DeepLoad 惡意軟體結合 ClickFix 竊取憑證；Apple 推 macOS 新機制防堵

社交工程攻擊手法 ClickFix 持續演進，資安研究人員近期發現一款名為 DeepLoad 的新型惡意軟體載入器正利用此手法進行散布。與此同時，Apple 已在最新發布的 macOS Tahoe 26.4 中導入 Terminal 警告功能，旨在阻擋ClickFix 攻擊。

ClickFix 是一種社交工程技術，攻擊者以修復問題或驗證程序為藉口，誘騙用戶將惡意指令貼上至命令列介面執行。由於指令是由用戶自行貼上，現有的安全措施往往遭到繞過，使惡意軟體得以順利進入系統。

資安廠商 ReliaQuest 研究人員在最新報告中指出，一波新的攻擊活動正利用 ClickFix 手法散布先前未被記錄的惡意軟體載入器 DeepLoad。

DeepLoad 惡意軟體攻擊鏈

DeepLoad 的攻擊起點是 ClickFix 誘餌，誘騙用戶將 PowerShell 指令貼上至 Windows 執行對話框。該指令會立即建立排程任務以重新執行載入器，確保在重開機或部分偵測後仍能持續運作。隨後利用 Windows 內建工具 mshta.exe 下載並執行經混淆處理的 PowerShell 載入器。

ReliaQuest 分析顯示，DeepLoad 的功能程式碼埋藏在數千行垃圾程式碼之下，旨在壓垮靜態掃描工具，研判攻擊者可能借助人工智慧（AI）工具開發混淆層。ReliaQuest 警告：「DeepLoad 從落地的那一刻就開始竊取憑證，即使僅部分控制感染，仍可能導致密碼、工作階段與使用中帳戶外洩。」

在主要攻擊鏈完成前，名為 filemanager.exe 的獨立憑證竊取程式已在獨立基礎設施上運行，即使主要載入器遭偵測阻擋，仍可持續外洩資料。

DeepLoad 刻意融入正常的 Windows 活動以躲避偵測，將惡意酬載隱藏在名為 LockAppHost.exe 的合法 Windows 程序中。該惡意軟體會停用 PowerShell 指令歷史記錄，並直接呼叫 Windows 核心函式，藉此繞過常見的監控機制。此外，DeepLoad 利用 PowerShell 內建功能 Add-Type 即時編譯 DLL 檔案，每次執行時使用隨機檔名，可有效規避基於檔名的偵測。

憑證竊取與自動擴散能力

DeepLoad 可從主機擷取瀏覽器密碼，並植入惡意瀏覽器擴充功能，在用戶於登入頁面輸入憑證時即時攔截，且會在工作階段間持續存在，除非明確移除。

更危險的是，DeepLoad 能在初始感染後 10 分鐘內自動偵測 USB 隨身碟的連接，並寫入超過 40 個偽裝檔案，以 ChromeSetup.lnk、Firefox Installer.lnk 等檔名複製惡意檔案，一旦用戶雙擊即觸發感染。

ReliaQuest 說明，DeepLoad 使用 Windows Management Instrumentation（WMI）在三天後重新感染已清理的主機，無需用戶操作或攻擊者介入。WMI 可打斷大多數偵測規則所依據的父子程序鏈，並建立事件訂閱以在稍後靜默重新執行攻擊。

Apple 推出 macOS Terminal 警告功能

為因應 ClickFix 攻擊，Apple 在 macOS Tahoe 26.4 中導入新的安全功能，當用戶在 Terminal 貼上潛在有害指令時，系統會延遲執行並顯示風險警告訊息，告知用戶指令執行已被中止，並說明詐騙者經常透過各種管道散布惡意指令。

用戶可選擇不貼上不理解的指令，也可忽略警告繼續執行，但後者僅建議在完全理解指令效果時使用。Apple 尚未針對此新警告系統發布官方支援文件，目前也不清楚系統如何判定貼上指令的風險程度。

防護建議

ReliaQuest 指出，標準的清理程序不足以完全修復 DeepLoad 感染。組織應在將受影響主機恢復生產環境前，稽核並移除 WMI 事件訂閱；啟用 PowerShell Script Block Logging 與行為端點監控；並變更所有與受感染系統相關的憑證，包括儲存的密碼、使用中的工作階段 Token，以及感染期間使用的帳戶。

ReliaQuest 警告，AI 產生的混淆技術正持續進化。未來這些技術可能不再是通用雜訊，而是針對特定環境量身打造，使行為基線分析更加困難。無論使用何種作業系統，用戶均應避免執行在網路上發現且不完全理解其作用的指令。