3月24日，一臺(tái)普通Windows電腦在17分鐘內(nèi)連續(xù)中招4次。不是用戶反復(fù)點(diǎn)擊，而是一次"假驗(yàn)證碼"操作引發(fā)的連鎖反應(yīng)——這就是安全研究者最新追蹤到的SmartApeSG攻擊波。

Internet Storm Center當(dāng)天記錄的完整時(shí)間線顯示：17:12，Remcos RAT上線；17:16，NetSupport RAT跟進(jìn)；18:17，StealC開(kāi)始外傳數(shù)據(jù)；19:35，Sectop RAT完成部署。四個(gè)獨(dú)立惡意程序，共享同一個(gè)入口。

這種"堆疊式投遞"正在改變防守方的計(jì)算方式——以前阻斷一次感染就行，現(xiàn)在得在17分鐘內(nèi)連攔四道。

假驗(yàn)證碼的真陷阱：ClickFix怎么讓用戶自己動(dòng)手

SmartApeSG的入口設(shè)計(jì)得像極了日常辦公場(chǎng)景。攻擊者先黑掉正規(guī)網(wǎng)站，注入一段靜默腳本。訪客毫無(wú)感知，頁(yè)面已在后臺(tái)完成跳轉(zhuǎn)布局。

接下來(lái)出現(xiàn)的"人機(jī)驗(yàn)證"頁(yè)面，視覺(jué)風(fēng)格和真正的CAPTCHA幾乎一致。但這里的交互邏輯完全不同：頁(yè)面提示用戶"按Win+R，粘貼剪貼板內(nèi)容，回車運(yùn)行"。

「這相當(dāng)于讓受害者自己把鑰匙交給攻擊者?！拱踩芯空咴趫?bào)告中寫道。用戶復(fù)制的是一段經(jīng)過(guò)混淆的PowerShell或MSHTA腳本，粘貼到運(yùn)行對(duì)話框后，感染鏈正式啟動(dòng)。

整個(gè)過(guò)程沒(méi)有彈窗警告，沒(méi)有殺毒軟件攔截提示——因?yàn)槊钍怯脩粲H手輸入的。ClickFix（點(diǎn)擊修復(fù)）這個(gè)命名本身就帶著諷刺：用戶以為在"修復(fù)"訪問(wèn)問(wèn)題，實(shí)際在破壞自己的系統(tǒng)。

四款工具分工明確：從遠(yuǎn)控到竊密的完整鏈條

SmartApeSG這次投遞的四個(gè)載荷各有專攻，組合起來(lái)覆蓋攻擊者需要的全部能力。

Remcos RAT和Sectop RAT（又稱ArechClient2）屬于典型的遠(yuǎn)程控制木馬，支持鍵盤記錄、屏幕監(jiān)控、文件操作。NetSupport RAT的情況更微妙——它本身是正規(guī)遠(yuǎn)程支持軟件，但被攻擊者重新配置后，成了隱蔽的后門通道。

StealC則專注憑證收割：瀏覽器保存的密碼、Cookie、加密貨幣錢包、甚至即時(shí)通訊軟件的登錄狀態(tài)，都是它的目標(biāo)。

staggered deployment（分批部署）的時(shí)間差設(shè)計(jì)很有講究。如果安全軟件在第一階段就觸發(fā)告警，后續(xù)三個(gè)載荷可能還沒(méi)落地；但如果防守方反應(yīng)稍慢，四小時(shí)后就得面對(duì)四個(gè)并行運(yùn)行的威脅。

更隱蔽的是載荷的"借殼"手法。Remcos、StealC和Sectop都用了DLL側(cè)加載：把惡意DLL和可信的合法可執(zhí)行文件打包在一起，讓安全工具看到熟悉的簽名就放行。

NetSupport RAT連這招都省了——它直接以合法軟件身份運(yùn)行，配置文件中藏著惡意指令。

同一批攻擊者的三個(gè)名字：追蹤標(biāo)簽背后的混亂

安全社區(qū)給這組活動(dòng)貼了多個(gè)標(biāo)簽：SmartApeSG、ZPHP、HANEYMANEY。名字不同，但手法高度一致——都是先攻陷網(wǎng)站，再掛ClickFix假驗(yàn)證碼，最后投遞多載荷。

這種命名碎片化在威脅情報(bào)領(lǐng)域很常見(jiàn)。不同廠商獨(dú)立發(fā)現(xiàn)、各自命名，后期才確認(rèn)關(guān)聯(lián)。對(duì)防守方來(lái)說(shuō)，意味著需要交叉比對(duì)多個(gè)情報(bào)源，才能拼出完整圖景。

這次3月24日的樣本之所以被重點(diǎn)記錄，在于它的"密度"——單一會(huì)話、四款惡意軟件、明確的時(shí)間戳。研究者得以用分鐘級(jí)精度還原攻擊流程，這在日常威脅狩獵中并不多見(jiàn)。

攻擊者顯然在測(cè)試效率極限：一個(gè)用戶失誤，能否在盡可能短的時(shí)間內(nèi)完成最大化的工具部署？從結(jié)果看，答案是肯定的。

防守窗口被壓縮：從"攔截"到"搶時(shí)間"

傳統(tǒng)安全模型的假設(shè)是：感染發(fā)生后，有充足時(shí)間檢測(cè)、分析、響應(yīng)。SmartApeSG的時(shí)間線把這個(gè)假設(shè)擊碎了。

17分鐘，四款工具全部就位。如果企業(yè)依賴端點(diǎn)檢測(cè)的批量掃描或人工研判，這個(gè)速度根本跟不上。更麻煩的是載荷的多樣性——針對(duì)Remcos的IOC（入侵指標(biāo)）可能完全識(shí)別不出NetSupport的異常連接。

ClickFix本身也在進(jìn)化。早期的版本還會(huì)用明顯的語(yǔ)法錯(cuò)誤、粗糙的頁(yè)面設(shè)計(jì)暴露馬腳；現(xiàn)在的假驗(yàn)證碼頁(yè)面，從字體到交互邏輯都高度仿真。用戶在沒(méi)有安全培訓(xùn)的情況下，很難憑直覺(jué)識(shí)別。

企業(yè)端的緩解措施相對(duì)明確：組策略限制運(yùn)行對(duì)話框的使用、剪貼板監(jiān)控識(shí)別異常腳本內(nèi)容、用戶培訓(xùn)強(qiáng)調(diào)"永遠(yuǎn)不要粘貼不明來(lái)源的代碼"。但落地執(zhí)行始終是個(gè)老大難問(wèn)題。

個(gè)人用戶的處境更被動(dòng)。這次攻擊波針對(duì)的是普通網(wǎng)站訪客，沒(méi)有特定行業(yè)指向。任何人點(diǎn)擊了被黑掉的網(wǎng)站，都可能成為下一個(gè)17分鐘四連中的數(shù)據(jù)點(diǎn)。

研究者最后記錄的細(xì)節(jié)是：Sectop RAT在19:35完成部署后，持續(xù)運(yùn)行了數(shù)小時(shí)才被發(fā)現(xiàn)。這段時(shí)間里，攻擊者已經(jīng)通過(guò)四個(gè)并行通道，拿到了系統(tǒng)深處的訪問(wèn)權(quán)限。