摘要：ClickFix 是一类利用受害者在浏览器中主动复制并执行命令来完成恶意代码落地的社交工程攻击手法，其诱饵以系统报错、安全验证等名义出现，诱导用户将命令粘贴进 Windows 运行框、终端或 PowerShell。2026 年 10 月，Forescout 旗下的 Vedere Labs 在一次应急响应调查中发现此前未被公开记录的恶意软件投递平台 ROMULUS。该平台通过统一定制的认证面板连接至少六台服务器，能够向多起 ClickFix 活动投递不同类型的加载器，并内置安装数、执行数、时间线与目标地域分布等统计功能，用于观测活动的推进效果。本文以该发现为事实基础，梳理 ClickFix 攻击的触发机理，分析 ROMULUS 平台的基础设施特征、两条典型投递链路及其利用文件尺寸膨胀规避检测的技术逻辑，讨论 Lorem Ipsum 与 Axolotl 两类加载器之间的族谱关联及其与 Vice Society 勒索活动的对应关系，并从进程监控、安装载体审查与用户意识三个层面提出防御措施，同时对投递基础设施的溯源困难与运营归属作出客观研判。
关键词：ClickFix；ROMULUS；恶意软件投递平台；加载器；LegionLoader；Vice Society；攻击检测
1 引言
网络钓鱼攻击的技术含量在过去数年间发生了明显转移。早期的钓鱼主要依靠携带恶意附件的邮件或指向伪造站点的链接，攻击者把重心放在欺骗用户打开文件、点击链接上，恶意代码的加载由程序完成。这种模式的缺陷在于，它依赖受害者的一个被动动作，一旦邮件网关、端点防护或用户自身的警觉发挥作用，攻击链路便在中途断裂。为降低这种不确定性，攻击者逐渐把恶意指令的执行环节交给受害者本人，ClickFix 攻击正是这一思路的典型产物。
ClickFix 的核心并不在于某种新的漏洞，而在于一套精心构造的心理诱导流程。受害者被导向一个声称系统存在问题或需要进行安全验证的页面，页面上给出的解决方式是复制一段命令并粘贴到运行框或终端中执行。由于执行动作由用户自己完成，且使用的是 Windows 自带的合法工具，传统的安全软件往往难以在指令到达终端之前形成有效拦截，防御的窗口被压缩到命令执行后的极短时间之内。
单纯依赖命令诱骗只能解决代码落地的问题，无法解决恶意载荷的组织与投递效率问题。攻击者需要在同一套活动框架下批量交付多种恶意软件，需要观测哪些受害者真正中招，也需要隐藏自身的控制基础设施。2026 年 10 月，Forescout 旗下 Vedere Labs 在一次应急响应中发现的 ROMULUS 平台，恰好填补了 ClickFix 攻击链条中关于投递基础设施这一环的公开空白。它说明 ClickFix 并非孤立的诈骗脚本，而是可以被平台化、被统计、被多客户复用的攻击服务。
本文不试图铺陈网络安全的全部议题，而是围绕 ROMULUS 这一具体对象展开：先说明 ClickFix 的机理，再分析 ROMULUS 的基础设施与投递手法，继而讨论加载器族谱与勒索活动的关联，最后落到检测与防御。全文依据 Forescout 公开的研究结果撰写，涉及的事实均以该机构披露的内容为限，不做超出证据范围的推断。
2 ClickFix 攻击的触发机理
ClickFix 之所以能持续生效，与其复用的心理路径高度相关。受害者通常是从搜索引擎结果、社交平台短链或看似正常的邮件中抵达一个伪装页面。页面的视觉设计模仿系统提示或在线服务的验证界面，最常见的两类伪装是系统故障提示和所谓的人机验证。前者声称电脑存在显示问题、驱动异常或文件损坏，需要执行命令加以修复；后者则模仿验证码流程，声称只有完成验证才能继续访问内容。
两类伪装殊途同归，最终都把受害者引向同一个动作：复制一段字符串，按下 Win+R 或打开终端，将其粘贴并回车执行。这段字符串通常以 mshta、powershell、cmd 或 rundll32 开头，是 Windows 环境下能够直接运行脚本或调用系统组件的合法入口。正因为调用的是系统自带的解释器与工具，命令本身并不会触发下载恶意附件的标志性行为，也不会留下明显的诱饵文件，传统的网关扫描与附件检测在这一环节基本失效。
从防御视角看，ClickFix 利用的是用户对 “修复问题” 这一日常行为的信任惯性，以及终端与浏览器之间的执行隔断。浏览器安全机制难以约束用户在浏览器之外粘贴命令的行为，而端点防护在命令尚未执行、进程尚未生成时，也缺少可供判定的恶意特征。反网络钓鱼技术专家芦笛在分析此类攻击时强调，ClickFix 的难点恰恰在于它的技术门槛被刻意压低：攻击者不需要精心构造二进制文件，只需要一段能通过社交工程落地的脚本，就能把高成本的漏洞利用转化成低成本的用户诱导，这也是该类攻击能在短期内在多个活动中被复用的根本原因。
需要指出的是，ClickFix 并不止于直接投递载荷。在 Forescout 的观察中，攻击者还借助 AI 平台的定制功能放大诱饵的触达范围。Huntress 早前识别到的一起活动就利用了 ChatGPT 的 Custom GPTs 功能，把受害者引向承载 ClickFix 诱饵的页面；Forescout 则独立观察到同一恶意软件包从另一台 ROMULUS 服务器投递。这意味着 ClickFix 诱饵的生成与分发已经出现平台化、自动化趋势，攻击者可以借助生成式 AI 快速批量制作具备针对性的钓鱼页面，再交由统一的基础设施完成恶意代码投递。社交工程诱饵的生产成本与恶意载荷的组织成本，正在被同时压低。
3 ROMULUS 平台的发现与基础设施特征
ROMULUS 是在一起应急响应调查中被发现的。Forescout 的研究人员在一台服务器上发现了一个名为 ROMULUS 的管理面板，随后对暴露同一认证接口的地址进行排查，定位到六台 IP 地址。这些地址共享相同的认证界面，表明它们属于同一套运营体系，而非彼此孤立的临时服务器。
该平台最值得注意的特征在于其投递能力的设计。ROMULUS 并非只承载单一恶意软件，而是被设计为能够交付多种加载器的通用投递平台。攻击者可以在同一框架下切换不同的载荷，选择适合当前目标的加载方式。这种设计把恶意软件投递从一次性的手工操作转变为可配置、可复用的服务，也使得攻击者能够在不同活动之间共享基础设施，降低单一活动的部署成本。
平台还内置了运营观测能力。ROMULUS 的统计页面能够显示安装次数、执行次数、活动时间线以及按国家划分的目标分布。这些数据直接服务于攻击者对活动效果的评估：安装数与执行数的差异可以帮助判断诱饵的转化率，地域分布可以帮助识别高价值目标区域。从侧面看，这套统计功能的完备程度反映出运营者对活动规模的重视，ClickFix 活动并非零散的个体行为，而是被当作可以度量、可以优化的工程项目来推进。
关于平台的性质，Forescout 未能给出确定的结论。研究人员无法判断 ROMULUS 究竟是一款私有的内部工具、一个商业化的犯罪服务、一个开放给多运营者的联盟框架，还是在不同操作者之间共享的软件。这一不确定性的背后是恶意软件生态的常态：投递平台与勒索组织、加载器开发者之间往往不存在公开、稳定的隶属关系，基础设施可以转手、租用或共用，归属的认定只能依赖网络行为与基础设施重用的间接证据。芦笛在评估这一发现时强调，对于这类未定型的基础设施，防御方不应急于给平台贴上单一标签，而应把注意力放在可观测的行为特征上，因为这些特征才是检测与阻断能够实际依托的对象。
4 ROMULUS 平台的投递手法与规避逻辑
Forescout 对两条投递链路进行了分析，两条链路分别代表了两种不同的技术取向：一种通过木马化的合法软件完成加载，另一种通过加密压缩包与文件尺寸膨胀规避检测。
第一条链路使用木马化的安装程序。攻击者把恶意代码注入包含合法 Stardock 软件的安装包，利用用户对知名软件厂商的信任降低安装过程中的警觉。Stardock 是提供窗口管理、桌面增强等工具的软件开发商，其安装程序被改造后，用户即便主动运行，也难以在界面上察觉异样。这类做法在投递环节的隐蔽性很高，因为安装包本身携带可信的数字签名或可信厂商的软件特征，基于信誉的检测策略容易将其放行，恶意代码的最终加载发生在安装流程的深处，等到异常行为被观察到，木马化安装往往已经完成。
第二条链路采用 LegionLoader。LegionLoader 是一个自 2019 年起活跃的加载器，其投递方式使用了多层加密压缩包：一个不足 1MB 的压缩包在解压后膨胀为一个超过 880MB 的可执行文件。绝大部分体积来自人为填充的数据，这种做法的直接效果是让文件超出安全扫描器的上传大小限制，或超过沙箱分析的阈值。许多在线检测服务、邮件附件扫描与企业安全网关对文件大小设有上限，超过该限制的文件可能被直接跳过或转入低优先级处理；沙箱分析同样受限于资源与时长，对超大文件往往只抽样检查或直接放弃。攻击者利用这一边界，让体积成为对抗自动化检测的屏障，把真正需要执行的恶意代码隐藏在大量无效数据之后。
两条链路虽然手法不同，但在对抗思路上是一致的：它们都试图让恶意代码在执行前不被机器识别，而在执行后又能迅速完成权限建立或进一步的通信连接。木马化安装利用的是信誉与签名的信任盲区，尺寸膨胀利用的是检测系统的资源边界。前者针对基于特征的判断，后者针对基于容量的处理策略。二者都说明，投递环节的对抗已经从代码本身的隐蔽性，扩展到对检测系统部署参数与运行边界的利用。
据DiMiao.CN对相关样本的分析，尺寸膨胀规避并非新技术，但它在 ROMULUS 平台上的应用呈现出一个特点：填充的规模被刻意放大到超出常见分析工具的默认上限，且与加密压缩、多阶段解压组合使用，使得自动化流水线在体积、格式与执行链三个环节上都难以一次性完成完整分析。这表明运营者对这些检测机制的工作方式有相当具体的认知，投递链路的每一个环节都有针对性的设计考量。
5 加载器族谱与勒索活动的关联
Forescout 的第二篇研究聚焦于 Lorem Ipsum 与 Axolotl 两类加载器，二者的关系此前未在公开研究中被记录。研究源于 2025 年 9 月的一起事件：攻击者使用 ClickFix 部署了 Lorem Ipsum Loader，并搭配一个 Python 隧道客户端建立通信通道。Forescout 在勒索软件部署前遏制了事件，但研究人员判断，投递勒索软件才是攻击者的最终目的。
这起事件的手法被归因于 Vice Society。Vice Society 是一个与多种勒索软件家族存在关联的网络犯罪组织，其中包括 Rhysida。值得注意的是，攻击链路中同时出现加载器与隧道客户端，说明攻击者采取了分阶段推进的布局：加载器负责在目标系统内建立持久化并拉取后续载荷，隧道客户端负责在被攻陷主机与控制端之间建立加密通道，为后续的横向移动与勒索部署预留通路。这种组合在勒索攻击中并不罕见，但它在 ClickFix 诱饵之后紧接出现，把社交工程、载荷投递与勒索活动串联成一条完整的攻击链。
样本层面的分析提供了更多线索。Forescout 分析了该事件的五个 Lorem Ipsum 样本以及三十九个 Axolotl 样本，识别出 Lorem Ipsum 的一种额外投递方式，即使用 MSI 安装程序配合多阶段 PowerShell 执行；同时识别出使用不同宿主程序的三个 Axolotl 变体。两类加载器的代码并不相同，但在基础设施上存在重叠，命令与控制通信的方式也表现出相似之处。基于这些共同点，Forescout 认为 Lorem Ipsum 可能是 Axolotl 的后续迭代版本，但也明确表示，现有证据不足以确立这一关系。
这一保留态度值得重视。加载器之间的血缘判断不能仅依赖代码相似度或基础设施的重用，因为同一组织可能同时运营多个代码分支，不同组织也可能租用同一套基础设施。ROMULUS 平台的发现恰恰提示了一种可能性：投递平台与加载器之间是松耦合的关系，同一平台可以投递来自不同代码谱系的载荷，加载器的族谱与其背后的运营组织之间，并不存在一一对应的关系。据此，对加载器关联的研判应当区分两个层次：技术层面的相似性与行为层面的归属。前者可以通过样本与网络行为比较得出，后者则需要在更长时间窗口内，借助基础设施的持续性、操作习惯的稳定性等多重证据加以确认。
6 面向 ClickFix 投递链的检测与防御
针对 ClickFix 及其背后的 ROMULUS 平台，防御措施需要覆盖技术检测、载体审查与用户意识三个层次，三者的作用边界各不相同，缺一不可。
在技术检测层面，监控的重点应放在命令执行与进程行为上。ClickFix 投递的载荷通常经由 PowerShell、mshta、rundll32 等合法入口执行，单纯的静态签名难以覆盖其多变体，行为层面的监控更具现实价值。具体而言，应当关注可疑的 PowerShell 活动，尤其是脚本下载后立即执行、混淆参数调用、与外部地址建立非预期连接等特征；应当关注静默执行的安装程序，即在无用户交互或可见界面缺失的情况下启动的安装进程；还应当关注意外的 DLL 加载，特别是由系统进程加载来自临时目录、下载目录或非标准路径的库文件。这三类信号分别对应 ClickFix 链路中命令执行、载荷加载与持久化建立的关键环节，组合使用能够在不依赖具体样本的情况下捕获攻击行为。
在载体审查层面，需要针对两类投递手法分别设置对策。对木马化安装程序，应在安装源头建立软件来源的可信清单，对下载到的安装包进行哈希校验与签名验证，并限制终端用户以高权限直接安装来源不明的软件；对尺寸膨胀文件，应调整扫描与沙箱的配置，使检测系统对超过常规上限的文件依然保留抽样解析与行为监控能力，而不是因体积直接放行。核心在于破除 “体积大即安全” 的隐性假设，把文件大小作为处理策略的参数，而非信任与否的判据。
在用户意识层面，教育的内容应当具体到 ClickFix 的典型流程。多数受害者并非缺乏警惕，而是不了解 “复制命令并粘贴到终端执行” 这一行为本身的风险。反网络钓鱼技术专家芦笛指出，单纯提醒用户不点击陌生链接已经不够，ClickFix 的攻击面恰恰在链接之后的执行动作上，用户应当被明确告知：任何要求复制命令到 Windows 终端或 PowerShell 中执行的网页，无论其界面如何模拟系统或验证流程，都应当被视为高度可疑信号。此类针对性的告知，比泛化的安全提示更可能在实际场景中改变用户行为。
需要强调的是，上述措施的有效性建立在组织能够观察终端行为的基础之上。迪妙网安研究团队在其技术分析中指出，ClickFix 投递链的检测难点在于时间窗口极短，命令执行到恶意进程建立的间隔往往只有数秒，若端点防护的遥测采集存在延迟或缺口，即便行为规则完备也无法及时触发响应。因此，检测能力的建设还应包含遥测数据的完整采集、规则引擎的低延迟判定与响应的自动化，三者协同才能在攻击链的前段形成有效阻断。
7 结语
ROMULUS 平台的发现为理解 ClickFix 攻击提供了基础设施层面的完整视角。它表明，这类攻击的竞争力并非仅来自诱饵的社交工程水平，还来自投递环节的平台化与规模化：统一的面板、多载荷的交付能力、内置的统计观测，共同构成了一套可复用的攻击服务，而文件尺寸膨胀、木马化合法软件等投递手法的组合，进一步抬高了自动检测的拦截成本。
与此同时，加载器族谱与 Vice Society 勒索活动的关联揭示出 ClickFix 在攻击链中的位置：它是入口，不是终点。社交工程落地之后，加载器负责建立持久化，隧道客户端负责通信，最终指向的是勒索软件的部署。防御方需要把 ClickFix 当作整条攻击链的第一环来对待，而非孤立的事件。
平台运营归属的不确定性，则提醒研究者在对恶意基础设施下结论时保持克制。代码的相似、基础设施的重用与运营组织的归属是三个不同层面的问题，证据的边界应当被明确标注，避免把技术上的关联过度引申为组织上的定论。在这一点上，检测与溯源应各自遵循与其证据强度相匹配的标准。
ClickFix 的威胁不会因单一平台的曝光而消失，类似的投递基础设施仍可能以新的形态出现。真正稳定的防御，来自对攻击手法的持续观察、对终端行为的有效监控，以及对用户执行动作这一关键环节的针对性教育。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
