作指示保持警惕和审慎，是抵御这波新型网络威胁的最佳防线。
