Kỹ thuật EtherHiding: Cốt lõi của cuộc tấn công

Điểm sáng tạo—và là lý do khiến chiến dịch này khó bị vô hiệu hóa—là kỹ thuật EtherHiding. Thay vì dựa vào máy chủ điều khiển (C2) truyền thống có thể bị đánh sập, kẻ tấn công lưu trữ trực tiếp lệnh độc hại bên trong hợp đồng thông minh BNB Smart Chain . Chỉ có địa chỉ ví đã triển khai hợp đồng mới có thể sửa đổi nội dung của nó, khiến cho việc gỡ bỏ các lệnh độc hại bằng phương pháp chặn hoặc hạ gục truyền thống gần như bất khả thi . Chiến dịch này có liên quan đến chiến dịch mã độc ClearFake, vốn trước đây sử dụng các bản cập nhật trình duyệt giả để phát tán mã độc .

Chuỗi lây nhiễm: Từ website bị xâm nhập đến mã độc

Cuộc tấn công diễn ra theo một chuỗi các bước ngắn, khai thác lòng tin của người dùng và các công cụ có sẵn trong Windows:

1. Xâm nhập website – Kẻ tấn công xâm nhập các trang web hợp pháp (thường là WordPress) và tiêm JavaScript mã hóa Base64 vào trang .
2. Truy vấn blockchain – Đoạn script được tiêm kết nối đến một cổng RPC của BNB Smart Chain và truy vấn một hợp đồng thông minh cụ thể để lấy các lệnh độc hại ở giai đoạn tiếp theo .
3. CAPTCHA giả – Trình duyệt giải mã các lệnh nhận được và hiển thị một màn hình xác minh CAPTCHA giả mạo cho người dùng .
4. Kỹ thuật xã hội (ClickFix/TerminalFix) – Người dùng được hướng dẫn nhấn Windows+R để mở hộp thoại Run (hoặc mở Windows Terminal, PowerShell), dán lệnh từ bộ nhớ tạm và thực thi . Đây là mấu chốt của thủ thuật xã hội: nó biến nạn nhân thành người đồng lõa vô thức trong quá trình lây nhiễm.
5. Thực thi mã độc – Lệnh được dán sẽ tải xuống và thực thi phần mềm độc hại cuối cùng .

Các công cụ Windows bị lợi dụng (Living-off-the-Land)

Để tránh bị phát hiện, kẻ tấn công lạm dụng triệt để các thành phần Windows hợp pháp có sẵn—một kỹ thuật gọi là "living-off-the-land" (LOLBins) . Các công cụ được ghi nhận trong chiến dịch này bao gồm:

• conhost – Trình chủ bảng điều khiển dùng để thực thi lệnh
• PowerShell – Thực thi script và tải xuống tải trọng
• cmd (Command Prompt) – Thực thi lệnh trực tiếp
• mshta – Chạy các tệp HTA độc hại
• rundll32 – Tải DLL thông qua dòng lệnh
• curl – Tải xuống tải trọng ở giai đoạn tiếp theo
• WMI (Windows Management Instrumentation) – Di chuyển ngang hoặc thiết lập tồn tại
• Hộp thoại Run của Windows – Điểm thực thi ban đầu theo thủ thuật ClickFix

Bằng cách sử dụng các thành phần Microsoft đáng tin cậy này, kẻ tấn công có thể vượt qua nhiều hệ thống phòng thủ đầu cuối truyền thống .

Các dòng mã độc được phát tán

Chiến dịch này không giới hạn ở một loại mã độc duy nhất. Nó đóng vai trò là cơ chế phân phối cho một loạt các trojan đánh cắp thông tin và truy cập từ xa :

• Lumma Stealer – Tải trọng chính được ghi nhận trong nhiều trường hợp . Nó thu thập mật khẩu trình duyệt, thông tin xác thực ví tiền điện tử, cookie phiên và các dữ liệu nhạy cảm khác.
• XWorm – Trojan truy cập từ xa (RAT) có khả năng đánh cắp dữ liệu và tải xuống thêm các tải trọng.
• AsyncRAT – RAT mã nguồn mở dùng để giám sát, ghi lại thao tác bàn phím và đánh cắp thông tin xác thực.
• MintsLoader – Trình tải xuống/loader cài đặt thêm mã độc vào hệ thống bị xâm nhập.
• Công cụ quản lý từ xa – Các công cụ hợp pháp tiềm năng bị lạm dụng (ví dụ: AnyDesk, phần mềm chia sẻ màn hình) để duy trì tồn tại và di chuyển ngang.

Việc thực thi thành công có thể dẫn đến lộ thông tin xác thực, thiết lập truy cập thường trực, di chuyển ngang trong mạng và cuối cùng là triển khai ransomware . Trên hệ thống macOS, chiến dịch này cũng được ghi nhận phát tán MacSync và Atomic Stealer .

Các biện pháp phòng thủ Microsoft khuyến nghị

Microsoft đã đưa ra một số khuyến nghị thực tế để bảo vệ trước chiến dịch này :

1. Kích hoạt bảo vệ đa lớp trong Microsoft Defender – Đảm bảo tính năng bảo vệ thời gian thực, bảo vệ qua đám mây và bảo vệ chống can thiệp đều đang hoạt động.
2. Hạn chế các công cụ dòng lệnh – Sử dụng AppLocker hoặc Windows Defender Application Control (WDAC) để chặn việc thực thi không đáng tin cậy của các công cụ như PowerShell, mshta và rundll32.
3. Bật ghi nhật ký script PowerShell – Bật ghi nhật ký khối script và phiên âm để phát hiện các nỗ lực thực thi lệnh bị làm xáo trộn.
4. Nâng cao nhận thức người dùng (bước quan trọng nhất) – Không bao giờ dán lệnh từ các nguồn không xác định hoặc không đáng tin cậy vào hộp thoại Run, Terminal hoặc PowerShell. Một CAPTCHA hợp pháp sẽ không bao giờ yêu cầu người dùng thực hiện bất kỳ thao tác nào trong số này.
5. Chặn các điểm cuối RPC của hợp đồng thông minh – Khi có thể, hạn chế truy cập ra ngoài đến các cổng RPC công khai của BNB Smart Chain từ các điểm cuối không yêu cầu truy cập blockchain.
6. Sử dụng Microsoft Defender for SmartScreen – Công cụ này giúp chặn các trang web độc hại ở giai đoạn truy cập ban đầu, ngăn người dùng nhìn thấy CAPTCHA giả ngay từ đầu .

Phát hiện và phạm vi bảo vệ

Mặc dù cảnh báo công khai từ Microsoft không cung cấp danh sách đầy đủ các tên phát hiện cụ thể của Microsoft Defender Antivirus cho chiến dịch đặc biệt này , các nghiên cứu bảo mật liên quan từ tháng 7 và tháng 8 năm 2026 chỉ ra rằng Microsoft Defender for Endpoint cung cấp phạm vi bảo vệ theo hành vi cho :

• Các mẫu thực thi living-off-the-land
• Hoạt động WebDAV và MSHTA đáng ngờ
• Thực thi PowerShell bị làm xáo trộn
• Duy trì tồn tại qua tác vụ đã lên lịch
• Thực thi tải trọng trong bộ nhớ
• Đánh cắp thông tin xác thực trình duyệt

Blog về macOS ClickFix được Microsoft công bố vào ngày 5 tháng 8 năm 2026 đã ghi lại rằng Microsoft Defender for SmartScreen chặn trang web độc hại và Defender XDR cung cấp phạm vi bảo vệ bề mặt theo các ánh xạ chiến thuật và kỹ thuật cụ thể . Các phát hiện của Microsoft Defender Antivirus cho họ mối đe dọa ClickFix rộng hơn bao gồm các tên như Behavior:Win32/ClickFix, Trojan:Win32/ClickFix và Trojan:HTML/FakeCaptcha , mặc dù các chữ ký cụ thể cho việc tiêm JavaScript liên quan đến BNB Chain của chiến dịch này đã được triển khai nhưng không được đặt tên riêng lẻ trong cảnh báo công khai .

Kỹ thuật EtherHiding: Cốt lõi của cuộc tấn công

Điểm sáng tạo—và là lý do khiến chiến dịch này khó bị vô hiệu hóa—là kỹ thuật EtherHiding. Thay vì dựa vào máy chủ điều khiển (C2) truyền thống có thể bị đánh sập, kẻ tấn công lưu trữ trực tiếp lệnh độc hại bên trong hợp đồng thông minh BNB Smart Chain . Chỉ có địa chỉ ví đã triển khai hợp đồng mới có thể sửa đổi nội dung của nó, khiến cho việc gỡ bỏ các lệnh độc hại bằng phương pháp chặn hoặc hạ gục truyền thống gần như bất khả thi . Chiến dịch này có liên quan đến chiến dịch mã độc ClearFake, vốn trước đây sử dụng các bản cập nhật trình duyệt giả để phát tán mã độc .

Chuỗi lây nhiễm: Từ website bị xâm nhập đến mã độc

Cuộc tấn công diễn ra theo một chuỗi các bước ngắn, khai thác lòng tin của người dùng và các công cụ có sẵn trong Windows:

1. Xâm nhập website – Kẻ tấn công xâm nhập các trang web hợp pháp (thường là WordPress) và tiêm JavaScript mã hóa Base64 vào trang .
2. Truy vấn blockchain – Đoạn script được tiêm kết nối đến một cổng RPC của BNB Smart Chain và truy vấn một hợp đồng thông minh cụ thể để lấy các lệnh độc hại ở giai đoạn tiếp theo .
3. CAPTCHA giả – Trình duyệt giải mã các lệnh nhận được và hiển thị một màn hình xác minh CAPTCHA giả mạo cho người dùng .
4. Kỹ thuật xã hội (ClickFix/TerminalFix) – Người dùng được hướng dẫn nhấn Windows+R để mở hộp thoại Run (hoặc mở Windows Terminal, PowerShell), dán lệnh từ bộ nhớ tạm và thực thi . Đây là mấu chốt của thủ thuật xã hội: nó biến nạn nhân thành người đồng lõa vô thức trong quá trình lây nhiễm.
5. Thực thi mã độc – Lệnh được dán sẽ tải xuống và thực thi phần mềm độc hại cuối cùng .

Các công cụ Windows bị lợi dụng (Living-off-the-Land)

Để tránh bị phát hiện, kẻ tấn công lạm dụng triệt để các thành phần Windows hợp pháp có sẵn—một kỹ thuật gọi là "living-off-the-land" (LOLBins) . Các công cụ được ghi nhận trong chiến dịch này bao gồm:

• conhost – Trình chủ bảng điều khiển dùng để thực thi lệnh
• PowerShell – Thực thi script và tải xuống tải trọng
• cmd (Command Prompt) – Thực thi lệnh trực tiếp
• mshta – Chạy các tệp HTA độc hại
• rundll32 – Tải DLL thông qua dòng lệnh
• curl – Tải xuống tải trọng ở giai đoạn tiếp theo
• WMI (Windows Management Instrumentation) – Di chuyển ngang hoặc thiết lập tồn tại
• Hộp thoại Run của Windows – Điểm thực thi ban đầu theo thủ thuật ClickFix

Bằng cách sử dụng các thành phần Microsoft đáng tin cậy này, kẻ tấn công có thể vượt qua nhiều hệ thống phòng thủ đầu cuối truyền thống .

Các dòng mã độc được phát tán

Chiến dịch này không giới hạn ở một loại mã độc duy nhất. Nó đóng vai trò là cơ chế phân phối cho một loạt các trojan đánh cắp thông tin và truy cập từ xa :

• Lumma Stealer – Tải trọng chính được ghi nhận trong nhiều trường hợp . Nó thu thập mật khẩu trình duyệt, thông tin xác thực ví tiền điện tử, cookie phiên và các dữ liệu nhạy cảm khác.
• XWorm – Trojan truy cập từ xa (RAT) có khả năng đánh cắp dữ liệu và tải xuống thêm các tải trọng.
• AsyncRAT – RAT mã nguồn mở dùng để giám sát, ghi lại thao tác bàn phím và đánh cắp thông tin xác thực.
• MintsLoader – Trình tải xuống/loader cài đặt thêm mã độc vào hệ thống bị xâm nhập.
• Công cụ quản lý từ xa – Các công cụ hợp pháp tiềm năng bị lạm dụng (ví dụ: AnyDesk, phần mềm chia sẻ màn hình) để duy trì tồn tại và di chuyển ngang.

Việc thực thi thành công có thể dẫn đến lộ thông tin xác thực, thiết lập truy cập thường trực, di chuyển ngang trong mạng và cuối cùng là triển khai ransomware . Trên hệ thống macOS, chiến dịch này cũng được ghi nhận phát tán MacSync và Atomic Stealer .

Các biện pháp phòng thủ Microsoft khuyến nghị

Microsoft đã đưa ra một số khuyến nghị thực tế để bảo vệ trước chiến dịch này :

1. Kích hoạt bảo vệ đa lớp trong Microsoft Defender – Đảm bảo tính năng bảo vệ thời gian thực, bảo vệ qua đám mây và bảo vệ chống can thiệp đều đang hoạt động.
2. Hạn chế các công cụ dòng lệnh – Sử dụng AppLocker hoặc Windows Defender Application Control (WDAC) để chặn việc thực thi không đáng tin cậy của các công cụ như PowerShell, mshta và rundll32.
3. Bật ghi nhật ký script PowerShell – Bật ghi nhật ký khối script và phiên âm để phát hiện các nỗ lực thực thi lệnh bị làm xáo trộn.
4. Nâng cao nhận thức người dùng (bước quan trọng nhất) – Không bao giờ dán lệnh từ các nguồn không xác định hoặc không đáng tin cậy vào hộp thoại Run, Terminal hoặc PowerShell. Một CAPTCHA hợp pháp sẽ không bao giờ yêu cầu người dùng thực hiện bất kỳ thao tác nào trong số này.
5. Chặn các điểm cuối RPC của hợp đồng thông minh – Khi có thể, hạn chế truy cập ra ngoài đến các cổng RPC công khai của BNB Smart Chain từ các điểm cuối không yêu cầu truy cập blockchain.
6. Sử dụng Microsoft Defender for SmartScreen – Công cụ này giúp chặn các trang web độc hại ở giai đoạn truy cập ban đầu, ngăn người dùng nhìn thấy CAPTCHA giả ngay từ đầu .

Phát hiện và phạm vi bảo vệ

Mặc dù cảnh báo công khai từ Microsoft không cung cấp danh sách đầy đủ các tên phát hiện cụ thể của Microsoft Defender Antivirus cho chiến dịch đặc biệt này , các nghiên cứu bảo mật liên quan từ tháng 7 và tháng 8 năm 2026 chỉ ra rằng Microsoft Defender for Endpoint cung cấp phạm vi bảo vệ theo hành vi cho :

• Các mẫu thực thi living-off-the-land
• Hoạt động WebDAV và MSHTA đáng ngờ
• Thực thi PowerShell bị làm xáo trộn
• Duy trì tồn tại qua tác vụ đã lên lịch
• Thực thi tải trọng trong bộ nhớ
• Đánh cắp thông tin xác thực trình duyệt

Blog về macOS ClickFix được Microsoft công bố vào ngày 5 tháng 8 năm 2026 đã ghi lại rằng Microsoft Defender for SmartScreen chặn trang web độc hại và Defender XDR cung cấp phạm vi bảo vệ bề mặt theo các ánh xạ chiến thuật và kỹ thuật cụ thể . Các phát hiện của Microsoft Defender Antivirus cho họ mối đe dọa ClickFix rộng hơn bao gồm các tên như Behavior:Win32/ClickFix, Trojan:Win32/ClickFix và Trojan:HTML/FakeCaptcha , mặc dù các chữ ký cụ thể cho việc tiêm JavaScript liên quan đến BNB Chain của chiến dịch này đã được triển khai nhưng không được đặt tên riêng lẻ trong cảnh báo công khai .