Chiến dịch tấn công ClickFix: Mã độc ẩn mình trong ảnh PNG và chiếm quyền Domain Controller

• Tiến hóa kỹ thuật: Kẻ tấn công hiện sử dụng tệp ảnh PNG chứa dữ liệu thực thi, kết hợp với các giao diện xác thực giả mạo để lừa người dùng chạy lệnh PowerShell.
• Mục tiêu chiến lược: Các cuộc xâm nhập không dừng lại ở máy trạm mà đã vươn tới Windows Domain Controller, cho phép kẻ tấn công thực hiện leo thang đặc quyền và di chuyển ngang (lateral movement).
• Dấu hiệu nhận biết: Sự xuất hiện của các tiến trình lạ, tệp thực thi được tái tạo từ dữ liệu ảnh và các kết nối SSH bất thường tới hạ tầng C2.
• Khuyến nghị phòng thủ: Cần hạn chế quyền thực thi lệnh từ trình duyệt, giám sát chặt chẽ các tiến trình PowerShell và theo dõi các thay đổi trong Registry/Scheduled Tasks.

Các cuộc tấn công theo phương thức ClickFix đang chứng kiến những bước tiến hóa đáng kể về kỹ thuật. Thay vì chỉ dừng lại ở việc lừa người dùng tải xuống các tệp thực thi độc hại thông thường, các chiến dịch gần đây đã ghi nhận việc ẩn giấu payload thực thi bên trong các tệp hình ảnh PNG. Đáng chú ý hơn, các cuộc xâm nhập này đã thành công trong việc tiếp cận và kiểm soát các Windows Domain Controller, gây ra rủi ro nghiêm trọng cho hạ tầng mạng doanh nghiệp.

Cơ chế tấn công ClickFix cải tiến

Theo báo cáo từ các nhà nghiên cứu bảo mật, kỹ thuật này dựa trên việc thuyết phục người dùng sao chép và thực thi một đoạn mã lệnh từ trang web. Để tăng tỷ lệ thành công, kẻ tấn công đã đầu tư xây dựng các giao diện giả mạo tinh vi, bao gồm các thông báo xác thực bảo mật, thông báo terminal với màu sắc bắt mắt và thanh tiến trình giả, khiến quá trình cài đặt mã độc trông giống như một bước kiểm tra trình duyệt thông thường.

Trong một kịch bản phân tích, lệnh PowerShell được người dùng dán vào terminal sẽ hiển thị một thông báo kiểm tra Cloudflare giả mạo, đồng thời âm thầm tải xuống một tệp lưu trữ. Tệp này chứa một tệp thực thi hợp lệ của Microsoft, một tệp DLL độc hại và một tập lệnh batch. Tập lệnh này có nhiệm vụ truy xuất các tệp ảnh PNG, trích xuất dữ liệu thực thi ẩn trong các pixel, tái tạo tệp nhị phân trên đĩa và thực thi chúng.

Kỹ thuật duy trì sự hiện diện (Persistence)

Khác với các kỹ thuật ẩn giấu shellcode trước đây, chuỗi tấn công này tái tạo hoàn chỉnh các tệp thực thi. Kẻ tấn công sử dụng Scheduled Tasks và các khóa Registry Run để duy trì quyền truy cập sau khi khởi động lại hệ thống. Đáng chú ý, bản thân tệp ảnh không phải là tác nhân kích hoạt, mà chính lệnh do người dùng thực thi đã khởi động quy trình trích xuất và chạy mã độc.

Xâm nhập sâu vào hạ tầng Domain Controller

Một cuộc xâm nhập được ghi nhận vào tháng 9 đã sử dụng kỹ thuật DLL sideloading và các công cụ quản trị Windows để đạt được quyền kiểm soát trên một Domain Controller chính. Sau khi thiết lập sự hiện diện, kẻ tấn công đã tiến hành liệt kê các mối quan hệ tin cậy (domain trusts), danh sách thành viên quản trị và chi tiết tài khoản. Việc sử dụng WinRM đã hỗ trợ đắc lực cho quá trình di chuyển ngang, tiếp nối bằng việc tạo tài khoản mới và thiết lập đường hầm reverse SSH.

Khuyến nghị phòng thủ và Săn tìm mối đe dọa

Các nhà nghiên cứu nhấn mạnh rằng quản trị viên cần tập trung giám sát các môi trường thực thi kịch bản (scripting runtimes) bất thường thay vì chỉ tin tưởng vào giao diện ứng dụng. Ví dụ, mã độc DuskDesk (một loại Node.js RAT) đã được ngụy trang dưới dạng phần mềm quản lý, sử dụng tính năng duy trì đăng nhập để kết nối với máy chủ điều khiển.

⚠️ Cảnh báo quan trọng: Người dùng tuyệt đối không được sao chép và dán các hướng dẫn từ trang web vào terminal. Các tổ chức cần thiết lập chính sách hạn chế thực thi các tệp không rõ nguồn gốc và giám sát chặt chẽ các lệnh PowerShell được mã hóa, các mục khởi động mới và lưu lượng SSH bất thường.

Để biết thêm chi tiết về các kỹ thuật tấn công này, bạn có thể tham khảo khung phân loại của MITRE ATT&CK để hiểu rõ hơn về cách thức kẻ tấn công thực hiện di chuyển ngang và duy trì sự hiện diện trong mạng doanh nghiệp.