Một chiến dịch ClickFix mới được ghi nhận đã âm thầm phát triển thành một mạng lưới rộng khắp với hơn 250 tên miền, tất cả được xây dựng để lừa người dùng Mac tự lây nhiễm máy của họ. Điều khiến chiến dịch này đáng chú ý không chỉ là quy mô. Mà là việc kẻ tấn công sử dụng vân tay trình duyệt, chính là kỹ thuật theo dõi mà các nhà quảng cáo và môi giới dữ liệu vẫn dùng, để quyết định ai sẽ thấy mồi nhử độc hại và ai sẽ thấy một trang vô hại.
Cách chiến dịch ClickFix che giấu dấu vết
Các cuộc tấn công ClickFix theo một mô típ quen thuộc: một trang web giả mạo thông báo với khách truy cập rằng trình duyệt hoặc hệ thống của họ gặp lỗi, sau đó hướng dẫn họ sao chép và dán một lệnh vào Terminal để "sửa lỗi". Lệnh đó thực chất cài đặt phần mềm độc hại, trong trường hợp này là một biến thể liên quan đến AMOS, một trình đánh cắp thông tin trên macOS được thiết kế để thu thập mật khẩu đã lưu, dữ liệu trình duyệt và thông tin ví tiền mã hóa.
Điểm khác biệt của chiến dịch này là công nghệ vân tay trình duyệt phía máy chủ. Thay vì đưa ra mồi nhử độc hại cho mọi khách truy cập, hạ tầng của kẻ tấn công kiểm tra các chi tiết về trình duyệt đang truy cập, như độ phân giải màn hình, phông chữ đã cài đặt, chuỗi tác nhân người dùng và các tín hiệu cấu hình tinh vi khác, trước khi quyết định hiển thị nội dung gì. Các trình quét bảo mật, trình thu thập dữ liệu tự động và các nhà nghiên cứu điều tra các tên miền thường thấy một trang sạch sẽ, bình thường. Người dùng Mac thực sự duyệt web một cách bình thường mới là những người bị dẫn dụ vào bẫy ClickFix.
Đây là một bước tiến đáng kể trong cách các chiến dịch phần mềm độc hại trốn tránh bị phát hiện. Thay vì chỉ dựa vào mã bị làm rối hoặc các tên miền tồn tại ngắn hạn, kẻ điều hành sử dụng các kỹ thuật nhận dạng thụ động để lọc đối tượng trước khi cuộc tấn công bắt đầu. Với hơn 250 tên miền được cho là có liên quan, chiến dịch này đủ khả năng dự phòng để việc gỡ bỏ từng trang riêng lẻ không làm chậm toàn bộ hoạt động.
Vân tay trình duyệt: Công cụ cho cả nhà quảng cáo lẫn kẻ tấn công
Vân tay trình duyệt không mới, và bản thân nó không hề độc hại. Các trang web và mạng quảng cáo đã sử dụng những kỹ thuật tương tự trong nhiều năm để theo dõi người dùng qua các phiên mà không cần dùng cookie. Điều mà chiến dịch này cho thấy là cách chính xác những phương pháp định danh thụ động dùng cho theo dõi thương mại có thể bị tái sử dụng để phân phối phần mềm độc hại có chọn lọc trong khi né tránh sự phát hiện.
Sự trùng lặp đó đáng để dừng lại suy nghĩ. Mỗi khi trình duyệt để lộ các chi tiết kỹ thuật chi tiết cho một trang web, nó tạo ra cơ hội cho dữ liệu đó bị sử dụng theo những cách mà khách truy cập không bao giờ lường trước, dù là bởi một sàn quảng cáo xây dựng hồ sơ, hay trong trường hợp này, một kẻ điều hành mã độc quyết định ai đáng để tấn công. Những độc giả muốn tìm hiểu sâu hơn về cách vân tay trình duyệt và các cơ chế theo dõi khác hoạt động, cũng như những gì các công cụ bảo mật tiêu chuẩn có thể và không thể ngăn chặn, có thể thấy hữu ích khi xem lại VPN là gì và hoạt động như thế nào, vì vân tay trình duyệt là một trong những phương pháp theo dõi mà chỉ VPN không thể vô hiệu hóa hoàn toàn.
Tại sao điều này quan trọng vượt ra ngoài macOS
Mặc dù chiến dịch cụ thể này nhắm vào người dùng Mac bằng các trình đánh cắp thông tin kiểu AMOS, kỹ thuật cơ bản—sử dụng vân tay trình duyệt để che giấu nội dung độc hại một cách có chọn lọc khỏi các hệ thống phòng vệ tự động—không bó hẹp trong một nền tảng. Nó phản ánh một xu hướng rộng hơn về việc kẻ điều hành phần mềm độc hại mượn công cụ từ thế giới quảng cáo và phân tích để làm cho hạ tầng của chúng trở nên linh hoạt hơn. Logic che giấu tương tự đã xuất hiện trong các chiến dịch gần đây khác ẩn giấu tải trọng độc hại bên trong các dịch vụ trông có vẻ hợp pháp, chẳng hạn như kỹ thuật msaRAT của nhóm mã độc tống tiền Chaos, che giấu lưu lượng điều khiển và kiểm soát bên trong các tiến trình trình duyệt đáng tin cậy. Sợi chỉ chung là lẩn tránh thông qua vẻ ngoài hợp pháp: kẻ tấn công ngày càng ẩn mình ngay trước mắt thay vì dựa vào hạ tầng rõ ràng đáng ngờ.
Điều này có ý nghĩa gì với bạn
Nếu bạn sử dụng Mac, rủi ro thực tiễn ở đây rất đơn giản: bất kỳ trang web nào yêu cầu bạn mở Terminal và dán một lệnh vào đó để "sửa" lỗi, xác minh bạn là người, hoặc giải quyết một vấn đề bảo mật được cho là đều nên được coi là dấu hiệu cảnh báo. Các bản cập nhật phần mềm hợp pháp và các bước khắc phục sự cố không hoạt động theo cách này. Không có bản sửa lỗi, cập nhật trình duyệt hay xác minh CAPTCHA thực sự nào yêu cầu bạn chạy lệnh shell một cách thủ công.
Bởi vì chiến dịch này dựa vào vân tay trình duyệt để nhắm mục tiêu có chọn lọc vào người dùng thực, các công cụ quét bảo mật tiêu chuẩn có thể không phải lúc nào cũng phát hiện sớm, điều này đặt nặng hơn vào nhận thức của người dùng. Đây cũng là một lời nhắc nhở rằng hoạt động theo dõi dựa trên vân tay trình duyệt, loại mà cả nhà quảng cáo lẫn kẻ tấn công đều sử dụng, phần lớn vô hình đối với phiên duyệt web thông thường trừ khi bạn chủ động sử dụng các biện pháp bảo vệ quyền riêng tư được thiết kế để hạn chế những gì thiết bị của bạn tiết lộ.
Những điều thiết thực cần làm
- Không bao giờ dán một lệnh vào Terminal hoặc Run vì một trang web yêu cầu bạn làm vậy, bất kể trang đó trông có vẻ chính thức đến đâu.
- Luôn cập nhật macOS và trình duyệt của bạn, và hãy hoài nghi với các cửa sổ bật lên tuyên bố cần sửa chữa khẩn cấp.
- Sử dụng các cài đặt trình duyệt hoặc tiện ích mở rộng giới hạn bề mặt vân tay trình duyệt, chẳng hạn như hạn chế liệt kê phông chữ và truy cập canvas nếu có thể.
- Nếu bạn đang nghiên cứu cách các công cụ mã hóa và quyền riêng tư phù hợp với chiến lược phòng thủ rộng hơn, tìm hiểu về mã hóa VPN là một điểm khởi đầu tốt, dù hãy nhớ rằng các biện pháp chống vân tay trình duyệt đòi hỏi các lớp bảo vệ riêng ở cấp trình duyệt.
Chiến dịch ClickFix này là một nghiên cứu tình huống hữu ích về cách kẻ tấn công thích nghi: không phải bằng cách phát minh ra phần mềm độc hại mới, mà bằng cách mượn cơ sở hạ tầng theo dõi của web hiện đại để khiến các thủ đoạn cũ trở nên khó phát hiện hơn. Giữ sự thận trọng trước các hướng dẫn "tự sửa" không được yêu cầu vẫn là cách phòng thủ đơn giản và hiệu quả nhất.
