ClickFix 轉用 Windows Terminal 規避偵測

🔑 增強重點摘要

• •ClickFix 活動最終部署 Lumma Stealer，該惡意軟體透過 QueueUserAPC() 技術注入 chrome.exe 和 msedge.exe，竊取瀏覽器 Web Data 和 Login Data 憑證。[1]
• •變體 CrashFix（2026 年 1 月）故意崩潰瀏覽器，使用 finger.exe 下載混淆 PowerShell 並部署 Python RAT，透過排程任務「SoftwareProtection」持久化，每 5 分鐘執行。[4]
• •另一變體濫用 DNS nslookup 命令，從自訂 DNS 伺服器提取並執行第二階段負載，避開系統預設解析器偵測。[2]
• •起源於 2024 年夏季，初期透過假 reCAPTCHA 頁面結合剪貼簿劫持，迅速擴散至釣魚和惡意廣告活動。[6][8]

🛠️ 技術深入

• •Lumma Stealer 部署至 C:\ProgramData\app_config\ctjb，使用 QueueUserAPC() 進行進程注入，針對高價值瀏覽器文物竊取並外洩至攻擊者基礎設施。[1]
• •CrashFix 命令：finger.exe 連線至 69.67.173.30 下載 charcode 負載，解碼後執行 script.ps1 (SHA-256: c76c0146407069fd4c271d6e1e03448c481f0970ddbe7042b31f552e37b55817)，下載 ZIP 含 udp.pyw 和 run.exe (重命名 Python)。[4]
• •DNS 變體：nslookup 至硬編碼外部 DNS 伺服器，過濾 'Name:' 回應作為第二階段 PowerShell 負載，後續建立 LNK 檔案指向 VBScript 於 Startup 資料夾持久化。[2]
• •偵測規則：SIEM 監控 Event ID 4688 (powershell.exe 由 explorer.exe 產生)、Base64 編碼命令、WinX 資料夾存取 (Event ID 4663)、mshta.exe 或 finger.exe 由瀏覽器產生。[3][5]

🔮 前景展望AI analysis grounded in cited sources

⏳ 時間線