Kỹ thuật ClickFix và Python Tunnel: Mối đe dọa tiềm ẩn trước các cuộc tấn công Ransomware

• Cơ chế ClickFix: Kẻ tấn công lừa người dùng thực thi các lệnh độc hại dưới danh nghĩa xác thực hoặc sửa lỗi hệ thống.
• Chuỗi lây nhiễm: Sử dụng kỹ thuật DLL sideloading và các tập lệnh PowerShell để duy trì sự hiện diện bền bỉ (persistence).
• Đường hầm Python: Thiết lập kết nối TLS/WebSocket ngược về máy chủ C2, cho phép kẻ tấn công kiểm soát từ xa và thực hiện các hành vi độc hại.
• Mối liên hệ: Các phương thức này có nhiều điểm tương đồng với hoạt động của nhóm tội phạm mạng liên quan đến ransomware Rhysida.

Các nhà nghiên cứu bảo mật vừa công bố báo cáo chi tiết về một chiến dịch tấn công mạng tinh vi, nơi kẻ tấn công sử dụng kỹ thuật 'ClickFix' để cài đặt các trình tải mã độc (malware loaders) và thiết lập đường hầm Python trên hệ thống Windows. Mặc dù cuộc tấn công đã bị ngăn chặn trước khi ransomware kịp triển khai, các phương pháp được sử dụng cho thấy sự chuẩn bị kỹ lưỡng cho các chiến dịch xâm nhập quy mô lớn.

Cơ chế tấn công ClickFix và chuỗi lây nhiễm

Kỹ thuật ClickFix hoạt động bằng cách thuyết phục người dùng thực hiện các lệnh được trình bày như các bước xác thực hoặc sửa lỗi hệ thống. Biến thể 'TerminalFix' đặc biệt nguy hiểm khi hướng dẫn người dùng sao chép và dán các lệnh độc hại vào Windows Terminal hoặc PowerShell. Phương pháp này không khai thác lỗ hổng phần mềm mà lợi dụng sự thiếu cảnh giác của người dùng để thiết lập đường hầm ngược (reverse tunnel) vào mạng doanh nghiệp.

Trong các sự cố được phân tích, các tệp ZIP chứa một tệp thực thi Microsoft đã được ký số, một tệp DLL độc hại và một tập lệnh batch. Kẻ tấn công sử dụng kỹ thuật DLL sideloading để tải thư viện độc hại khi chương trình hợp lệ khởi chạy. Tập lệnh batch sau đó thiết lập các mục đăng ký (registry) và tác vụ định kỳ (scheduled task) để đảm bảo mã độc luôn hoạt động.

Đường hầm Python và khả năng kiểm soát từ xa

Để định vị máy chủ điều khiển (C2), mã độc Lorem Ipsum sử dụng phương pháp 'dead-drop', đọc thông tin mã hóa từ hồ sơ trên các diễn đàn công cộng hợp pháp. Sau khi đăng ký, trình tải sẽ kiểm tra các tác vụ mới mỗi 5 giây thông qua lưu lượng truy cập giả mạo trình duyệt Firefox. Công cụ cuối cùng được tải xuống là một máy khách đường hầm Python, kết nối qua TLS trên cổng 443 và chuyển sang giao thức WebSocket.

Thông qua đường hầm này, máy chủ từ xa có thể yêu cầu các kết nối TCP đến các đích cụ thể và chuyển tiếp dữ liệu hai chiều. Các thông báo 'keepalive' giúp duy trì kết nối, trong khi các tiêu đề giả mạo trình duyệt giúp lưu lượng truy cập trông ít đáng ngờ hơn đối với các hệ thống giám sát mạng.

Khuyến nghị phòng thủ và săn tìm mối đe dọa

Các nhà nghiên cứu khuyến nghị các tổ chức cần tăng cường đào tạo nhận thức cho người dùng, đồng thời triển khai các biện pháp giám sát chặt chẽ. Cần đặc biệt chú ý đến các chuỗi tiến trình PowerShell bất thường, các tệp DLL được tải từ ngoài thư mục hệ thống Windows, và các mục đăng ký hoặc tác vụ định kỳ đáng ngờ.

⚠️ Cảnh báo quan trọng: Việc phát hiện các chỉ số IOCs như địa chỉ IP hoặc tên miền chỉ là bước đầu. Các quản trị viên cần kiểm tra kỹ lưỡng các tệp tin thực thi và hành vi tiến trình trước khi đưa ra quyết định chặn hoặc cô lập hệ thống. Hãy tham khảo thêm tài liệu từ CISA về các chiến dịch tấn công ransomware gần đây để cập nhật các biện pháp phòng thủ mới nhất.