T1204.004: 恶意复制粘贴

摘要

攻击者可能依赖用户复制和粘贴代码来获得执行。用户可能受到社会工程影响，被诱导将代码直接复制粘贴到[命令和脚本解释器](https://attack.mitre.org/techniques/T1059)中。其中一种策略是 “ClickFix”，攻击者向用户呈现看似有帮助的解决方案——例如修复错误或完成 CAPTCHA 的提示——实则指示用户复制并粘贴恶意代码。 恶意网站（例如[路过式入侵](https://attack.mitre.org/techniques/T1189)中使用的网站）可能呈现伪造的错误消息或 CAPTCHA 提示，指示用户打开终端或 Windows 运行对话框并执行任意命令。这些命令可能使用编码或其他技术进行混淆以隐藏恶意意图。一旦执行，攻击者通常能够在受害者机器上建立立足点。(Citation: CloudSEK Lumma Stealer 2024)(Citation: Sekoia ClickFake 2025)(Citation: Reliaquest CAPTCHA 2024)(Citation: AhnLab LummaC2 2025) 攻击者还可能为此目的利用网络钓鱼电子邮件。当用户尝试打开附件时，他们可能看到伪造的错误，并被提供一条恶意命令作为解决方案进行粘贴，这与 “ClickFix” 策略一致。(Citation: Proofpoint ClickFix 2024)(Citation: AhnLab Malicioys Copy Paste 2024) 诱骗用户自己执行命令可能有助于绕过电子邮件过滤、浏览器沙箱或其他旨在保护用户免受恶意下载文件侵害的缓解措施。