Vào ngày 14 tháng 5 năm 2026, đội ngũ Zscaler ThreatLabz đã xác định một cuộc tấn công chuỗi cung ứng trong đó tác nhân đe dọa SmartApeSG (còn được theo dõi với tên ZPHP và HANEYMANEY) đã tiêm mã JavaScript độc hại vào tập lệnh widget Okendo Reviews hợp pháp ![]()
![]()
. Okendo là một nền tảng đánh giá khách hàng được sử dụng bởi hơn 18.000 thương hiệu trên các trang gian hàng thương mại điện tử, trang sản phẩm và biểu mẫu đánh giá có lượng truy cập cao trên toàn thế giới ![]()
![]()
![]()
. Sự xâm phạm này đã khiến hàng triệu người mua sắm trực tuyến có nguy cơ nhiễm mã độc, và nền tảng đám mây của Zscaler đã ghi nhận gần 15.000 lượt chặn liên quan đến hoạt động của SmartApeSG chỉ trong một ngày ![]()
![]()
. Bài viết này phân tích cơ chế kỹ thuật của cuộc tấn công, quy mô của vụ vi phạm, các loại mã độc được phát tán và cách Okendo đã phản ứng.
Cơ chế kỹ thuật của mã JavaScript độc hại
Mã được tiêm hoạt động như một trình tải theo giai đoạn (staged loader) với nhiều lớp né tránh và nhắm mục tiêu ![]()
![]()
. Thay vì thả mã độc ngay lập tức, nó đầu tiên thực hiện các kiểm tra môi trường để tránh bị phát hiện và đảm bảo nạn nhân là mục tiêu phù hợp:
- Theo dõi qua localStorage — Khi truy cập lần đầu, tập lệnh đặt một dấu thời gian trong bộ nhớ localStorage của trình duyệt. Điều này ngăn việc thực thi lặp lại cho cùng một người dùng, giảm nhiễu và giảm nguy cơ kích hoạt cảnh báo bảo mật trong quá trình kiểm tra thông thường
![]()
![]()
![]()
.
- Lọc theo User-Agent (loại trừ thiết bị di động) — Tập lệnh kiểm tra chuỗi User-Agent của khách truy cập để bỏ qua trình duyệt di động và chỉ nhắm vào môi trường máy tính để bàn. Các giai đoạn lây nhiễm sau này dựa vào các tương tác cụ thể của Windows, vì vậy nạn nhân di động hoàn toàn bị bỏ qua
![]()
![]()
![]()
.
- Mã hóa XOR — Trình tải động tái tạo URL máy chủ điều khiển (C2) giai đoạn tiếp theo bằng cách giải mã các đoạn chuỗi đã được mã hóa XOR trong thời gian chạy, vượt qua các phương pháp phát hiện dựa trên chữ ký cơ bản
![]()
.
Thủ đoạn ClickFix kỹ thuật xã hội
ClickFix là một kỹ thuật kỹ thuật xã hội, nơi một tập lệnh độc hại sao chép một lệnh vào clipboard của người dùng, sau đó hiển thị hướng dẫn yêu cầu họ dán và chạy lệnh đó — thường là bằng cách nhấn Win + R, dán và nhấn Enter. Lệnh được ngụy trang như một bước xác minh. Trong cuộc tấn công này, mồi nhử ClickFix được nhúng vào một trang CAPTCHA giả do widget bị xâm phạm tạo ra ![]()
![]()
![]()
. Nếu người dùng làm theo hướng dẫn, lệnh đã dán sẽ kích hoạt một tập lệnh PowerShell hoặc một tệp HTML Application (HTA), sau đó tải xuống và cài đặt mã độc ![]()
![]()
![]()
.
Phân phối Payload: RAT và Trình đánh cắp thông tin
Sau khi mồi nhử ClickFix được thực thi, chuỗi lây nhiễm sẽ phân phối một hoặc nhiều payload sau ![]()
![]()
![]()
![]()
:
- NetSupport RAT — Một trojan truy cập từ xa cho phép kẻ tấn công điều khiển từ xa liên tục thiết bị bị nhiễm.
- Remcos RAT — Một trojan truy cập từ xa có khả năng ghi lại thao tác bàn phím, giám sát và đánh cắp thông tin đăng nhập.
- StealC — Một trình đánh cắp thông tin nhắm vào mật khẩu và thông tin tài chính.
- Sectop RAT — Một trojan truy cập từ xa được sử dụng cho mục đích gián điệp.
- DeerStealer — Một trình đánh cắp thông tin đã được quan sát thấy trong các biến thể ClickFix trước đó của SmartApeSG
![]()
.
Quy mô của vụ vi phạm
- Hơn 18.000 thương hiệu thương mại điện tử đã sử dụng widget Okendo bị xâm phạm, làm lộ ra một bề mặt tấn công hạ nguồn khổng lồ
![]()
![]()
.
- Các trang bị ảnh hưởng bao gồm từ các cửa hàng trực tuyến quy mô vừa đến các thương hiệu bán lẻ lớn của Mỹ, với ước tính lưu lượng truy cập từ 150.000 đến vài triệu lượt truy cập hàng tháng mỗi trang. Một thương hiệu bán lẻ Mỹ bị ảnh hưởng thu hút khoảng 7 triệu lượt truy cập mỗi tháng
![]()
.
- Chỉ riêng trong ngày 14 tháng 5 năm 2026, nền tảng đám mây của Zscaler đã ghi nhận gần 15.000 lượt chặn liên quan đến hoạt động của SmartApeSG — khối lượng hàng ngày cao nhất từng thấy đối với tác nhân đe dọa này
![]()
![]()
.
Lịch sử phần mềm độc hại trước đây của SmartApeSG
SmartApeSG không phải là một tác nhân mới. Nhóm này có lịch sử được ghi nhận về việc thực hiện các chiến dịch kiểu ClickFix kể từ giữa năm 2024, phân phối NetSupport RAT, Remcos RAT, StealC và Sectop RAT qua nhiều chiến dịch trước đó ![]()
![]()
![]()
. Các chiến dịch trước đây đã sử dụng các trang web bị xâm phạm với các trang CAPTCHA giả để lừa người dùng dán và thực thi các lệnh độc hại thông qua hộp thoại Run của Windows ![]()
![]()
![]()
. Nhóm này cũng đã được quan sát thấy triển khai trình đánh cắp thông tin DeerStealer trong các biến thể ClickFix trước đó ![]()
. Cuộc tấn công Okendo đánh dấu một sự leo thang: thay vì lây nhiễm các trang web riêng lẻ, SmartApeSG đã xâm phạm một widget của bên thứ ba được sử dụng rộng rãi để tiếp cận hàng nghìn trang web cùng một lúc — một bộ khuếch đại chuỗi cung ứng cổ điển .
Các bước khắc phục đã thực hiện
