Điểm chính

  • Kỹ thuật ClickFix lợi dụng tâm lý người dùng để đánh lừa họ tự chạy lệnh độc hại thông qua PowerShell hoặc Windows Terminal.
  • Kẻ tấn công sử dụng phương pháp DLL sideloading kết hợp tệp thực thi được ký số để qua mặt các lớp bảo mật ban đầu.
  • Mã độc thiết lập đường hầm Python ngụy trang dưới dạng lưu lượng truy cập web thông thường nhằm kết nối với máy chủ điều khiển.

Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch tấn công mạng tinh vi, trong đó tội phạm mạng tận dụng kỹ thuật 'ClickFix' kết hợp với đường hầm Python để xâm nhập hệ thống Windows và chuẩn bị cho các cuộc tấn công mã độc tống tiền (ransomware).

Phương thức hoạt động của kỹ thuật ClickFix

Kỹ thuật ClickFix không khai thác các lỗ hổng phần mềm sẵn có mà dựa vào việc lừa gạt người dùng. Kẻ tấn công ngụy trang các lệnh độc hại thành những bước xác thực hoặc hướng dẫn sửa lỗi hệ thống thông thường. Biến thể 'TerminalFix' đặc biệt nguy hiểm khi dụ dỗ nạn nhân sao chép và dán trực tiếp đoạn mã độc vào PowerShell hoặc Windows Terminal, từ đó tạo ra đường hầm ngược xâm nhập vào hệ thống mạng doanh nghiệp.

Quy trình lây nhiễm và kỹ thuật né tránh

Trong các trường hợp được ghi nhận, mã độc được phân phối qua các tệp ZIP chứa tệp thực thi Microsoft có chữ ký số hợp lệ, một tệp DLL độc hại và một tập lệnh batch. Kẻ tấn công áp dụng kỹ thuật DLL sideloading nhằm kích hoạt thư viện mã độc khi ứng dụng hợp pháp chạy lên. Tiếp theo, tập lệnh batch thiết lập các tác vụ định kỳ (scheduled task) cùng các mục đăng ký (registry) nhằm duy trì sự hiện diện bền vững trên hệ thống.

Thiết lập kết nối và điều khiển từ xa

Để giao tiếp với máy chủ điều khiển (C2), mã độc Lorem Ipsum sử dụng phương pháp 'dead-drop', trích xuất dữ liệu mã hóa từ các diễn đàn công cộng. Trình tải liên tục kiểm tra tác vụ mới sau mỗi 5 giây bằng cách giả mạo lưu lượng truy cập của trình duyệt Firefox. Cuối cùng, một công cụ đường hầm Python được triển khai, kết nối qua cổng 443 bằng giao thức TLS trước khi chuyển đổi sang WebSocket.

Giải pháp phòng ngừa cho tổ chức

Nhằm giảm thiểu rủi ro từ các cuộc tấn công dạng này, giới chuyên gia khuyến nghị các doanh nghiệp cần nâng cao nhận thức bảo mật cho nhân viên. Đồng thời, các hệ thống giám sát cần đặc biệt chú ý phát hiện chuỗi tiến trình PowerShell bất thường, các tệp DLL tải từ thư mục ngoài hệ thống, cũng như các tác vụ định kỳ và mục đăng ký đáng ngờ.