- ClickFix lừa người dùng tự chạy các lệnh độc hại thông qua clipboard và cửa sổ Run của Windows.
- Nó sử dụng các chiêu trò đánh lạc hướng như lỗi trình duyệt giả, mã CAPTCHA hoặc thông báo cập nhật để lừa nạn nhân mắc sai lầm.
- Nó phát tán nhiều loại mối đe dọa khác nhau, từ các phần mềm đánh cắp thông tin (Infostealer) đến các phần mềm độc hại truy cập từ xa và mã độc tống tiền (ransomware).
Chắc hẳn bạn cũng từng gặp phải tình huống này: bạn đang lướt web một cách bình yên thì đột nhiên một cửa sổ bật lên thông báo trình duyệt của bạn đã lỗi thời hoặc có vấn đề với micro trong Zoom. Thoạt nhìn, điều này có vẻ tầm thường, nhưng đây chính là lúc ClickFix phát huy tác dụng , một thủ đoạn kỹ thuật xã hội đang trở nên rất phổ biến gần đây để lén lút đưa virus vào máy tính mà chúng ta không hề hay biết.
Điều nguy hiểm nhất ở đây là đây không phải là một tập tin bạn tải xuống và mở; tội phạm mạng lừa chúng ta tự chạy mã độc . Về cơ bản, chúng khiến chúng ta làm việc bẩn thỉu trong khi chúng ta nghĩ rằng mình đang khắc phục một vấn đề kỹ thuật, từ đó vượt qua hầu hết các chương trình chống virus truyền thống chỉ quét các tập tin đáng ngờ.
ClickFix thực chất là một trò lừa đảo như thế nào?
Kỹ thuật này dựa trên việc sử dụng các cảnh báo giả mạo bắt chước lỗi hệ thống, xác minh CAPTCHA hoặc hệ thống Cloudflare nổi tiếng. Mục tiêu là tạo ra cảm giác khẩn cấp hoặc cần thiết để người dùng nhấp vào một nút, thường được dán nhãn "Sửa lỗi" hoặc "Khắc phục sự cố ". Khi nút đó được nhấp, một điều gì đó vô hình sẽ xảy ra: trình duyệt tự động sao chép một lệnh độc hại vào bộ nhớ tạm của máy tính.
Sau khi sao chép mã, kẻ tấn công sẽ hướng dẫn chúng ta từng bước thực thi nó. Thông thường, chúng hướng dẫn chúng ta nhấn tổ hợp phím Win+R , dán nội dung (Ctrl+V) và nhấn Enter. Thao tác này sẽ mở hộp thoại "Run" của Windows và khởi chạy một tập lệnh PowerShell với quyền người dùng của chúng ta, cho phép phần mềm độc hại tự cài đặt trực tiếp vào bộ nhớ máy tính , bỏ qua việc ghi vào ổ đĩa và do đó không bị phát hiện bởi nhiều hệ thống EDR.
Các biến thể và chiến thuật liên quan: vụ án FileFix
Mặc dù ClickFix là phiên bản nổi tiếng nhất, nhưng một phiên bản cải tiến khác gọi là FileFix đã xuất hiện . Sự khác biệt chính là thay vì sử dụng hộp thoại Run, phương pháp này đánh lừa chúng ta bằng cách dán mã vào thanh địa chỉ của File Explorer . Vì đây là công cụ chúng ta sử dụng thường xuyên và quen thuộc, nên mọi người không ngờ rằng Explorer cũng có thể thực thi các lệnh hệ thống.
Trong FileFix, kẻ tấn công thường sử dụng các thủ thuật đánh lừa thị giác, chẳng hạn như thêm một lượng lớn khoảng trắng trước mã độc. Bằng cách này, thanh địa chỉ chỉ hiển thị phần cuối của đường dẫn (trông giống như một tệp PDF hoặc một tài liệu hợp lệ), nhưng khi nhấn Enter sẽ thực thi toàn bộ mã độc được ẩn bên trái.
Các loại phần mềm độc hại được phát tán bằng phương pháp này
Hệ thống phân phối này giống như một "taxi" có thể vận chuyển bất kỳ loại hàng hóa độc hại nào. Đã có những trường hợp được ghi nhận trong đó các phần mềm đánh cắp thông tin như Lumma Stealer, Vidar hoặc StealC được cài đặt , với mục đích duy nhất là đánh cắp mật khẩu, cookie phiên và khóa ví tiền điện tử. Các phần mềm độc hại truy cập từ xa (RAT) như NetSupport RAT hoặc AsyncRAT cũng được sử dụng , cho phép kẻ tấn công kiểm soát hoàn toàn máy tính.
Hơn nữa, các chiến dịch tấn công mạnh mẽ hơn đã xuất hiện, sử dụng phần mềm tống tiền như Qilin hoặc Interlock , mã hóa các tập tin và đòi tiền chuộc, hoặc rootkit ẩn sâu trong hệ điều hành. Một số nhóm tin tặc Triều Tiên thậm chí còn sử dụng ClickFix trong các tin tuyển dụng giả mạo cho các công ty tiền điện tử, gửi các bài kiểm tra kỹ thuật thực chất là bẫy được thiết kế để lây nhiễm cho người ứng tuyển.
Tác động thực tiễn và các trường hợp điển hình tại Mỹ Latinh
Đây không phải là mối đe dọa lý thuyết; nó đã tấn công các tổ chức lớn. Tại Mỹ Latinh, các vụ tấn công đã được báo cáo tại Đại học Công giáo Chile và Quỹ Nhà ở Cảnh sát Peru, sử dụng một khung phần mềm có tên ClearFake. Khung phần mềm này chèn mã JavaScript vào các trang web hợp pháp đã bị tấn công, khiến trang web chính thức có vẻ như bị sập và buộc người dùng phải thực hiện thao tác "sửa chữa" độc hại.
Phạm vi ảnh hưởng là toàn cầu và tác động đến các lĩnh vực quan trọng như dịch vụ tài chính, sản xuất và chính quyền địa phương . Kẻ tấn công thường lợi dụng lỗi chiếm đoạt tên miền bằng cách tạo ra các tên miền gần giống với tên miền hợp pháp (ví dụ: iplogger[.]co thay vì iplogger[.]org) để chuyển hướng nạn nhân đến các trang xác minh giả mạo này.
Làm thế nào để nhận biết và tránh rơi vào bẫy?
Cách phòng vệ tốt nhất đơn giản chỉ là sử dụng lý trí thông thường. Không có trình duyệt, chương trình gọi video hay trang web bảo mật hợp pháp nào yêu cầu bạn mở PowerShell hoặc terminal để sửa lỗi. Nếu bạn thấy hướng dẫn yêu cầu sao chép và dán mã lạ vào hộp thoại Run hoặc File Explorer, hãy dừng duyệt web ngay lập tức và đóng tab đó.
Đối với người dùng am hiểu kỹ thuật hoặc quản trị viên hệ thống, các cuộc tấn công này để lại dấu vết. Một trong số đó là khóa đăng ký RunMRU , nơi Windows lưu trữ các lệnh cuối cùng được thực thi từ tổ hợp phím Win+R. Nếu các chuỗi văn bản bị che giấu hoặc các lệnh gọi đến các miền không xác định xuất hiện ở đó, rất có thể máy tính đã bị xâm nhập. Điều quan trọng nữa là phải luôn cập nhật hệ điều hành và sử dụng xác thực hai yếu tố để hạn chế thiệt hại nếu thông tin đăng nhập bị đánh cắp.
Để đảm bảo an toàn, điều quan trọng nhất là phải cảnh giác với bất kỳ thông báo khẩn cấp nào yêu cầu chúng ta thực hiện các bước thủ công trong bảng điều khiển hệ thống. Sự kết hợp giữa kiến thức kỹ thuật số, việc sử dụng các giải pháp chống phần mềm độc hại cập nhật và sự thận trọng khi duyệt các trang web không rõ nguồn gốc sẽ tạo nên rào cản hiệu quả nhất chống lại các kỹ thuật tấn công chiếm đoạt mã độc nhằm biến chúng ta thành đồng phạm bất đắc dĩ trong việc tự lây nhiễm.