InstallFix là một chiến dịch mối đe dọa mạng lợi dụng các trang cài đặt Claude AI giả mạo để lừa người dùng tự chạy mã độc trên hệ thống của họ. Thay vì khai thác lỗ hổng CVE, chiến dịch này nhắm trực tiếp vào hành vi người dùng, đặc biệt là khi họ làm theo hướng dẫn cài đặt từ kết quả tìm kiếm được tài trợ.
Trang Claude AI giả mạo và kỹ thuật ClickFix
Nhóm tấn công dựng các trang cài đặt Claude AI giả và dùng Google Ads để đẩy chúng lên đầu kết quả tìm kiếm. Khi người dùng tìm “Claude Code” hoặc “Claude Code install”, liên kết tài trợ xuất hiện trước, trông giống một kết quả hợp lệ.
Trang đích sử dụng kỹ thuật ClickFix, hiển thị lệnh theo từng hệ điều hành như một bước cài đặt bắt buộc. Người dùng Windows hoặc macOS được hướng dẫn sao chép lệnh và thực thi trực tiếp trên máy của mình.
Đây là kiểu cảnh báo CVE không dựa trên lỗi phần mềm, mà dựa trên việc lừa người dùng tự kích hoạt chuỗi lây nhiễm. Tham khảo thêm báo cáo phân tích từ Trend Micro tại: Trend Micro InstallFix and Claude Code.
Chuỗi tấn công và hành vi sau khi thực thi
Trend Micro ghi nhận đây không phải một lần cài đặt đơn lẻ, mà là một chuỗi tấn công nhiều giai đoạn. Sau khi người dùng chạy lệnh độc hại, mã độc sẽ thu thập thông tin hệ thống, vô hiệu hóa một số cơ chế bảo vệ, tạo tác vụ theo lịch để duy trì bám trụ và kết nối tới máy chủ điều khiển.
Chuỗi này được thiết kế để chiếm quyền điều khiển âm thầm và tránh bị phát hiện trong quá trình khởi động lại. Telemetry cũng cho thấy các kết nối mạng đi ra ngoài tới hạ tầng do kẻ tấn công kiểm soát.
Hành vi quan sát được có nhiều điểm tương đồng với các chiến dịch RedLine Stealer từng được ghi nhận trước đó.
Các giai đoạn chính
- Người dùng truy cập trang cài đặt Claude AI giả qua quảng cáo tìm kiếm.
- Trang hiển thị lệnh cài đặt theo hệ điều hành Windows hoặc macOS.
- Trên Windows, chuỗi thực thi bắt đầu bằng mshta.exe.
- Một tệp claude.msixbundle xuất hiện như gói Microsoft hợp lệ với chữ ký Marketplace.
- Bên trong là payload HTA, tự động chạy VBScript trong chế độ cửa sổ ẩn.
- PowerShell bị làm rối được gọi qua SysWOW64.
- Shellcode chạy trong bộ nhớ, thiết lập persistence bằng scheduled task.
- Mã độc thu thập dữ liệu trình duyệt và nhắm tới ứng dụng ví điện tử.
Chuỗi thực thi trên Windows
Trên Windows, nhóm tấn công lợi dụng mshta.exe, một công cụ hợp pháp thường bị lạm dụng để thực thi payload từ xa. Tệp tải xuống claude.msixbundle có vẻ như là một gói Microsoft thật, đủ để vượt qua các kiểm tra cơ bản.
Bên trong gói là một HTA payload gọi VBScript mà không hiển thị gì lên màn hình. Cửa sổ được thay đổi kích thước về 0 pixel, khiến người dùng khó nhận ra hoạt động bất thường.
Script sau đó khởi chạy các lệnh PowerShell đã được làm rối. Từ “powershell” được tái tạo khi chạy bằng biến tách rời, nhằm né phát hiện dựa trên chuỗi ký tự tĩnh.
mshta.exe <remote_payload.hta>
powershell fragment example:
$p='pow'+'ers'+'hell'
Invoke-Expression $pKỹ thuật duy trì bám trụ
Shellcode được thực thi trong bộ nhớ thay vì ghi trực tiếp ra đĩa. Sau đó, mã độc tạo scheduled tasks để tồn tại sau khi máy khởi động lại.
Đây là một dấu hiệu quan trọng khi đánh giá rủi ro bảo mật của các chuỗi cài đặt từ nguồn không đáng tin cậy. Cách triển khai này làm tăng khả năng xâm nhập mạng kéo dài mà không cần khai thác thêm.
Giai đoạn nhận diện nạn nhân và kết nối C2
Stager tạo một mã định danh duy nhất cho máy nạn nhân bằng cách băm tên máy tính và tên người dùng. Giá trị này được dùng để dựng URL command-and-control riêng cho từng nạn nhân.
Máy chủ tải payload cuối nằm trên một subdomain của oakenfjrod[.]ru. Cách tạo URL theo từng nạn nhân khiến việc chặn ở mức mạng trở nên khó khăn hơn vì lưu lượng không đi qua một điểm duy nhất.
Trend Micro ghi nhận các kết nối ra ngoài tới IP và hạ tầng điều khiển trùng khớp với các dấu hiệu từng gắn với RedLine Stealer.
Dấu hiệu hành vi quan sát được
- Kết nối outbound tới các IP bên ngoài.
- Thu thập dữ liệu trình duyệt.
- Nhắm tới ứng dụng ví điện tử cài trên máy.
- Duy trì persistence bằng scheduled task.
- Sử dụng hạ tầng theo từng nạn nhân để tải payload tiếp theo.
Phạm vi ảnh hưởng và đối tượng bị nhắm tới
Các ca tấn công xác nhận trải rộng ở Hoa Kỳ, Malaysia, Hà Lan và Thái Lan. Ngành bị ảnh hưởng gồm chính phủ, giáo dục, điện tử, thực phẩm và đồ uống.
Chiến dịch này đặc biệt nguy hiểm vì nhắm vào cả người dùng kỹ thuật lẫn không kỹ thuật. Nhà phát triển thường quen sao chép lệnh từ tài liệu, trong khi người dùng phổ thông dễ tin vào các bước hiển thị có vẻ chính thức.
Vì vậy, đây là một cảnh báo CVE theo nghĩa vận hành an ninh, dù không dựa trên lỗ hổng phần mềm cụ thể. Điểm rủi ro chính là sự kết hợp giữa quảng cáo tìm kiếm, trang giả mạo và chuỗi lệnh cài đặt độc hại.
Biện pháp giảm thiểu
Biện pháp ưu tiên là chặn các domain và IP độc hại ở firewall, đồng thời dùng DNS filtering để ngăn người dùng truy cập các domain đáng ngờ hoặc mới đăng ký. Các công cụ script cũ như mshta.exe nên bị hạn chế ở mức tối đa.
Người dùng cần tránh chạy lệnh từ các trang được truy cập qua quảng cáo tìm kiếm. Mọi trang tải xuống phải được đối chiếu với website chính thức của nhà cung cấp.
Trong môi trường phát triển, nên ưu tiên trình quản lý gói đáng tin cậy như npm, pip, brew hoặc winget thay vì chạy script thủ công từ nguồn không xác minh.
Khuyến nghị kỹ thuật
- Chặn domain và IP liên quan tại firewall.
- Bật DNS filtering cho tên miền mới đăng ký.
- Giới hạn hoặc giám sát mshta.exe.
- Kiểm tra tính hợp lệ của trang tải xuống trước khi chạy lệnh.
- Ưu tiên package manager chính thống thay vì script sao chép từ web.
IOC
Các chỉ dấu dưới đây được nhắc tới trong nội dung gốc và đã được làm mờ định dạng theo nguyên tắc an toàn:
- Domain: oakenfjrod[.]ru
- Hạ tầng tải payload: subdomain trên oakenfjrod[.]ru
- File name: claude.msixbundle
- Tool abuse: mshta.exe
Tham chiếu kỹ thuật
Trang phân tích gốc từ Trend Micro mô tả chi tiết chuỗi tấn công, kỹ thuật ClickFix, hành vi của payload và các chỉ dấu liên quan. Nội dung tham chiếu này phù hợp để đối chiếu trong quá trình phát hiện xâm nhập và điều tra an toàn thông tin.
https://www.trendmicro.com/en_us/research/26/e/installfix-and-claude-code.html
