ClickFix 恶意软件活动重现，采用新的投递策略

概要

新发现的ClickFix攻击活动利用伪造的Cloudflare验证页面来针对macOS和Windows用户。该活动利用恶意域名托管欺骗性内容并传播恶意软件。由于服务器错误和解析失败，调查期间无法检索到特定的恶意软件载荷。

调查

调查员分析了伪造验证页面产生的流量，并识别出托管在特定恶意域名上的一系列URL。试图获取Windows的恶意软件时出现403禁止错误，而针对macOS的命令导致域名无法解析。调查重点关注于URL模式和用于欺骗性脚本的托管基础设施。

缓解措施

应教育用户识别伪造的验证页面，避免执行命令或下载浏览器提示的意外文件。组织应实施网络过滤以阻止此活动中识别出的已知恶意域名。还建议监控网络交互后不寻常的进程执行。

响应

在检测到与已识别的恶意域名的通信后，将受影响的主机与网络隔离。对终端进行法证分析，以确定是否执行了任何命令或成功下载了恶意软件。查看网络代理日志以识别其他潜在的内部主机与已识别的基础设施通信。

模拟执行

• 攻击叙述和命令： 敌人成功地通过社交工程诱使用户访问伪造的“Cloudflare验证”页面。当页面加载时，浏览器自动向攻击者控制的域发出多个请求 js-static.cfd 以提取欺骗性视觉元素（字体和标志）以及核心恶意逻辑（embed.js）。这个模拟使用 curl 模拟浏览器对这些特定URL的GET请求以触发基于代理的检测规则。

• 回归测试脚本：

  #!/bin/bash
  # ClickFix 活动模拟脚本
  # 目的：生成匹配Sigma规则模式的遥测
  
  echo "[*] 开始ClickFix模拟..."
  
  # 目标域名：js-static.cfd
  # 模拟检测逻辑中识别的各种URL
  
  echo "[+] 模拟：加载恶意嵌入脚本..."
  curl -s -o /dev/null "http://js-static.cfd/embed.js?v=24"
  
  echo "[+] 模拟：API遥测命中..."
  curl -s -o /dev/null "http://js-static.cfd/api/s/hit"
  
  echo "[+] 模拟：加载伪造的Cloudflare资产（标志/字体）..."
  curl -s -o /dev/null "http://js-static.cfd/static/CF-Logo 1.png"
  curl -s -o /dev/null "http://js-static.cfd/static/fonts/jetbrains-mono-600.woff2"
  
  echo "[+] 模拟：API 事件跟踪..."
  curl -s -o /dev/null "http://js-static.cfd/api/track/event"
  
  echo "[*] 模拟完成。检查SIEM警报。"

• 清理命令：

  # 没有对系统做出持久性更改。
  # 如果下载了文件，移除它们。
  rm -f embed.js CF-Logo*.png
  echo "[*] 清理完成。"