Cloudflare giả dụ người dùng Windows chạy lệnh độc: Hai vụ ClickFix cần phân biệt

Một trang trông như bước xác minh của Cloudflare có thể biến thao tác truy cập web thông thường thành nguy cơ cài mã độc. Mấu chốt của thủ thuật ClickFix là thuyết phục người dùng tự chạy lệnh trên máy. Hai vụ được ghi nhận gần đây cùng dùng vỏ bọc xác minh giả, nhưng khác cách triển khai và chưa có bằng chứng cho thấy chúng chung nhóm vận hành hay mã độc. 315

Từ website Ukraine đến Psychedelic Stealer

Theo Arctic Wolf Labs, kẻ tấn công chèn iframe — một khung nội dung nhúng — vào các website doanh nghiệp hợp pháp tại Ukraine để hiện trang xác minh Cloudflare giả bằng tiếng Ukraine. Khi khách truy cập tương tác, trang này chép một lệnh msiexec vào bộ nhớ tạm và hướng dẫn họ dán vào hộp thoại Run của Windows. Nếu được chạy, lệnh sẽ tải bộ cài MSI dùng để đưa mã độc Psychedelic Stealer vào máy. Chỉ nhìn thấy trang giả không có nghĩa là máy đã bị cài mã độc; bước quyết định là thực thi lệnh. 313

Psychedelic nhắm tới mật khẩu lưu trong trình duyệt, mã thông báo tài khoản và dữ liệu ví tiền mã hóa. Các báo cáo còn mô tả khả năng duy trì hoạt động bằng tác vụ theo lịch và liên lạc với hạ tầng điều khiển để nhận thêm chỉ thị. Vì vậy, khi nghi có người đã chạy lệnh, cần kiểm tra cả nguy cơ lộ dữ liệu lẫn khả năng mã độc vẫn còn hoạt động. 313

Arctic Wolf Labs ghi nhận nạn nhân tại 32 quốc gia ở châu Âu, châu Mỹ và khu vực châu Á - Thái Bình Dương, dù trang nhử dùng tiếng Ukraine. Đây là số quốc gia có nạn nhân được ghi nhận, không phải tổng số thiết bị nhiễm; thông tin hiện có không cho phép đưa ra một con số nhiễm đáng tin cậy. Nhóm nghiên cứu cũng mô tả một bảng điều khiển lưu lượng mang dấu ấn tiếng Nga, nhưng chi tiết đó không đủ để xác định danh tính, vị trí hay quy kết cho một nhóm tấn công cụ thể. 31

Vì sao third-party.com là một vụ riêng?

third-party.com thường được dùng làm tên miền ví dụ trong tài liệu lập trình và đoạn mã mẫu. BleepingComputer ghi nhận tên miền này hiển thị trang xác minh Cloudflare giả cho người truy cập bằng Windows, tìm cách khiến họ chạy lệnh PowerShell; một số người truy cập khác lại thấy trang mồi vô hại. Vì thế, một địa chỉ vốn được ghi trong tài liệu để minh họa vẫn có thể đưa người đọc tới trang nhử đang hoạt động, trong khi nội dung thay đổi theo khách truy cập khiến việc phát hiện khó hơn. 54

Không nên gộp vụ này với chiến dịch Psychedelic: chỉ dẫn được ghi nhận tại third-party.com liên quan đến PowerShell, thay vì chuỗi cài đặt qua msiexec trên các website Ukraine. Các nguồn được dẫn không xác lập cùng nhóm vận hành hoặc cùng mã độc. Truy cập tên miền cũng không chứng minh người dùng đã làm theo hướng dẫn và chạy lệnh. 531

ClickFix có thể dẫn tới điều gì khác?

Trong một chuỗi ClickFix khác, Blackpoint Cyber phát hiện hai thành phần được phát tán cùng nhau: RemotePanel, công cụ truy cập từ xa có khả năng duy trì hiện diện, và BoundSiphon, mã độc đánh cắp thông tin đăng nhập cùng dữ liệu tiền mã hóa. Phát hiện này cho thấy hậu quả của ClickFix không nhất thiết dừng ở một lần lấy cắp mật khẩu; kẻ tấn công còn có thể duy trì quyền truy cập. Blackpoint không xác lập mối liên hệ giữa cặp mã độc này với Psychedelic hoặc third-party.com. 19

Đội an ninh nên ưu tiên gì?

• Cảnh báo đúng dấu hiệu: CAPTCHA hay bước kiểm tra bảo mật yêu cầu dán lệnh vào Windows Run hoặc PowerShell phải được xem là dấu hiệu nguy hiểm, không phải quy trình xác minh. 1540
• Xác định lệnh có được chạy hay không: Kiểm tra các lượt tải qua msiexec hoặc lần mở PowerShell bất thường sau khi người dùng truy cập web; đừng đánh đồng việc thấy trang nhử với việc máy đã nhiễm. 315
• Đánh giá phạm vi ảnh hưởng: Nếu nghi Psychedelic đã chạy, rà soát mật khẩu trình duyệt, mã thông báo tài khoản, dữ liệu ví và dấu hiệu duy trì hoạt động. Với các mã độc ClickFix khác, cần xét thêm nguy cơ bị truy cập từ xa. 319
• Giảm rủi ro từ nguồn dẫn: Kiểm tra website bị ảnh hưởng để tìm nội dung chèn trái phép; trong tài liệu và môi trường thử nghiệm, thay tên miền ví dụ còn hoạt động bằng địa chỉ do mình kiểm soát. 315