Một chiến dịch ClickFix mới cho thấy chỉ một thao tác sao chép-dán có thể mở ra cánh cửa xâm nhập vào thiết bị và cả mạng lưới xung quanh. Theo báo cáo từ GBHackers, chiến dịch này sử dụng một thành phần gọi là Lorem Ipsum Loader để cài đặt một tunneling implant dựa trên Python, mang lại cho kẻ tấn công một con đường ẩn để xâm nhập vào nạn nhân. Chuỗi ClickFix attack tunneling implant này là lời nhắc hữu ích rằng một số cuộc tấn công hiệu quả nhất không hề khai thác lỗ hổng phần mềm. Chúng dựa vào việc thuyết phục một người tự chạy mã độc.
Báo cáo nguồn khá ngắn gọn, nên bài viết này chỉ tập trung vào những gì đã được xác nhận: phương thức phát tán, loader, và loại implant liên quan. Ở những chỗ không có thông tin chi tiết, chúng tôi nói rõ như vậy.
Cách ClickFix lừa người dùng tự lây nhiễm
ClickFix là một kỹ thuật social engineering. Thay vì phát tán malware qua một lượt tải xuống rõ ràng, kẻ tấn công hiển thị cho nạn nhân một thông báo trông giống như cách khắc phục thông thường cho một vấn đề. Người dùng được yêu cầu sao chép một lệnh và dán vào một cửa sổ hệ thống, chẳng hạn như hộp thoại Run của Windows hoặc terminal. Vì chính người dùng thực hiện hành động, bước này có thể vượt qua các biện pháp bảo vệ được thiết kế để phát hiện các lượt tải xuống hoặc tệp đính kèm đáng ngờ.
Góc độ khiến cách tiếp cận này hiệu quả là sự đơn giản. Không có trình cài đặt lạ nào để nghi ngờ. Người ta chỉ đang làm theo những gì trông giống như hướng dẫn khắc phục sự cố. Trong chiến dịch này, lệnh được dán đó chính là thứ khởi động chuỗi lây nhiễm dẫn đến Lorem Ipsum Loader.
Lorem Ipsum Loader và tunneling implant làm gì
Loader là một chương trình nhỏ mà nhiệm vụ chính là mang vào một thứ khác. Ở đây, Lorem Ipsum Loader cài đặt một tunneling implant dựa trên Python. Implant là một phần mềm được để chạy trên máy đã bị xâm phạm để kẻ tấn công có thể duy trì quyền truy cập theo thời gian.
Tunneling nghĩa là tạo ra một kênh truyền tải lưu lượng giữa thiết bị bị nhiễm và một hệ thống do kẻ tấn công kiểm soát. Trên thực tế, điều này có thể mang lại cho kẻ tấn công một con đường ẩn vào máy của nạn nhân, và có khả năng là một cách để tiếp cận các tài nguyên khác mà thiết bị có thể thấy. Báo cáo mô tả kết quả là một con đường ẩn vào nạn nhân, đó là rủi ro cốt lõi: hoạt động của kẻ tấn công có thể hòa lẫn với các kết nối bình thường của thiết bị.
Nguồn không cung cấp thêm chi tiết kỹ thuật cụ thể, chẳng hạn như số lượng nạn nhân, hạ tầng đằng sau chiến dịch, hay ai chịu trách nhiệm, nên chúng tôi sẽ không suy đoán về những điểm đó.
Tại sao tunneling implant quan trọng với quyền riêng tư của bạn
Tunneling implant đáng lo ngại vì những gì nó có thể chen vào giữa. Một thiết bị trên mạng gia đình hoặc văn phòng có thể có quyền truy cập vào các tệp cá nhân, phiên đăng nhập đã lưu, công cụ nội bộ, ổ đĩa chia sẻ, và các thiết bị được kết nối khác. Nếu kẻ tấn công có một kênh ẩn vào máy đó, thiết bị có thể trở thành bàn đạp thay vì chỉ là một điểm bị xâm phạm đơn lẻ.
Đó là lý do tại sao một lỗi sao chép-dán có thể gây ảnh hưởng ngoài phạm vi một chiếc laptop. Kiểu truy cập này có thể làm suy yếu quyền riêng tư của mọi thứ mà thiết bị chạm tới. Đối với nhân viên, nó cũng có thể làm tăng rủi ro cho các hệ thống của nhà tuyển dụng có thể truy cập được từ môi trường làm việc tại nhà hoặc từ xa.
Đây là một mô thức tương tự với các trường hợp khác khi các công cụ web thông thường bị lợi dụng để chống lại người dùng. Ví dụ, gần đây chúng tôi đã đưa tin về cách các tiện ích mở rộng Chrome độc hại bị phát hiện đánh cắp dữ liệu crypto, một trường hợp khác mà một thứ trông có vẻ thông thường lại trở thành con đường xâm nhập.
Điều này có ý nghĩa gì với bạn
Điểm mấu chốt là bạn là mục tiêu của thủ thuật, không chỉ phần mềm của bạn. Một máy tính được cập nhật đầy đủ vẫn có thể bị xâm phạm nếu bạn bị thuyết phục chạy một lệnh độc hại. Bất kỳ ai sử dụng máy tính và gặp các trang web, cửa sổ bật lên, hoặc các thông báo xác minh và lỗi giả mạo đều có thể bị phơi nhiễm với kiểu dụ dỗ này.
Tin tốt là biện pháp phòng vệ rất đơn giản và nằm trong tầm kiểm soát của bạn. Cuộc tấn công phụ thuộc vào một hành động, và việc từ chối thực hiện nó sẽ phá vỡ chuỗi.
Dấu hiệu cảnh báo và cách tự bảo vệ
Hãy chú ý những dấu hiệu đỏ sau:
- Một trang web yêu cầu bạn sao chép văn bản và dán vào hộp thoại Run, Terminal, hoặc PowerShell để "khắc phục" một vấn đề hoặc "xác minh" bạn là người thật.
- Hướng dẫn bảo bạn nhấn các phím tắt để mở cửa sổ lệnh hệ thống.
- Một thông báo tạo sự khẩn cấp, tuyên bố rằng thứ gì đó sẽ hỏng hoặc bị chặn trừ khi bạn hành động ngay lập tức.
- Bạn thấy các tiến trình Python không rõ nguồn gốc hoặc hoạt động nền không quen thuộc sau khi làm theo bất kỳ hướng dẫn nào như vậy.
Nếu bạn nghĩ rằng mình đã chạy một lệnh đáng ngờ, hãy ngắt kết nối thiết bị khỏi mạng, chạy quét toàn bộ bằng phần mềm bảo vệ endpoint uy tín, và đổi các mật khẩu quan trọng từ một thiết bị khác, sạch. Nếu máy được dùng cho công việc, hãy thông báo ngay cho đội IT hoặc bảo mật của bạn.
Những điểm chính cần ghi nhớ
Chiến dịch ClickFix attack tunneling implant là lời nhắc rằng một lần dán duy nhất có thể phá hỏng rất nhiều thói quen bảo mật tốt. Để giảm rủi ro:
- Không bao giờ dán lệnh từ thông báo trên web vào terminal hoặc hộp thoại Run trừ khi bạn hiểu rõ chúng và tin tưởng nguồn.
- Giữ hệ điều hành và phần mềm của bạn được vá lỗi, và sử dụng phần mềm bảo vệ endpoint có thể gắn cờ các hành vi đáng ngờ.
- Xem các thông báo "khắc phục" và "xác minh" khẩn cấp với sự nghi ngờ, và đóng trang lại.
- Giữ vệ sinh mạng trong tầm nhìn đúng mức. VPN có thể là một lớp hữu ích để bảo vệ lưu lượng của bạn, nhưng nó không ngăn được malware mà bạn tự chạy trên thiết bị của mình.
Để xem một ví dụ khác về các công cụ web hàng ngày bị lạm dụng, hãy đọc báo cáo của chúng tôi về các tiện ích mở rộng trình duyệt độc hại đánh cắp dữ liệu crypto, và luôn hoài nghi với bất kỳ thông báo nào yêu cầu bạn làm thay công việc của kẻ tấn công.
FAQ: Q1: Kỹ thuật ClickFix là gì? A1: ClickFix là một kỹ thuật social engineering trong đó kẻ tấn công hiển thị cho nạn nhân một thông báo trông giống như cách khắc phục thông thường, hướng dẫn họ sao chép một lệnh và dán vào một cửa sổ hệ thống như hộp thoại Run của Windows hoặc terminal. Q2: Lorem Ipsum Loader làm gì? A2: Lorem Ipsum Loader là một loader—một chương trình nhỏ mà nhiệm vụ chính là mang vào một thứ khác—và trong chiến dịch này nó cài đặt một tunneling implant dựa trên Python. Q3: Tunneling implant là gì? A3: Tunneling implant là phần mềm được để chạy trên máy đã bị xâm phạm, tạo ra một kênh truyền tải lưu lượng giữa thiết bị bị nhiễm và một hệ thống do kẻ tấn công kiểm soát, mang lại cho kẻ tấn công một con đường ẩn vào máy của nạn nhân. Q4: Tại sao cuộc tấn công này hiệu quả trong việc vượt qua các biện pháp bảo vệ? A4: Vì chính người dùng thực hiện hành động bằng cách sao chép-dán một lệnh, bước này có thể vượt qua các biện pháp bảo vệ được thiết kế để phát hiện các lượt tải xuống hoặc tệp đính kèm đáng ngờ. Q5: Báo cáo nguồn có nói có bao nhiêu nạn nhân hoặc ai chịu trách nhiệm không? A5: Không, nguồn không cung cấp thêm chi tiết kỹ thuật cụ thể như số lượng nạn nhân, hạ tầng đằng sau chiến dịch, hay ai chịu trách nhiệm.
---END---
