了解假 CAPTCHA 惡意軟體攻擊的興起
CAPTCHA 系統，也就是那些要求辨識扭曲字母或選出特定圖片的熟悉謎題，是網路安全的基石。它們旨在區分真人與機器人，保護網站免受垃圾訊息、自動化濫用和憑證填充攻擊。然而，隨著這類系統日益普及，網路犯罪分子找到利用使用者對 CAPTCHA 信任的方法，催生出一種新型且極為有效的社交工程攻擊：假 CAPTCHA 惡意軟體活動，其中最受矚目的手法稱為 ClickFix。
目錄
本文將探討假 CAPTCHA 攻擊的運作方式、背後的技術與心理操弄手法、它們散布的惡意軟體（例如 Lumma Stealer），以及個人和組織可採取哪些實際措施來保護自己。
什麼是假 CAPTCHA 攻擊？
在假 CAPTCHA 攻擊中，網路犯罪分子會建立網頁或彈出式視窗，仿冒 Google reCAPTCHA 或 Cloudflare 驗證畫面等合法 CAPTCHA 系統。這些偽造畫面極具迷惑性，即使是經驗豐富的使用者也可能察覺不出異狀。攻擊通常依下列方式進行：
- 受害者遭誘導前往惡意網站，常見途徑包括網路釣魚電子郵件、假廣告或遭入侵的合法網站。
- 網站顯示假 CAPTCHA，要求使用者證明自己不是機器人。
- 使用者與 CAPTCHA 互動後，畫面會進一步提供指示，例如要求將指令複製並貼到電腦的「執行」對話框或終端機中。
- 依照指示操作會執行惡意程式碼，使裝置感染惡意軟體。
這種手法尤其陰險，因為它利用使用者親自採取的動作繞過安全防護，讓偵測與預防更加困難。
ClickFix：攻擊背後的社交工程手法
ClickFix一詞指的是一種社交工程手法，誘騙使用者自行執行惡意指令。傳統惡意軟體仰賴利用軟體漏洞，或誘騙使用者下載受感染檔案；ClickFix 則操弄使用者執行會安裝惡意軟體的指令，過程往往看似無害。
例如，假 CAPTCHA 可能會指示使用者：
- 按下 Windows 鍵 + R，開啟「執行」對話框。
- 貼上提供的指令（通常是 PowerShell 或 mshta.exe 指令碼）。
- 按下 Enter 執行。
這些步驟看似一般驗證流程的一部分，實際上卻會下載並執行 Lumma Stealer、AsyncRAT 或其他竊取資訊的木馬程式等惡意軟體。
假 CAPTCHA 攻擊如何散布：真實案例
假 CAPTCHA 攻擊已出現在各種情境中，目標遍及全球的個人與組織。值得注意的攻擊活動包括：
- Booking.com 網路釣魚：攻擊者冒充熱門訂房網站，寄送網路釣魚電子郵件，引導使用者前往設有偽造 CAPTCHA 的假 Booking.com 頁面。受害者依照指示操作後，最終安裝了會竊取登入憑證與個人資料的惡意軟體。
- 惡意廣告與 SEO 投毒：網路犯罪分子利用搜尋引擎最佳化（SEO）手法和惡意廣告，推廣熱門軟體、音樂或電影的假下載網站。這些網站會先顯示假 CAPTCHA，再讓裝置遭到感染。
- 遭入侵的合法網站：即使是受信任的網站也可能遭入侵，進而顯示假 CAPTCHA 彈出視窗，讓攻擊更具可信度。
根據資安公司 LAC 的說法，自 2024 年底以來，他們已在多個客戶環境中偵測到 ClickFix 相關事件，且 2025 年明顯增加。攻擊並不限於日本；美國、歐洲和亞洲也都有相關通報，受影響產業涵蓋電信、醫療保健、金融和旅宿業。
這類攻擊為何如此有效？
假 CAPTCHA 攻擊利用了多種心理與技術因素：
- 熟悉感與信任：使用者習慣看到 CAPTCHA，很少質疑其真偽。
- 例行操作疲乏：頻繁遇到 CAPTCHA 可能導致「驗證疲乏」，使使用者降低警覺。
- 社交工程：攻擊者將逐步指示包裝成驗證所需流程，降低使用者的戒心。
- 繞過安全防護：由於指令是由使用者啟動，端點安全解決方案可能將此操作判定為合法，增加偵測難度。
偽裝背後的惡意軟體：Lumma Stealer 等程式
假 CAPTCHA 攻擊最常散布的惡意程式之一是Lumma Stealer，這是一種竊取資訊的惡意軟體（infostealer），自 2022 年問世以來迅速受到網路犯罪分子青睞。Lumma Stealer 在暗網論壇和 Telegram 頻道上販售，通常以惡意軟體即服務（MaaS）的形式提供，讓各類攻擊者都能輕易取得。
Lumma Stealer 會做什麼？
安裝後，Lumma Stealer 能夠：
- 竊取瀏覽器儲存的密碼和 Cookie。
- 竊取加密貨幣錢包的登入憑證（例如 MetaMask、Binance）。
- 擷取雙重驗證（2FA）資料和瀏覽器擴充功能。
- 蒐集系統與應用程式資料，包括遠端桌面登入憑證。
- 將檔案和敏感資訊外傳至攻擊者控制的遠端伺服器。
這類攻擊活動中觀察到的其他惡意軟體家族包括 AsyncRAT、Vidar Stealer、XWorm，以及各種遠端存取木馬（RAT）。感染流程也可能使用混淆指令碼、內含隱藏程式碼的圖片檔（.png、.gif），以及多階段酬載來規避偵測。
技術細節：攻擊如何運作
資安研究人員記錄的技術流程如下：
- 載入假 CAPTCHA 頁面，通常是透過網路釣魚連結或惡意廣告。
- 使用者完成 CAPTCHA 後，系統會提示其執行指令（例如透過 Windows「執行」對話框或 macOS 終端機）。
- 指令通常會呼叫 PowerShell 或 mshta.exe，從遠端伺服器下載並執行指令碼。
- 指令碼下載惡意軟體酬載（例如內含 Lumma Stealer 的 ZIP 檔），接著在受害者的電腦上執行。
- 惡意軟體開始外傳資料，通常透過加密的 HTTPS 連線來規避網路監控。
有些攻擊活動還會在看似無害的檔案（例如 MP3 或 PDF）中嵌入混淆過的 JavaScript，進一步掩飾攻擊。
全球影響與重大事件
假 CAPTCHA 攻擊已在全球造成重大財務損失與資料外洩。Norton 和 Avast 的母公司 Gen Digital 指出，2024 年日本利用假 CAPTCHA 發動的網路釣魚和惡意軟體攻擊增加逾 600%，全球也呈現類似趨勢。這類攻擊通報的總損失已達數億美元。
受影響最嚴重的產業包括：
- 電信－攻擊目標為客戶資料和基礎設施資料。
- 醫療保健－攻擊醫療入口網站和病患資料。
- 金融與銀行－竊取登入憑證，導致未經授權的交易。
- 旅宿業－利用 Booking.com 等平台作為誘餌。
包括來自北韓、伊朗和俄羅斯的國家支持行動者在內的 APT（進階持續性威脅）組織，也採用 ClickFix 類型的攻擊，用於間諜活動及持續存取企業網路。
如何辨識並防範假 CAPTCHA 攻擊
面對這類日益精密的攻擊，技術和行為層面的防護都不可或缺。以下是你需要注意的事項：
警訊：如何識別假 CAPTCHA
- 不尋常的指示：合法 CAPTCHA 絕不會要求你執行系統指令、開啟「執行」對話框，或在終端機中貼上程式碼。
- 要求下載或安裝軟體：遇到要求下載檔案或瀏覽器擴充功能的 CAPTCHA，務必提高警覺。
- 意外出現的彈出視窗：如果 CAPTCHA 出現在陌生或可疑的網站，尤其是點擊廣告或未經請求的電子郵件連結後，更要小心。
- 奇怪的網址：仔細檢查網站網址。假 CAPTCHA 常出現在拼字有誤，或與你預期服務無關的網域。
個人防護最佳做法
- 絕不依照不受信任來源的指示執行指令。如果 CAPTCHA 要求你開啟「執行」對話框或終端機，請立即關閉頁面。
- 確認網站是否合法。直接輸入網址前往網站，不要點擊電子郵件或廣告中的連結。
- 讓軟體和作業系統保持更新。安全性修補程式有助於防止漏洞遭利用。
- 使用信譽良好的安全軟體。開啟即時防護，並保持病毒碼更新。
- 提升自己與他人的資安意識。提高警覺是防範社交工程的最佳方法。
組織防護最佳做法
- 實施技術控管：透過群組原則或端點管理工具，限制非管理員使用者執行 PowerShell 或 mshta.exe 指令。
- 監控可疑活動：使用端點偵測與回應（EDR）解決方案，偵測異常指令執行和網路流量。
- 封鎖已知的惡意網域和網址：定期更新封鎖清單，並使用網頁過濾解決方案。
- 強制使用多因素驗證（MFA）：降低憑證遭竊所造成的影響。
- 定期進行資安意識訓練：教導員工辨識網路釣魚和社交工程手法。
- 制定事件應變計畫：確保能迅速隔離受感染端點並展開調查。
懷疑遭到感染時該怎麼辦
如果你認為自己已成為假 CAPTCHA 攻擊的受害者：
- 立即中斷網路連線，避免更多資料遭外傳。
- 如果你在組織環境中，請聯絡 IT 或資安團隊。
- 使用信譽良好的安全軟體執行完整的惡意軟體掃描。
- 變更所有曾在受感染裝置上登入的帳戶密碼，尤其是銀行、電子郵件和雲端儲存等敏感服務。
- 留意帳戶是否有可疑活動，並考慮啟用 MFA 等額外安全措施。
假 CAPTCHA 攻擊為何象徵網路犯罪進入新時代
假 CAPTCHA 攻擊，尤其是使用 ClickFix 的攻擊，代表網路犯罪出現重大演變。攻擊者利用使用者對熟悉安全機制的信任，再結合社交工程，便能繞過許多傳統防護。由於攻擊仰賴使用者自行採取行動，因此難以偵測；而散布的惡意軟體也日益精密且模組化。
網路犯罪分子持續精進手法，讓合法與惡意的網路體驗界線愈發模糊。這個趨勢凸顯了結合技術控管、使用者教育和警覺的重要性。
摘要
- 假 CAPTCHA 攻擊利用逼真的安全驗證謎題，誘騙使用者在自己的裝置上執行惡意軟體。
- ClickFix 手法操弄使用者執行惡意指令，藉此繞過許多安全防護。
- Lumma Stealer 等惡意軟體能竊取密碼、金融資料等資訊，造成個人和組織重大損失。
- 這類攻擊正在全球蔓延，目標涵蓋各行各業和個人。
- 警訊包括要求你執行系統指令或下載檔案的 CAPTCHA；合法 CAPTCHA 絕不會這麼做。
- 防範需要結合技術控管、保持安全軟體更新，以及使用者教育。
- 若裝置遭感染，請中斷網路連線、執行惡意軟體掃描、更改密碼並尋求專業協助。
- 對網路上意外出現的指示保持警覺與懷疑，是防範這波新型網路威脅的最佳方法。
