Mối đe dọa

Cảnh báo chiến dịch ClickFix giả mạo xác thực Cloudflare nhắm vào người dùng Windows và Mac

Các nhà nghiên cứu an ninh mạng vừa phát hiện chiến dịch ClickFix mới sử dụng trang xác thực Cloudflare giả mạo để lừa người dùng thực thi mã độc hại trên máy tính cá nhân.

RSS Source
RSS SourceAI Rewrite
~5 phút đọc•1.002 lượt xem
Hackers Use Fake Cloudflare Verification Pages to Target Windows and Mac Users
  • Cơ chế tấn công: Kẻ tấn công lợi dụng sự tin tưởng của người dùng vào các trang kiểm tra "Verify you are human" của Cloudflare để thực thi lệnh độc hại.
  • Phạm vi ảnh hưởng: Chiến dịch nhắm mục tiêu song song vào cả hệ điều hành Windows và macOS thông qua các kịch bản tùy chỉnh.
  • Phương thức lây nhiễm: Không sử dụng lỗ hổng phần mềm (Zero-day), thay vào đó là kỹ thuật thao túng tâm lý (Social Engineering) yêu cầu người dùng tự tay chạy lệnh.
  • Khuyến nghị: Tuyệt đối không sao chép và thực thi các lệnh lạ từ trình duyệt vào PowerShell hoặc Terminal.

Một chiến dịch tấn công mạng mới với tên gọi ClickFix đang gây chú ý khi sử dụng các trang xác thực Cloudflare giả mạo để đánh lừa người dùng Windows và Mac. Thay vì thực hiện các bước kiểm tra bảo mật thông thường, nạn nhân bị dẫn dụ thực thi các lệnh độc hại trực tiếp trên máy tính của chính mình. Hoạt động này được ghi nhận lần đầu vào ngày 28 tháng 10 năm 2026 trên các trang web hợp pháp đã bị chiếm quyền điều khiển.

Phân tích kỹ thuật chuỗi tấn công ClickFix

Chuỗi tấn công bắt đầu khi người dùng truy cập vào một trang web đã bị xâm nhập. Một đoạn mã script ẩn được tải từ tên miền js-static[.]cfd sẽ tự động thực thi trong trình duyệt của nạn nhân. Script này thực hiện các tác vụ thu thập thông tin như múi giờ, vị trí địa lý và địa chỉ IP để tùy chỉnh nội dung hiển thị, đồng thời tải logo và font chữ của Cloudflare nhằm tạo giao diện giả mạo giống hệt thực tế.

Fake verification page with ClickFix instructions (Source - Internet Storm Center)
Hình 1: Giao diện trang xác thực giả mạo yêu cầu người dùng thực hiện các bước "xác minh" bằng cách chạy lệnh thủ công.

Điểm cốt lõi của kỹ thuật ClickFix nằm ở việc không khai thác bất kỳ lỗ hổng phần mềm nào. Kẻ tấn công dựa hoàn toàn vào sự thiếu cảnh giác của người dùng khi thực hiện theo các hướng dẫn "xác minh" giả tạo. Mỗi hệ điều hành sẽ nhận được một bộ hướng dẫn riêng biệt: người dùng Windows được yêu cầu chạy lệnh trỏ đến api-com[.]cfd, trong khi người dùng macOS nhận lệnh trỏ đến cf-id[.]com.

Tại sao ClickFix vẫn hiệu quả và cách phòng chống

ClickFix duy trì được hiệu quả nhờ đánh vào tâm lý tin tưởng vào các giao thức bảo mật quen thuộc. Người dùng thường không nghi ngờ khi thấy các thông báo xác thực của Cloudflare. Tuy nhiên, việc yêu cầu người dùng dán một đoạn mã vào PowerShell hoặc Terminal là dấu hiệu cảnh báo đỏ (red flag) mà bất kỳ người dùng nào cũng cần phải nhận diện.

The domain in the ClickFix command for macOS didn
Hình 2: Các nhà nghiên cứu ghi nhận tên miền độc hại không thể phân giải, cho thấy sự thay đổi liên tục trong hạ tầng C2 của kẻ tấn công.

Các tổ chức như CERT-UA đã từng báo cáo về các chiến dịch tương tự như LUNEXSTEALER, nhắm vào hơn 100 trang web bị hack. Đối với người dùng macOS, Apple đã bắt đầu tích hợp tính năng bảo vệ dán lệnh vào Terminal để cảnh báo khi người dùng thực thi các lệnh đáng ngờ. Để bảo vệ hệ thống, các quản trị viên cần thực hiện các biện pháp hardening sau:

  • Chính sách bảo mật: Cấu hình Group Policy để hạn chế quyền truy cập vào hộp thoại Run hoặc PowerShell đối với người dùng không có đặc quyền.
  • Giám sát hệ thống: Thiết lập cảnh báo SIEM cho các tiến trình lạ khởi chạy từ Terminal hoặc PowerShell.
  • Chặn tên miền độc hại: Cập nhật danh sách chặn (blocklist) cho các tên miền liên quan đến chiến dịch này trên Firewall và Proxy.

Bảng chỉ số IOCs (Indicators of Compromise)

LoạiGiá trị / Chỉ sốMô tả tác động
Domainjs-static[.]cfdMáy chủ lưu trữ script và tài nguyên trang giả mạo
URLhxxps[:]//js-static[.]cfd/embed.js?v=24Script khởi tạo chuỗi tấn công
URLhxxps[:]//cf-id[.]com/?ray-id=...Lệnh ClickFix cho macOS
URLhxxps[:]//api-com[.]cfd/7ge0w58tzzjsv9Lệnh ClickFix cho Windows
⚠️ Cảnh báo quan trọng: Các địa chỉ IP và tên miền đã được làm mờ (defanged) để đảm bảo an toàn. Chỉ thực hiện phân tích trong môi trường sandbox cô lập hoặc các nền tảng Threat Intelligence chuyên dụng như MISP hoặc VirusTotal.

Việc kiểm tra định kỳ các script không xác định trên website là trách nhiệm của quản trị viên hệ thống. Kẻ tấn công thường xuyên lợi dụng các trang web hợp pháp để làm bàn đạp phát tán mã độc, do đó, việc duy trì tính toàn vẹn của mã nguồn website là yếu tố then chốt để ngăn chặn các chiến dịch ClickFix trong tương lai.

Tổng hợp, và phân tích kỹ thuật từ:Cyber Security News
Xem bài gốc

Mạng Lưới An Ninh Mạng & Cộng Đồng

24/7 Alerts

Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.

RSS Source

Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.

Bài Viết Liên Quan

Cùng chuyên mục & chủ đề