Cách ClickFix Hoạt Động: Bốn Bước Lừa Đảo

Cuộc tấn công diễn ra theo một kịch bản nhất quán trong hầu hết các chiến dịch đã được ghi nhận :

1. Lời mời gọi (The lure): Người dùng truy cập một trang web bị xâm phạm hoặc trang web giả mạo và thấy một lời nhắc xác minh giả – đó có thể là Google reCAPTCHA giả, trang 'Xác minh bạn là người dùng' của Cloudflare, thông báo cập nhật trình duyệt giả, hoặc màn hình lỗi QuickBooks hay Booking.com .
2. Hướng dẫn 'Sao chép và Dán': Trang web hiển thị hướng dẫn như: "Nhấn Win + R, sau đó nhấn Ctrl + V, rồi nhấn Enter" để hoàn tất quá trình xác minh .
3. Tải trọng ẩn giấu (The hidden payload): Thứ được sao chép vào bộ nhớ tạm (clipboard) của người dùng thực chất là một lệnh PowerShell, mshta hoặc curl độc hại, có nhiệm vụ tải xuống và thực thi một bộ tải mã độc từ một máy chủ từ xa .
4. Thực thi (Execution): Lệnh được chạy với quyền hạn của chính người dùng đó. Bởi vì chính người dùng đã dán và khởi chạy lệnh, các công cụ phát hiện điểm cuối (endpoint detection tools) thường không gắn cờ đây là một vụ xâm nhập .

Kỹ thuật này còn được gọi là pastejacking vì nó khai thác clipboard làm vector lây nhiễm .

Các Tải Trọng (Payload) Được Phân Phối Trong Chiến Dịch ClickFix

Kẻ tấn công đã sử dụng các mồi nhử ClickFix để phân phối nhiều loại phần mềm độc hại, thường thông qua các chuỗi lây nhiễm đa giai đoạn:

• HijackLoader: Một bộ tải mã độc giai đoạn đầu, được quan sát thấy trong các chuỗi ClickFix từ ít nhất là tháng 6 năm 2025, thường được theo sau bởi trình đánh cắp thông tin DeerStealer .
• CastleLoader (hay CastleBot): Một khung phần mềm độc hại dưới dạng dịch vụ (malware-as-a-service) hoạt động từ đầu năm 2025. Một chiến dịch đã sử dụng một trang web xóa phông nền giả mạo để phân phối CastleLoader, sau đó cài đặt NetSupport RAT và một trình đánh cắp .NET tùy chỉnh, nhắm mục tiêu vào thông tin đăng nhập trình duyệt, ví tiền điện tử và các phiên Telegram .
• NetSupport RAT: Một công cụ quản trị từ xa hợp pháp bị kẻ tấn công tái sử dụng để duy trì quyền truy cập backdoor lâu dài .
• StealC: Một trojan đánh cắp thông tin nhắm vào thông tin đăng nhập trình duyệt và ví tiền điện tử .
• Amatera: Một trình đánh cắp thông tin được phân phối thông qua một chiến dịch ClickFix kết hợp các CAPTCHA giả mạo với các tập lệnh Microsoft App-V đã được ký .
• Trình đánh cắp dựa trên Rust (Rust-based stealer): Được ghi nhận trong các chiến dịch ClickFix đa hình bắt đầu từ cuối năm 2025 .
• DeerStealer: Được quan sát thấy là tải trọng thực thi cuối cùng sau khi HijackLoader được kích hoạt .
• ResiLoader: Một bộ tải mã độc mới được ghi nhận, được thiết kế đặc biệt để vô hiệu hóa hơn 140 tiến trình phần mềm diệt virus và bảo mật trên máy nạn nhân, vô hiệu hóa hiệu quả các lớp phòng thủ trước khi tải trọng cuối cùng được thực thi .

Các Phương Pháp Phân Phối

Kẻ tấn công tận dụng nhiều cơ sở hạ tầng khác nhau để lưu trữ và phân phối các cuộc tấn công ClickFix:

• Cloudflare R2 Storage: Dùng để lưu trữ các tệp nhị phân tải trọng độc hại .
• Cloudflare Pages Subdomains: Bị lợi dụng để cung cấp các trang CAPTCHA giả mạo với chứng chỉ đáng tin cậy của chính Cloudflare .
• Hosting Dedik Services Limited: Được ghi nhận là nhà cung cấp dịch vụ lưu trữ cho cơ sở hạ tầng chỉ huy và kiểm soát (C2) của ClickFix .
• Tên miền hết hạn (Expired domains): Các tên miền hết hạn được đăng ký lại và sử dụng để thu thập thông tin đăng nhập và phân phối tải trọng .
• Các trang web bị xâm phạm (Compromised websites): Đây là vector phổ biến nhất. Kẻ tấn công chèn JavaScript hoặc iframe độc hại vào các trang web hợp pháp (thường thông qua lỗ hổng plugin hoặc lỗi CMS) để chuyển hướng người dùng đến các trang ClickFix .
• Đầu độc SEO và quảng cáo độc hại (SEO poisoning & malvertising): Các trang web cài đặt giả mạo và cổng phần mềm lậu được đẩy lên kết quả tìm kiếm .
• Khai thác lỗ hổng Ghost CMS: Vào tháng 5 năm 2026, kẻ tấn công đã lợi dụng một lỗ hổng SQL injection nghiêm trọng trong Ghost CMS (CVE‑2026‑26980) để chiếm đoạt hơn 700 trang web giáo dục và công nghệ hợp pháp và chèn các lời nhắc ClickFix .

Tầm Quan Trọng của Mối Đe Dọa: Tại Sao ClickFix Thống Trị

• Báo cáo Phòng thủ Kỹ thuật số 2025 (Digital Defense Report) của Microsoft xác định ClickFix là phương thức truy cập ban đầu số 1, chịu trách nhiệm cho 47% tổng số các cuộc tấn công được quan sát bởi đội ngũ Microsoft Defender Experts trong năm qua – vượt qua lừa đảo truyền thống (35%) .
• Dữ liệu đo từ xa của ESET ghi nhận mức tăng 517% các cuộc tấn công ClickFix chỉ riêng trong nửa đầu năm 2025 .
• Trong một chiến dịch được Menlo Labs ghi nhận, ClickFix đã phân phối các tải trọng đa nền tảng: lệnh PowerShell cho Windows, tập lệnh .command cho macOS và tập lệnh Bash cho Linux từ một lời mời gọi JavaScript đa hình duy nhất .
• Bộ Y tế và Dịch vụ Nhân sinh Hoa Kỳ (HHS) đã ban hành một cảnh báo ngành về ClickFix vào tháng 7 năm 2026, xác nhận rằng kỹ thuật này đã vươn tới cơ sở hạ tầng trọng yếu .
• Nhóm Insikt của Recorded Future đã đánh giá vào tháng 3 năm 2026 rằng ClickFix rất có thể sẽ vẫn là vector truy cập ban đầu thống trị trong suốt năm 2026 .

Các Biện Pháp Phòng Thủ: Các Nhà Nghiên Cứu Khuyến Nghị Gì

Bởi vì ClickFix khai thác hành vi của con người chứ không phải lỗ hổng phần mềm, việc phòng thủ chủ yếu dựa vào các kiểm soát kỹ thuật và nhận thức của người dùng :

• Hạn chế thực thi PowerShell: Chặn người dùng không phải quản trị viên chạy các tập lệnh PowerShell. Đặt chính sách thực thi ở chế độ Restricted thông qua Group Policy và ghi nhật ký tất cả các sự kiện thực thi PowerShell .
• Vô hiệu hóa hộp thoại Run (Windows Run box): Một sửa đổi registry (chính sách NoRun) có thể ngăn tổ hợp phím Win+R được sử dụng để dán và thực thi lệnh .
• Coi mọi hướng dẫn dán lệnh không được yêu cầu là dấu hiệu cảnh báo: Không có trang web hoặc dịch vụ hợp pháp nào yêu cầu người dùng nhấn Win+R, dán một lệnh và nhấn Enter. Đây nên là nội dung đào tạo nhận thức hàng đầu cho người dùng .
• Chặn mshta, cscript, và curl thực thi từ ngữ cảnh người dùng: Sử dụng AppLocker hoặc Windows Defender Application Control để hạn chế các trình thông dịch tập lệnh .
• Triển khai các quy tắc phát hiện điểm cuối: Theo dõi các tiến trình cha powershell.exe -ep bypass bất thường, dòng dõi tiến trình từ explorer.exe đến các trình thông dịch tập lệnh và các hiện vật registry RunMRU .
• Sử dụng các tính năng bảo mật clipboard: Các biện pháp bảo vệ clipboard ở cấp độ trình duyệt có thể ngăn chặn cơ chế sao chép-dán cốt lõi mà ClickFix dựa vào.

Tính năng Paste Protect của Opera

Opera đã giới thiệu một tính năng Paste Protect gốc (có sẵn trong Opera 100+ trên Windows, macOS và Linux) có nhiệm vụ chặn và ngăn chặn các cuộc tấn công pastejacking dựa trên clipboard. Khi một trang web cố gắng ghi một tải trọng đáng ngờ vào clipboard một cách có chủ đích và sau đó nhắc người dùng dán nó, Paste Protect sẽ cảnh báo người dùng và chặn thao tác hoàn tất. Điều này trực tiếp làm giảm thiểu kỹ thuật ClickFix cốt lõi mà không yêu cầu cài đặt bất kỳ tiện ích mở rộng nào.

Cách ClickFix Hoạt Động: Bốn Bước Lừa Đảo

Cuộc tấn công diễn ra theo một kịch bản nhất quán trong hầu hết các chiến dịch đã được ghi nhận :

1. Lời mời gọi (The lure): Người dùng truy cập một trang web bị xâm phạm hoặc trang web giả mạo và thấy một lời nhắc xác minh giả – đó có thể là Google reCAPTCHA giả, trang 'Xác minh bạn là người dùng' của Cloudflare, thông báo cập nhật trình duyệt giả, hoặc màn hình lỗi QuickBooks hay Booking.com .
2. Hướng dẫn 'Sao chép và Dán': Trang web hiển thị hướng dẫn như: "Nhấn Win + R, sau đó nhấn Ctrl + V, rồi nhấn Enter" để hoàn tất quá trình xác minh .
3. Tải trọng ẩn giấu (The hidden payload): Thứ được sao chép vào bộ nhớ tạm (clipboard) của người dùng thực chất là một lệnh PowerShell, mshta hoặc curl độc hại, có nhiệm vụ tải xuống và thực thi một bộ tải mã độc từ một máy chủ từ xa .
4. Thực thi (Execution): Lệnh được chạy với quyền hạn của chính người dùng đó. Bởi vì chính người dùng đã dán và khởi chạy lệnh, các công cụ phát hiện điểm cuối (endpoint detection tools) thường không gắn cờ đây là một vụ xâm nhập .

Kỹ thuật này còn được gọi là pastejacking vì nó khai thác clipboard làm vector lây nhiễm .

Các Tải Trọng (Payload) Được Phân Phối Trong Chiến Dịch ClickFix

Kẻ tấn công đã sử dụng các mồi nhử ClickFix để phân phối nhiều loại phần mềm độc hại, thường thông qua các chuỗi lây nhiễm đa giai đoạn:

• HijackLoader: Một bộ tải mã độc giai đoạn đầu, được quan sát thấy trong các chuỗi ClickFix từ ít nhất là tháng 6 năm 2025, thường được theo sau bởi trình đánh cắp thông tin DeerStealer .
• CastleLoader (hay CastleBot): Một khung phần mềm độc hại dưới dạng dịch vụ (malware-as-a-service) hoạt động từ đầu năm 2025. Một chiến dịch đã sử dụng một trang web xóa phông nền giả mạo để phân phối CastleLoader, sau đó cài đặt NetSupport RAT và một trình đánh cắp .NET tùy chỉnh, nhắm mục tiêu vào thông tin đăng nhập trình duyệt, ví tiền điện tử và các phiên Telegram .
• NetSupport RAT: Một công cụ quản trị từ xa hợp pháp bị kẻ tấn công tái sử dụng để duy trì quyền truy cập backdoor lâu dài .
• StealC: Một trojan đánh cắp thông tin nhắm vào thông tin đăng nhập trình duyệt và ví tiền điện tử .
• Amatera: Một trình đánh cắp thông tin được phân phối thông qua một chiến dịch ClickFix kết hợp các CAPTCHA giả mạo với các tập lệnh Microsoft App-V đã được ký .
• Trình đánh cắp dựa trên Rust (Rust-based stealer): Được ghi nhận trong các chiến dịch ClickFix đa hình bắt đầu từ cuối năm 2025 .
• DeerStealer: Được quan sát thấy là tải trọng thực thi cuối cùng sau khi HijackLoader được kích hoạt .
• ResiLoader: Một bộ tải mã độc mới được ghi nhận, được thiết kế đặc biệt để vô hiệu hóa hơn 140 tiến trình phần mềm diệt virus và bảo mật trên máy nạn nhân, vô hiệu hóa hiệu quả các lớp phòng thủ trước khi tải trọng cuối cùng được thực thi .

Các Phương Pháp Phân Phối

Kẻ tấn công tận dụng nhiều cơ sở hạ tầng khác nhau để lưu trữ và phân phối các cuộc tấn công ClickFix:

• Cloudflare R2 Storage: Dùng để lưu trữ các tệp nhị phân tải trọng độc hại .
• Cloudflare Pages Subdomains: Bị lợi dụng để cung cấp các trang CAPTCHA giả mạo với chứng chỉ đáng tin cậy của chính Cloudflare .
• Hosting Dedik Services Limited: Được ghi nhận là nhà cung cấp dịch vụ lưu trữ cho cơ sở hạ tầng chỉ huy và kiểm soát (C2) của ClickFix .
• Tên miền hết hạn (Expired domains): Các tên miền hết hạn được đăng ký lại và sử dụng để thu thập thông tin đăng nhập và phân phối tải trọng .
• Các trang web bị xâm phạm (Compromised websites): Đây là vector phổ biến nhất. Kẻ tấn công chèn JavaScript hoặc iframe độc hại vào các trang web hợp pháp (thường thông qua lỗ hổng plugin hoặc lỗi CMS) để chuyển hướng người dùng đến các trang ClickFix .
• Đầu độc SEO và quảng cáo độc hại (SEO poisoning & malvertising): Các trang web cài đặt giả mạo và cổng phần mềm lậu được đẩy lên kết quả tìm kiếm .
• Khai thác lỗ hổng Ghost CMS: Vào tháng 5 năm 2026, kẻ tấn công đã lợi dụng một lỗ hổng SQL injection nghiêm trọng trong Ghost CMS (CVE‑2026‑26980) để chiếm đoạt hơn 700 trang web giáo dục và công nghệ hợp pháp và chèn các lời nhắc ClickFix .

Tầm Quan Trọng của Mối Đe Dọa: Tại Sao ClickFix Thống Trị

• Báo cáo Phòng thủ Kỹ thuật số 2025 (Digital Defense Report) của Microsoft xác định ClickFix là phương thức truy cập ban đầu số 1, chịu trách nhiệm cho 47% tổng số các cuộc tấn công được quan sát bởi đội ngũ Microsoft Defender Experts trong năm qua – vượt qua lừa đảo truyền thống (35%) .
• Dữ liệu đo từ xa của ESET ghi nhận mức tăng 517% các cuộc tấn công ClickFix chỉ riêng trong nửa đầu năm 2025 .
• Trong một chiến dịch được Menlo Labs ghi nhận, ClickFix đã phân phối các tải trọng đa nền tảng: lệnh PowerShell cho Windows, tập lệnh .command cho macOS và tập lệnh Bash cho Linux từ một lời mời gọi JavaScript đa hình duy nhất .
• Bộ Y tế và Dịch vụ Nhân sinh Hoa Kỳ (HHS) đã ban hành một cảnh báo ngành về ClickFix vào tháng 7 năm 2026, xác nhận rằng kỹ thuật này đã vươn tới cơ sở hạ tầng trọng yếu .
• Nhóm Insikt của Recorded Future đã đánh giá vào tháng 3 năm 2026 rằng ClickFix rất có thể sẽ vẫn là vector truy cập ban đầu thống trị trong suốt năm 2026 .

Các Biện Pháp Phòng Thủ: Các Nhà Nghiên Cứu Khuyến Nghị Gì

Bởi vì ClickFix khai thác hành vi của con người chứ không phải lỗ hổng phần mềm, việc phòng thủ chủ yếu dựa vào các kiểm soát kỹ thuật và nhận thức của người dùng :

• Hạn chế thực thi PowerShell: Chặn người dùng không phải quản trị viên chạy các tập lệnh PowerShell. Đặt chính sách thực thi ở chế độ Restricted thông qua Group Policy và ghi nhật ký tất cả các sự kiện thực thi PowerShell .
• Vô hiệu hóa hộp thoại Run (Windows Run box): Một sửa đổi registry (chính sách NoRun) có thể ngăn tổ hợp phím Win+R được sử dụng để dán và thực thi lệnh .
• Coi mọi hướng dẫn dán lệnh không được yêu cầu là dấu hiệu cảnh báo: Không có trang web hoặc dịch vụ hợp pháp nào yêu cầu người dùng nhấn Win+R, dán một lệnh và nhấn Enter. Đây nên là nội dung đào tạo nhận thức hàng đầu cho người dùng .
• Chặn mshta, cscript, và curl thực thi từ ngữ cảnh người dùng: Sử dụng AppLocker hoặc Windows Defender Application Control để hạn chế các trình thông dịch tập lệnh .
• Triển khai các quy tắc phát hiện điểm cuối: Theo dõi các tiến trình cha powershell.exe -ep bypass bất thường, dòng dõi tiến trình từ explorer.exe đến các trình thông dịch tập lệnh và các hiện vật registry RunMRU .
• Sử dụng các tính năng bảo mật clipboard: Các biện pháp bảo vệ clipboard ở cấp độ trình duyệt có thể ngăn chặn cơ chế sao chép-dán cốt lõi mà ClickFix dựa vào.

Tính năng Paste Protect của Opera

Opera đã giới thiệu một tính năng Paste Protect gốc (có sẵn trong Opera 100+ trên Windows, macOS và Linux) có nhiệm vụ chặn và ngăn chặn các cuộc tấn công pastejacking dựa trên clipboard. Khi một trang web cố gắng ghi một tải trọng đáng ngờ vào clipboard một cách có chủ đích và sau đó nhắc người dùng dán nó, Paste Protect sẽ cảnh báo người dùng và chặn thao tác hoàn tất. Điều này trực tiếp làm giảm thiểu kỹ thuật ClickFix cốt lõi mà không yêu cầu cài đặt bất kỳ tiện ích mở rộng nào.