开发文档中的占位域名现在被用于发动 ClickFix 攻击

"third-party.com" 域名——开发文档和代码示例中常用的占位符——现在正在提供一个假冒 Cloudflare 验证页面，试图诱骗 Windows 用户执行 PowerShell 命令。

third-party.com 域名长期以来被用于文档中，用来表示任意外部网站、API 或服务，类似于开发者使用 example.com 等域名的方式。

然而，与 IANA 专门为文档用途保留的 example.com、example.net 和 example.org 不同，third-party.com 是一个正常注册的域名，其内容可由所有者控制。

这一差异现在成为一个安全问题，因为该域名开始提供一场冒充 Cloudflare 安全检查的 ClickFix 攻击。

Manifold Security 最先报告了该域名的恶意使用，是在检查引用该域名的公开 AI 技能和 MCP 服务器文档时发现它的。

BleepingComputer 此后证实，该页面显示一个假冒的 Cloudflare "Performing security verification" CAPTCHA 屏幕，其中包含一个 "Verify you are human" 提示。

用户点击验证框后，该站点会将一条恶意 PowerShell 命令复制到 Windows 剪贴板，然后指示用户按 Windows 键 + R，用 Ctrl+V 粘贴剪贴板内容，再按 Enter。

当 PowerShell 命令运行时，它会重构载荷 URL elxxvvx[.]xyz/f，从该地址下载一个 PowerShell 脚本，然后执行它。

这种技术通常被称为 ClickFix，攻击者利用虚假错误、CAPTCHA 提示或验证页面来说服受害者手动执行复制到其剪贴板的命令。

ClickFix 攻击已成为分发恶意软件的流行方式，因为恶意软件是通过用户执行的命令安装的，而非从网站下载或作为电子邮件附件。在某些情况下，这可能使恶意软件在安装时绕过传统的杀毒软件。

在 BleepingComputer 测试时，elxxvvx[.]xyz 已不再解析，导致当前的攻击链断裂。

不过，一份 2026 年 5 月 2 日的 Hybrid Analysis 报告显示，该站点分发了一个 PowerShell 脚本，配置为从以下地址下载一个 134MB 的 zip 压缩包：

https://elxxvvx[.]xyz/update2.zip

该 PowerShell 脚本将压缩包保存为 update26.zip，解压后，随后试图启动一个名为 draw.io.exe 的可执行文件。

由于 update2.zip 压缩包已不可用，BleepingComputer 无法确定该载荷的作用。

Manifold 的 Ax Sharma 表示，该攻击专门针对 Windows 用户，Linux 和 Mac 访客会看到操作系统不受支持的错误信息。

"macOS 或 Linux 的 User-Agent 什么都得不到。它得到一个几乎相同的页面，但止步于一个错误：'macOS is not supported. This website requires a Windows PC to access.'（不支持 macOS。本网站需要 Windows 电脑才能访问。）没有剪贴板污染，没有载荷，"Sharma 解释道。

"攻击者只对其攻击有效的目标展示武器，这正是为什么随意的浏览，或来自 Linux 数据中心 IP 的扫描器，看不出任何问题。"

一个未被保留的占位符

这次攻击更有趣的一面是被选来托管 ClickFix 页面的 third-party.com 域名。

公开的开发文档多年来一直将 third-party.com 视为一个通用示例主机名。

例如，W3C Geolocation 规范目前使用 third-party.com 作为占位域名，演示向一个外部 iframe 授予地理定位权限。

W3C Compute Pressure 规范在演示网站如何为远程内容启用该 API 时同样使用了该域名：

<iframe src="https://third-party.com" allow="compute-pressure"/>

Chromium 的 Telemetry Extension API 文档也将 third-party.com 用作允许与 Chrome 扩展通信的示例网站。

其他示例更进一步，在代码中直接使用该域名，如果照搬复制，这些代码会实际发起网络请求。

GitHub 上的一份 PrivacyCG 提案也将该域名用作一个 service worker 发出的 JavaScript fetch() 请求的目标。

网络上的帖子表明，开发者已将这些及类似的示例复制到自己的代码和项目中。

在 2015 年的一个 Stack Overflow 问题中，一名开发者表示，他们在发现该网站发布后行为不符合预期之前，已将一个包含 https://third-party.com/resource.js 的异步加载示例应用到了自己的网站上。

这些示例并不意味着相关的项目或文档已被入侵。

然而，复制了此类占位 URL 的应用或测试代码，现在可能导致浏览器或自动化工具联系真实的 third-party.com 域名，并可能在浏览器或应用中显示该 ClickFix 攻击。

与 IANA 为文档用途维护、不允许被注册或转让的 example.com 不同，third-party.com 域名没有此类保护，并且显然在某个时候被劫持或注册以实施这些 ClickFix 攻击。

"third-party[.]com 多年来一直是一个通用的文档占位符，扮演着与 example.com 相同的角色，"Manifold 解释道。

"一次公开的代码搜索显示，它出现在技能、MCP 服务器文档中，以及来自 Chromium、Sanity 和 Vercel 等可信度极高的名字的 1,700 多个仓库的 1,500 多个文件中。至少从 2026 年 6 月起，它就一直提供 ClickFix 诱饵。"

尽管 third-party.com 作为文档占位符的广泛使用使该域名对攻击者具有吸引力，但没有证据表明它是出于恶意目的而注册的。

该域名最早注册于 1996 年，远早于当前的行动，且 BleepingComputer 尚未确定该站点的控制权是何时以及如何易手的。

目前，尚无报告表明这些对 third-party.com 的引用确实导致过 ClickFix 攻击在开发者的设备或其应用/网页内被执行。

不过，由于该域名仍然在线，它很容易被切换到一个新的、活跃的载荷域名，并在未来的攻击中被积极利用。