Điểm chính

  • Tội phạm mạng lạm dụng hơn 20.000 tên miền trên Cloudflare Pages trong nửa năm qua để phát tán cảnh báo bảo mật giả mạo Microsoft.
  • Hệ thống Help TDS được sử dụng để lọc lưu lượng truy cập, điều hướng nạn nhân và khóa trình duyệt nhằm ép gọi số hỗ trợ giả.
  • Mục tiêu cuối cùng là dụ dỗ cài đặt phần mềm điều khiển từ xa như UltraViewer để chiếm quyền thiết bị và đánh cắp dữ liệu.

Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch tấn công mạng quy mô lớn, trong đó tội phạm lợi dụng hơn 20.000 tên miền Cloudflare Pages nhằm phát tán các thông báo giả mạo và lừa đảo người dùng.

Phương thức hoạt động của chiến dịch lừa đảo

Trong sáu tháng qua, chiến dịch này tập trung phát tán các cảnh báo bảo mật giả danh Microsoft với mục đích đánh lừa người dùng, buộc họ phải liên hệ với các trung tâm hỗ trợ kỹ thuật giả mạo. Hệ thống cốt lõi điều phối lưu lượng truy cập được gọi là Help TDS (Help Traffic Distribution System). Hệ thống này đóng vai trò bộ lọc thông minh, kiểm tra chi tiết trình duyệt và vị trí địa lý của nạn nhân trước khi chuyển hướng đến trang đích lừa đảo tương ứng.

Khi người dùng truy cập, màn hình sẽ hiển thị thông báo giả mạo rằng thiết bị đã bị Microsoft vô hiệu hóa, đi kèm âm thanh cảnh báo lớn và số điện thoại hỗ trợ không có thực. Help TDS vận hành như một hệ sinh thái phức tạp khi kẻ tấn công tận dụng các mẫu PHP độc hại cùng các plugin WordPress bị xâm nhập để biến website hợp pháp thành điểm khởi đầu cho chuỗi tấn công.

Mục tiêu chiếm quyền thiết bị

Sau khi nạn nhân truy cập, trình duyệt sẽ bị khóa hoàn toàn (browser lock), tạo cảm giác máy tính đã hỏng hóc nặng nề và thúc đẩy họ gọi điện cho kẻ mạo danh nhân viên Microsoft. Đáng chú ý, mục tiêu của nhóm tội phạm không chỉ dừng lại ở việc thu phí sửa chữa giả mà còn thuyết phục nạn nhân cài đặt các công cụ truy cập từ xa hợp pháp như UltraViewer. Thông qua đó, chúng chiếm quyền điều khiển hệ thống, đánh cắp dữ liệu hoặc tiếp tục triển khai các giai đoạn tấn công sâu hơn.

Lợi dụng hạ tầng Cloudflare Pages

Từ tháng 4 năm 2026, nhóm tội phạm đã chuyển sang dùng hạ tầng Cloudflare Pages nhằm lưu trữ trang lừa đảo. Mỗi ngày, chúng công bố khoảng 300 tên miền mới qua các kênh Telegram, giúp việc thay thế các địa chỉ bị chặn trở nên dễ dàng và duy trì chiến dịch dài hạn. Các chuyên gia làm rõ rằng đây là hạ tầng do kẻ tấn công tự tạo lập chứ không phải tài khoản khách hàng của Cloudflare bị xâm phạm.

Biện pháp phòng ngừa

Để đối phó với chiến dịch này, các cá nhân và tổ chức cần tăng cường bảo mật hệ thống và nâng cao nhận thức. Việc tích hợp các nguồn Threat Intelligence vào hệ thống SIEM/SOC đóng vai trò quan trọng trong việc phát hiện sớm tên miền độc hại trước khi chúng được đưa vào sử dụng thực tế.