Câu trả lờiĐã xuất bản20 nguồn
24 gói npm bị biến thành hạ tầng lừa đảo ClickFix
OX Security phát hiện 24 gói npm chứa cùng một tệp HTML độc hại, mô phỏng CAPTCHA của Cloudflare. Các gói thường chỉ đạt khoảng 50–300 lượt tải mỗi tuần trước khi bị gỡ, nhưng các bản sao trên mirror như unpkg có thể tiếp tục phục vụ trang lừa đảo.
Đăng bởiBiên tập bằng GPT-5.6 LunaHình ảnh được tạo bằng GPT Image 1.5
Câu trả lời nghiên cứu
Bài học chính
- OX Security phát hiện 24 gói npm chứa cùng một tệp HTML độc hại, mô phỏng CAPTCHA của Cloudflare.
- Các gói thường chỉ đạt khoảng 50–300 lượt tải mỗi tuần trước khi bị gỡ, nhưng các bản sao trên mirror như unpkg có thể tiếp tục phục vụ trang lừa đảo.
- Chuỗi chuyển hướng qua các dịch vụ do kẻ tấn công kiểm soát, trong đó có tên miền giả mạo Microsoft và kho khóa giá trị KeyVal, cuối cùng dẫn tới hình thức tấn công ClickFix.
- Bằng chứng hiện có cho thấy đây là một biến thể hạ tầng của xu hướng ClickFix rộng hơn, nhưng chưa chứng minh chiến dịch này do cùng tác nhân vận hành với các chiến dịch khác.
Prompt AI
openai.comCreate a landscape editorial hero image for this Studio Global article: What did OX Security uncover about the campaign using 24 malicious npm packages and trusted mirrors such as unpkg as phishing infrastructure. Article summary: OX Security found that 24 npm packages carried the same malicious HTML file: a fake Cloudflare CAPTCHA. The packages were not designed to infect developers on installation; instead, attackers used npm and automatically s. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
OX Security phát hiện một chiến dịch trong đó 24 gói npm chứa cùng một tệp HTML độc hại: trang CAPTCHA Cloudflare giả. Tuy nhiên, mục tiêu chính của các gói này không phải là lây nhiễm cho lập trình viên ngay khi họ cài đặt package. Kẻ tấn công tận dụng npm và các mirror tự động đồng bộ như unpkg để tạo ra một nơi lưu trữ nội dung lừa đảo trông đáng tin cậy, sau đó phân phối liên kết đến những trang này. 2
17
npm bị biến thành nơi lưu trữ trang lừa đảo
Đây là một cách khai thác hệ sinh thái npm khá khác thường. Payload chỉ là một trang HTML tĩnh, không phải kiểu package bị chèn mã thực thi để chạy trong quá trình cài đặt. Người truy cập tệp liên quan thông qua npm hoặc một package mirror có thể nhìn thấy giao diện xác minh giống Cloudflare, nhưng được phân phối dưới một tên miền dịch vụ quen thuộc. 2
17
Điểm cần phân biệt là: tải một trong các package này không đồng nghĩa với việc máy đã bị nhiễm. Mục tiêu của kẻ tấn công là đưa người dùng đến trang HTML thông qua các liên kết được phát tán từ bên ngoài, rồi dùng registry npm cùng các mirror như một kênh phân phối ổn định. 17
Chuỗi chuyển hướng liên tục thay đổi
Trang CAPTCHA giả chỉ là bước đầu của chuỗi chuyển hướng. Theo OX Security, các phiên bản ban đầu liên lạc với một tên miền giả mạo Microsoft; những báo cáo sau đó ghi nhận các đích đến và hạ tầng thay đổi, trong đó có microcloud[.]homes và login[.]microsofte[.]live. 2
18
Chiến dịch cũng sử dụng KeyVal — một dịch vụ lưu trữ dữ liệu dạng khóa-giá trị công khai — như một “điểm thả” hoặc bộ phân giải thông tin đích. Nhờ vậy, kẻ vận hành có thể thay đổi nơi nạn nhân được chuyển tới mà không phải phát hành lại cùng một tệp HTML trong toàn bộ số package. 21
Cách tổ chức hạ tầng này khiến việc gỡ bỏ trở nên phức tạp hơn. Xóa package khỏi npm không tự động vô hiệu hóa mọi URL đã trỏ tới bản sao được đồng bộ trên mirror. Các báo cáo về chiến dịch cho biết một số tệp package và trang được lưu trên mirror vẫn còn truy cập được sau khi bị gỡ khỏi registry. 17
18
CAPTCHA giả dẫn tới đòn tấn công ClickFix
Màn hình CAPTCHA không phải một bước kiểm tra bảo mật thật. Trang này hướng dẫn nạn nhân sao chép, dán rồi chạy một câu lệnh trên chính thiết bị của họ. Đây là mô hình đặc trưng của ClickFix: thay vì khai thác lỗ hổng phần mềm, kẻ tấn công thuyết phục người dùng tự thực thi mã độc bằng quyền của chính tài khoản đang đăng nhập. 20
25
Các trang xác minh giả thường có sức thuyết phục vì mượn giao diện và thương hiệu quen thuộc của trình duyệt hoặc các dịch vụ bảo mật. Nghiên cứu về những chiến dịch tương tự mô tả các nút xác minh hoặc hướng dẫn có thể âm thầm đưa câu lệnh vào clipboard, rồi chỉ dẫn người dùng dùng phím tắt hoặc mở cửa sổ hệ điều hành để thực thi. 26
28
Nguyên tắc thực tế rất đơn giản: CAPTCHA hợp pháp không bao giờ yêu cầu người dùng mở Shell, PowerShell, Terminal hay hộp thoại Run để chạy một đoạn văn bản được sao chép từ trang web.
Các package có bao nhiêu lượt tải?
Theo OX Security, mỗi package thường đạt khoảng 50–300 lượt tải mỗi tuần trước khi bị gỡ bỏ. 2 Con số này phản ánh hoạt động trên registry, không phải tổng số người từng nhìn thấy các trang lừa đảo thông qua liên kết trực tiếp, tin nhắn hoặc URL của mirror.
Vì thế, số liệu tải package thông thường có thể đánh giá thấp phạm vi mà chiến dịch nhắm tới. Các package hoạt động như một mạng lưới trang đích được lưu trữ sẵn, còn URL có thể được phát tán qua tin nhắn lừa đảo, website bị xâm nhập hoặc các kênh khác. 2
17
Vì sao chiến dịch có thể tồn tại sau khi package bị gỡ?
npm và những dịch vụ mirror tự động đồng bộ có thể tạo ra nhiều bản sao của cùng một tệp HTML. Khi package gốc bị xóa khỏi registry, bản sao đã được mirror có thể vẫn tồn tại và tiếp tục được phục vụ qua URL cũ. Điều đó giúp các liên kết đã được phát tán trước đó không lập tức mất tác dụng. 17
18
Ngoài ra, việc dùng KeyVal làm nơi lưu thông tin chuyển hướng cho phép kẻ tấn công thay đổi đích đến mà không cần sửa mọi trang HTML. Hạ tầng lưu trữ và hạ tầng chuyển hướng vì vậy được tách rời: một bên có thể còn tồn tại trên mirror, trong khi bên kia liên tục thay đổi để né các biện pháp chặn. 21
Một phần của xu hướng ClickFix rộng hơn
Chiến dịch npm này nên được xem là một biến thể về hạ tầng trong mô hình ClickFix đang lan rộng. Trong nhiều chiến dịch được báo cáo, kẻ tấn công kết hợp một mồi nhử quen thuộc — chẳng hạn CAPTCHA, lỗi trình duyệt, bản cập nhật giả hoặc tiện ích phần mềm — với hướng dẫn khiến nạn nhân tự chạy câu lệnh. Proofpoint mô tả ClickFix là một phương thức ngày càng phổ biến để phát tán mã độc, trong khi Microsoft đã ghi nhận những biến thể dùng gián đoạn và kỹ thuật thao túng tâm lý để tăng khả năng nạn nhân thực thi lệnh. 22
25
27
Các tên gọi như PavinLoader, EtherHiding, Amatera Stealer, những trang OpenAI Codex giả nhắm tới lập trình viên Mac và ACR Stealer có thể minh họa cho sự hội tụ của xu hướng “người dùng tự thực thi”. Tuy nhiên, bằng chứng được cung cấp không xác nhận chiến dịch 24 package này do cùng một tác nhân vận hành với bất kỳ chiến dịch nào trong số đó.
Tương tự, dữ liệu hiện có cũng không đủ để xác nhận mối liên hệ giữa chiến dịch này với cáo buộc về một chiến dịch Beamglea trước đó lạm dụng 175 package npm. Không nên xem đây là cùng một chiến dịch nếu chưa có thêm bằng chứng về tác nhân hoặc hạ tầng chung.
Bài học an toàn quan trọng
Vụ việc mở rộng cách chúng ta định nghĩa một mối đe dọa chuỗi cung ứng npm. Một package không nhất thiết phải chạy mã độc trong lúc cài đặt mới có ích cho kẻ tấn công. Chỉ một tệp HTML tĩnh, được lưu trên registry đáng tin cậy và các mirror của nó, cũng có thể trở thành “cửa trước” cho một chiến dịch lừa đảo.
Với lập trình viên và đội ngũ bảo mật, các biện pháp cần thiết gồm kiểm tra kỹ những URL npm và CDN bất ngờ, xem hướng dẫn xác minh giả là dấu hiệu của kỹ thuật thao túng tâm lý, theo dõi hành vi thực thi lệnh đáng ngờ trên trình duyệt và thiết bị, đồng thời không chạy lệnh được sao chép từ webpage.
Dấu hiệu cảnh báo quan trọng nhất không nằm ở bản thân CAPTCHA, mà ở yêu cầu người dùng phá vỡ thói quen bảo mật thông thường bằng cách dán và thực thi một đoạn văn bản.
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Người ta cũng hỏi
Câu trả lời ngắn gọn cho "24 gói npm bị biến thành hạ tầng lừa đảo ClickFix" là gì?
OX Security phát hiện 24 gói npm chứa cùng một tệp HTML độc hại, mô phỏng CAPTCHA của Cloudflare.
Những điểm chính cần xác nhận đầu tiên là gì?
OX Security phát hiện 24 gói npm chứa cùng một tệp HTML độc hại, mô phỏng CAPTCHA của Cloudflare. Các gói thường chỉ đạt khoảng 50–300 lượt tải mỗi tuần trước khi bị gỡ, nhưng các bản sao trên mirror như unpkg có thể tiếp tục phục vụ trang lừa đảo.
Tôi nên làm gì tiếp theo trong thực tế?
Chuỗi chuyển hướng qua các dịch vụ do kẻ tấn công kiểm soát, trong đó có tên miền giả mạo Microsoft và kho khóa giá trị KeyVal, cuối cùng dẫn tới hình thức tấn công ClickFix.