一种新的ClickFix攻击类型正在利用被攻陷的网站来欺骗用户执行缓存于网页浏览器缓存中的恶意有效负载。
“与典型攻击模式中下载和执行远程有效负载不同，在这种攻击中，网站预先将一个伪装成PNG文件的脚本有效负载预取到浏览器缓存中，”微软威胁情报团队在X上的一篇帖子中表示。
因此，当受害者被提示粘贴并执行恶意命令时——正如ClickFix攻击的情况——它执行的是已经在设备上的缓存网站内容。
这种浏览器缓存走私方法的显著之处在于，它允许攻击者隐藏有效负载脚本并绕过字符限制。Windows运行对话框（通过Win + R触发）会截断任何超过大约260个字符的输入。
在微软观察到的攻击链中，分阶段的有效负载是一个Visual Basic脚本（VBScript），它随后调用“cmd.exe”递归枚举浏览器配置文件文件夹中以“f_”开头的文件，例如“%LOCALAPPDATA%\Mozilla\Firefox\Profiles。”
“它将每个文件的字节长度与预期值进行比较，”微软解释道。“与之前的攻击不同，它不是在内容中搜索标记，而是将一个大小匹配的缓存条目复制到%LOCALAPPDATA%\Temp\t.vbs，赋予缓存有效负载VBScript扩展名，然后使用wscript.exe执行它。复制输出和错误被抑制。预期的大小在不同变体之间有所不同。”
该VBScript还设计用于通过Windows管理工具（WMI）收集主机信息，从外部服务器（“cocojambo[.]us[.]com/alfa”）获取一个PowerShell脚本（“v.ps1”），然后启动它。该PowerShell脚本作为中间PowerShell有效负载的通道，负责下载下一个阶段（“cab.dat”）。
一旦文件被下载，其内容将在一个隐藏窗口中读取和执行。该攻击最终为.NET程序集铺平了道路，这些程序集被加载到内存中，并向新启动的合法Windows进程（“timeout.exe”）注入代码，旨在针对浏览器和设备凭据。
更重要的是，注入的进程启动PowerShell以从“capsysnet[.]vg”获取一个二级内存阶段，并发起到“ciliabula[.]cc”的出站连接。
这并不是第一次在ClickFix攻击中将有效负载分阶段放置在浏览器缓存中。2025年10月，Expel记录了一条使用缓存走私传递带有恶意软件的ZIP档案的攻击链。这一活动随后被识别为Intrinsec进行的红队演练。
在过去两年中，ClickFix已成为一种极为流行的社会工程技术。攻击将受害者转变为执行恶意软件的交付渠道，使其成为网络犯罪分子和国家行为者都青睐的初始访问方法。
在2025年8月发布的一个概念验证（PoC）漏洞利用中，CloudSEK展示了如何利用嵌入在电子邮件客户端、浏览器扩展和生产力平台中的人工智能（AI）摘要系统，通过ClickFix投放勒索软件。
具体而言，有效负载嵌入在使用基于CSS的混淆方法的HTML内容中，例如零宽字符、白色文本在白色背景上和屏幕外定位，使其对人眼不可见，但被AI系统解析。这种不可见的提示注入随后用于生成包含攻击者控制的ClickFix指令的摘要。
该攻击采用一种称为提示过量的方法，将有效负载重复多次，以便它主导模型的上下文窗口并引导输出生成。
“当这种精心制作的内容被索引、共享或通过电子邮件发送时，任何摄取它的自动摘要过程都会生成包含攻击者控制的ClickFix指令的摘要，”CloudSEK表示。“观察到的结果证实，提示过量结合不可见注入可以成功覆盖摘要器中的合法上下文。”
自早期以来，ClickFix生态系统已经发生了显著变化，得益于像IUAM这样的网络钓鱼工具的可用性，这些工具可以自动创建“Fix类型”攻击。这种商品化进一步降低了进入门槛，加速了这些活动的频率。
ClickFix攻击的结构是一个多步骤链——
引导受害者访问一个假冒（或被攻陷的）网站，该网站通过网络钓鱼电子邮件或恶意广告托管ClickFix诱饵。
提供问题触发器（例如，假错误、验证码或浏览器更新）
提供“解决方案”，并指示用户复制一个命令来解决问题。选择变体使用JavaScript来操纵系统的剪贴板并复制命令。
然后要求用户将复制的命令粘贴到Windows运行对话框、PowerShell、Windows终端、macOS终端或其他受信任的系统工具中。
该命令检索额外的有效负载，导致恶意软件的部署。
根据CrowdStrike的数据，涉及假验证码诱饵的事件在2025年见证了惊人的563%的增长。
ClickFix之所以有效，是因为它说服用户在验证码验证、浏览器更新或意外错误的幌子下运行攻击者提供的命令——这些情况是用户经常遇到的。该攻击利用这种“故障排除”主题来欺骗他们感染自己的系统，有效绕过安全控制。
“员工经常处理破损的会议、身份验证挑战、验证码提示、浏览器错误和应用程序问题，”CrowdStrike表示。“提示某人执行快速故障排除步骤的提示听起来比意外的可执行文件或电子邮件附件要少得多的可疑。”
ClickFix有效的另一个原因是它依赖于用户已经信任的标准工具。它并不要求用户下载一个可能引起怀疑的不熟悉程序。