ClickFix 页面使用了假冒的 Windows 安全验证提示
原创
Z
Z
威胁情报Z分析
2026年10月11日 14:16
广东
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
该页面将一个 mshta 命令复制到剪贴板，该命令从 MediaFire 下载负载，将其保存为 %TEMP%\verification.exe，并执行它。
观察到负载尝试使用 /sendDocument 和 Everest/1.0 用户代理将数据外泄到 Telegram。
IOCs
ClickFix: hxxps://acmaturaky[.]czPayload: e5233db1 (1).exe51ad155fbf524318fb773d2334b0975c90e1cbbcaae1c58c98f0353fa530143e
Payload host
hxxps://www[.]mediafire[.]com/file/yldoq9125h0znvl/e5233db1+(1)[.]exe/file?dkey=id39ilo7cpx&r=40Dropped as: %TEMP%\\verification.exeTelegram C2: api[.]telegram[.]orgBot ID: 8661764894Chat ID: -1003967691004Method: sendDocumentUser-Agent: Everest/1.0
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论