ClickFix 攻击借伪验证码诱骗用户自行执行恶意命令
攻击者通过假验证码诱导用户把命令粘贴到终端，从而安装窃密木马；近期还出现冒充 HBO Max 的 Reddit 广告。
据 TechCrunch 报道，所谓 ClickFix 攻击通过仿验证码或反机器人页面，诱导用户把一段文本粘贴进 Windows 命令提示符或 Mac 终端并执行，从而安装可窃取密码、会话与加密货币钱包的信息窃取木马。
安全研究人员称，最新活动包括攻击者入侵 HBO Max 在 Reddit 上获授权的广告账户，投放数百条指向恶意页面的假广告。Reddit 表示已锁定账户并下架广告。
由于命令在系统终端执行，此类攻击常能绕过部分杀毒与防护。企业可通过限制命令行工具访问降低风险；Mac 用户也有 BlockBlock 等工具可作辅助防御。