ClickFix 攻击通过虚假 CAPTCHA 感染 Windows 和 macOS 电脑并扩散。独立研究员 Kevin Beaumont 在 Reddit 上表示，用户因此丢失了对电脑的控制权；他称，攻击者劫持合法网站，使其显示虚假 CAPTCHA。由于 CAPTCHA 持续出现、无法关闭的广告以及不断变化的界面，用户逐渐对可疑指示变得麻木，这提高了攻击的成功率。
攻击通常从一个仿冒 Cloudflare 的 CAPTCHA 开始。用户会被引导复制隐藏的恶意命令，将其粘贴到 Windows Run、PowerShell 或 macOS 终端中，然后按下 Enter。由于这些指示来自使用多年的网站，尤其是缺乏计算机安全经验的人很难产生怀疑。
据 BlueVoyant 称，传播此前被追踪为 Lorem Ipsum 的恶意软件，需要借助 SEO 重定向并由恶意广告支持的下载门户、Microsoft 信任的签名证书，以及不断更换的域名。2026年5月底的 ClickFix 转变消除了代码签名的需求，并使受害者群体不再局限于搜索 Microsoft Teams 的人，而是扩大到所有访问被入侵网站的人。
Jamf 和一名研究人员记录了能够绕过 Gatekeeper 的 macOS 版本。Cisco Talos 报告称，攻击者使用了 Google Sheets 文档；Sandworm 和 Netskope 则报告称，攻击者使用了基于区块链的智能合约。Netskope 发现有 5,400 个网站向该基础设施发送信号。BlockBlock 和 Ublock 提供防御，而专家建议提高缺乏经验的用户的安全意识。
为何重要
这意味着，该攻击已不再是针对特定应用或用户群体的活动，而是演变成了一种能够触达被入侵网站访客的更广泛威胁。无需再使用 Microsoft 信任的签名证书，消除了此前传播链条中的部分成本和限制。在 Windows 和 macOS 上发现能够绕过不同防御机制的样本，表明仅依赖针对单一平台的安全习惯是不够的。Google Sheets 和区块链智能合约等渠道的使用，也表明用户对熟悉服务的信任同样会成为被利用的领域。因此，用户能否察觉到 CAPTCHA 指示与运行操作系统命令之间的不协调变得愈发重要；但缺乏经验的人在习以为常的验证流程中究竟能在多大程度上作出这种区分，仍是一个悬而未决的问题。
背景
Macs 对 FikirPilot 的档案来说并不是一个新名字：在过去 90 天内，我们发布过一篇提到这个名字的报道；该文章的日期是 2026年8月26日。