微軟威脅情資團隊（Microsoft Threat Intelligence）近日在社群平台 X 指出，
駭客會利用遭入侵的網站，將偽裝成 PNG 圖檔的惡意指令碼預先存入受害者的瀏覽器快取，再誘騙使用者貼上並執行一段簡短指令，藉此繞過 Windows「執行」（Run）對話框的字元長度限制，進而竊取瀏覽器與裝置憑證。外媒報導，這是 ClickFix 社交工程手法的最新變化。這類攻擊會利用虛假的錯誤訊息或驗證碼，誘騙使用者自行貼上並執行惡意指令。
快取中的「圖片」才是真正載荷
一般 ClickFix 攻擊會誘騙使用者貼上指令，下載並執行遠端載荷。微軟指出，這次手法不同：網站會先將偽裝成 PNG 檔的惡意腳本載入瀏覽器快取。使用者依指示貼上並執行指令時，實際執行的是已儲存在裝置中的快取內容。
瀏覽器快取走私（browser cache smuggling）可藉此隱藏載荷，並避開指令長度限制。透過 Win + R 開啟的「執行」對話框，輸入內容超過約 260 個字元便會遭到截斷；利用快取後，駭客只需誘騙使用者貼上簡短指令。
從 VBScript 到記憶體注入的感染鏈
微軟觀察到，這波攻擊先以 Visual Basic Script（VBScript）作為暫存載荷。VBScript 會呼叫 cmd.exe，遞迴搜尋瀏覽器設定檔資料夾（例如
%LOCALAPPDATA%\Mozilla\Firefox\Profiles）中檔名以「f_」開頭的檔案，並檢查檔案大小是否符合預期。
先前的手法透過檔案內容標記尋找載荷，這次攻擊則依據檔案大小篩選快取項目，將符合條件的項目複製到
%LOCALAPPDATA%\Temp\t.vbs，以 VBScript 副檔名儲存，再交由 wscript.exe 執行。複製過程中，命令輸出與錯誤訊息都會被隱藏，各變種設定的檔案大小也不盡相同。
接著，VBScript 會透過 Windows Management Instrumentation（WMI）蒐集主機資訊，並從外部伺服器（
cocojambo\[.\]us\[.\]com/alfa）下載並執行 PowerShell 指令碼 v.ps1。該指令碼會載入另一段 PowerShell 中繼載荷，接著下載並讀取下一階段檔案 cab.dat，最後在隱藏視窗中執行。
最後，載入記憶體的 .NET 組件會將程式碼注入新啟動的合法 Windows 程序 timeout.exe，藉此竊取瀏覽器與裝置憑證。遭注入的程序也會啟動 PowerShell，從 capsysnet\[.\]vg 取得第二階段記憶體載荷，並連線至 ciliabula\[.\]cc。
外媒指出，將載荷藏在瀏覽器快取中的手法並非首例。2025 年 10 月，資安業者 Expel 曾記錄一起透過快取走私傳送 ZIP 壓縮檔的攻擊，檔案內夾帶惡意程式。該活動後來證實是資安業者 Intrinsec 執行的紅隊演練。
微軟建議強化偵測與防護
針對這類威脅，微軟建議組織採取以下防護措施：
- 部署雲端、網頁及網路防護措施
- 實施應用程式控管
- 啟用 PowerShell 指令碼區塊記錄（script-block logging）
- 除了監控下載事件，也應檢查瀏覽器活動、RunMRU 登錄機碼、WScript 與 PowerShell 子行程，以及排程工作，主動尋找可疑跡象
微軟也提醒，CAPTCHA 不應要求使用者執行程式碼。使用者切勿將驗證提示中的指令貼到「執行」對話框、終端機或 PowerShell 中，並應將此類要求視為可能的初始入侵手法。
本文轉載自 TheHackerNews。