近年来，WordPress作为全球最流行的内容管理系统，因其开源、灵活及丰富的插件生态，广泛应用于各类网站建设。然而，正因其普及度极高，同时也成为攻击者重点盯防的目标。2025年8月，来自以色列国家数字机构的研究团队首次揭露了一场名为ShadowCaptcha的大规模网络攻击行动，该行动通过入侵超过百个WordPress网站，利用恶意JavaScript代码引导访客访问伪造的验证码页面，从而诱导用户安装勒索软件、信息窃取工具及加密货币挖矿程序。ShadowCaptcha攻击手法融合社交工程技术、操作系统自带工具及多阶段恶意负载的执行，显示出极高的隐蔽性和破坏力。攻击者首先通过各种已知的WordPress插件漏洞、或利用盗取的管理员账户，成功获得目标网站的控制权。在被植入恶意JavaScript代码后，网站访客访问时即被自动重定向到伪装成Google或Cloudflare的验证码页面，欺骗用户相信他们需完成验证码验证以继续访问。
该验证码页面实际源自“ClickFix”社会工程技巧，攻击者通过此页面诱使用户执行特定操作，如打开Windows运行对话框或另存网页为HTML应用程序（HTA），以启动后续恶意攻击流程。攻击流程分为两个主要分支：一是利用Windows自带的msiexec.exe工具，通过MSI安装程序部署名为Lumma和Rhadamanthys的信息窃取软件，这些恶意软件能够窃取用户的凭证信息及浏览器数据；二是通过保存的HTA文件启动Epsilon Red勒索软件，直接威胁用户数据安全。令人震惊的是，ClickFix页面会自动执行高度混淆的JavaScript代码，借助navigator.clipboard.writeText方法，将恶意命令复制到用户剪贴板，诱导用户无意识地粘贴执行。此类攻击不仅依赖于用户操作失误，更巧妙利用了浏览器调试器反检测技术与DLL侧载策略，让恶意代码在合法进程掩护下偷偷执行，极大增加了检测难度和防御门槛。除勒索软件和信息窃取木马之外，ShadowCaptcha还被观察到部署基于XMRig的加密货币挖矿器。挖矿程序的配置参数居然不是硬编码在二进制文件中，而是通过实时从Pastebin等公共平台拉取配置，从而为攻击者提供实时调整挖矿策略的灵活性。
更重要的是，为提升挖矿效率，攻击者还投放了名为WinRing0x64.sys的漏洞驱动，进阶获得内核级访问权限，直接与CPU寄存器交互，这种深度权限大大增强了挖矿性能，加剧受害者系统资源耗损和潜在系统稳定性风险。统计显示，受感染的WordPress网站覆盖澳大利亚、巴西、意大利、加拿大、哥伦比亚和以色列等国家，涉及科技、酒店、法律金融、医疗健康和房地产等多个行业，范围广泛且影响深远。目前尚未完全确认ShadowCaptcha入侵的具体途径，但研究人员对攻击者混合利用已知插件漏洞以及密码泄露风险存在中等程度的信心。这意味着网站管理员若忽视插件更新或未采取强密码及多因素认证，极易成为攻击目标。应对ShadowCaptcha威胁，企业与个人首先需要强化用户安全意识教育，尤其是针对ClickFix类社会工程手法的识别和防范。其次，务必保持WordPress及其插件的及时更新，减少已知漏洞的攻击面。
采用多因素认证有效阻止非法登录，特别是管理员账户的访问安全保障。网络分段策略也是遏制攻击者横向移动的重要手段，一旦某一区域受侵害，能阻断恶意代码扩散及数据泄露风险。值得注意的是，ShadowCaptcha的出现同时暴露了黑客组织在营销和技术方面的高度专业化。例如，Help TDS作为一个恶意流量分发系统，从2017年开始活跃，不断提供精细化的PHP代码模板和恶意WordPress插件，使得攻击者能够轻松植入恶意重定向功能。Help TDS开发的“woocommerce_inputs”插件伪装成官方WooCommerce插件，巧妙避开检测，被安装到超过一万多个网站。该插件不仅实现流量变现和重定向，还具备凭证窃取、地理位置过滤和高级反侦查能力，显示黑产服务转型为成熟的“恶意即服务”模式。
攻击集团通过编写高度模块化、更新频繁的恶意插件，降低了网络犯罪的入门门槛，使初级攻击者也能获取全方位的攻击和变现工具，进而对全球WordPress生态构成持续威胁。企业应当定期对网站安全进行全面审计，不仅检查核心程序版本，还需核实各类插件来源和完整性。如发现未知或伪装插件，应立即隔离并深入溯源网络攻击痕迹。利用专业安全扫描工具结合行为分析，能有效发现潜藏的恶意重定向脚本及感染痕迹。未来，面对类似ShadowCaptcha这类结合社交工程和技术手段的综合攻势，用户端和服务端均需提升防御水平。浏览器开发商可以增加对HTA文件及自动剪贴板操作的安全限制，防止恶意代码被轻易执行。
同时，加强对操作系统的恶意进程检测，对动态加载DLL及内核驱动的行为需加大审查力度。总体来讲，ShadowCaptcha代表了网络攻击向更加隐蔽、复杂方向演进的典型案例。它将传统的凭证泄露、信息窃取与现代加密货币矿工和勒索软件的威胁融合，形成一个多层次、多目标的网络战场。无论是大型企业还是中小型网站管理员，都必须增强风险意识，积极部署多重防护机制，才能在日益严峻的网络安全环境中保持安全与稳定。通过定期安全培训、快速修补漏洞和多因素验证，结合先进威胁检测技术，我们能够有效阻遏ShadowCaptcha这类攻击，保障数字资产与隐私信息的安全。
