黑客把4种木马塞进1次点击：你的复制粘贴正在变成定时炸弹

3月24日，一个被追踪为SmartApeSG的攻击团伙完成了一次教科书级的"套餐式投毒"——他们在同一台受害电脑上，用一次用户误操作，接连部署了4种完全不同的恶意软件。从点击到最后一枚木马就位，全程不到3小时。

这不是传统的"下载一个病毒"那么简单。攻击者像组装乐高一样，把远程控制工具、键盘记录器、凭证窃取器层层叠加，最终目标是让受害机器变成一座对攻击者完全透明的玻璃房。

一次点击，四重陷阱

整个攻击链条的起点，是一个你每天都在做的动作：复制粘贴。

用户访问被攻陷的正规网站时，页面会在后台静默加载恶意脚本，随后弹出一个伪装成CAPTCHA验证的页面。这个假验证页会诱导用户执行一组特定操作——选中一段"验证代码"，复制，然后按Win+R打开运行窗口粘贴执行。

这段被复制的"代码"实际上是经过混淆的PowerShell命令，一旦执行，感染链条便自动启动，且全程没有明显的弹窗或警告。

Internet Storm Center的研究人员记录了整个时间线：17:12 UTC，用户执行ClickFix脚本；17:13，Remcos RAT（远程访问木马）流量首次出现；17:17，NetSupport RAT上线；18:17，StealC凭证窃取器开始向外传输数据；19:35，第四枚木马Sectop RAT完成部署。

四波攻击间隔最短4分钟，最长78分钟。这种阶梯式投递给安全团队留下的反应窗口极其狭窄——等你发现第一枚木马时，后面三枚可能已经在排队入场。

为什么安全软件没拦住？

SmartApeSG的狡猾之处在于，它把恶意代码藏进了"看起来正常"的包裹里。

Remcos、StealC和Sectop三款木马的安装包都采用了DLL侧加载（DLL side-loading）技术：攻击者把恶意动态链接库文件和正版可执行文件打包在一起。当用户运行那个看似无害的主程序时，它会"顺便"把旁边的恶意DLL载入内存。

由于主程序本身是干净的、有数字签名的正规软件，很多基于文件哈希和签名检测的安全工具会直接放行。这就像把违禁品塞进合法快递箱——扫描仪看到的是合规外包装，里面装了什么要靠更深层的行为监控才能发现。

NetSupport RAT走得更远。它本身就是一款真实存在的远程支持软件，有正规官网、有企业客户、有完整的产品文档。攻击者只是偷来了它的安装包，重新配置指向自己的控制服务器。从文件特征看，这完全是一个"合法程序"，传统的黑名单机制对它几乎无效。

四款工具分工明确：Remcos和Sectop提供深度远程控制，NetSupport充当备用通道，StealC专门收割浏览器保存的密码和Cookie。一套组合拳下来，攻击者既能实时监视屏幕、记录键盘输入，也能在目标机器上长期潜伏，随时回来取走新产生的敏感数据。

ClickFix为什么屡试不爽？

这种攻击手法的核心不是技术漏洞，而是对人的精准操控。

CAPTCHA验证本身就是互联网用户最熟悉的摩擦之一——所有人都习惯了"证明你是人类"的繁琐步骤。攻击者把恶意指令包装成验证流程的一部分，利用的是用户对这一交互模式的肌肉记忆和信任惯性。

更微妙的是"让用户亲手执行"这个设计。当受害者自己按下Ctrl+C、Win+R、Ctrl+V、回车时，恶意代码是以用户身份、在用户会话中运行的，天然绕过了很多需要提权或异常行为触发才能拦截的防护机制。安全日志里留下的只是一条"用户启动了某程序"的记录，和正常办公行为难以区分。

SmartApeSG并非孤例。该团伙还被追踪为ZPHP和HANEYMANEY，长期活跃于利用被攻陷网站进行水坑攻击（watering hole attack）的赛道。他们的技术栈不算顶尖，但对人性弱点的理解相当老练。

企业安全团队目前能做的是收紧PowerShell执行策略、监控异常的出站连接、以及对"运行窗口+网络活动"的组合行为建立告警。但对普通用户而言，最实用的防御可能是一条反直觉的建议：当某个网站要求你复制代码到运行窗口时，无论它看起来多像正规验证，都值得停下来多问一句——这个步骤真的必要吗？

研究人员在报告末尾留下了一个未解的悬念：四款木马中，StealC和Sectop的控制服务器在分析时仍处于活跃状态，而攻击者似乎还在持续更新他们的假CAPTCHA页面模板。下一次迭代，这个复制粘贴的陷阱会变成什么模样？