Lỗ hổng CVE không được nêu cụ thể trong chiến dịch này, nhưng đây là một cảnh báo CVE theo nghĩa thực tế vận hành: kẻ tấn công đang lợi dụng SEO poisoning để đưa các trang cài đặt giả mạo cho Gemini CLI và Claude Code lên vị trí cao trong kết quả tìm kiếm, từ đó dẫn dụ nhà phát triển tự chạy lệnh độc hại trên máy của họ.
Chiến dịch SEO poisoning nhắm vào nhà phát triển
Chiến dịch bắt đầu xuất hiện vào đầu tháng 3/2026 và sau đó mở rộng ra ngoài nhóm công cụ AI. Trang giả mạo được dựng gần như trùng khớp với hướng dẫn cài đặt chính thức, khiến người dùng tin rằng họ đang truy cập tài liệu hợp lệ.
Điểm nguy hiểm nằm ở một hành động duy nhất: dán một lệnh PowerShell vào terminal. Lệnh này âm thầm triển khai một infostealer có khả năng thu thập thông tin xác thực, token phiên và tệp nhạy cảm.
Tham khảo báo cáo kỹ thuật gốc từ EclecticIQ tại: https://blog.eclecticiq.com/seo-poisoning-campaign-leverages-gemini-and-claude-code-impersonation-to-deliver-infostealer.
Chuỗi lây nhiễm và cách hoạt động của infostealer
Người dùng tìm kiếm hướng dẫn cài đặt Gemini CLI hoặc Claude Code sẽ bị chuyển đến các miền giả mạo. Trong chiến dịch Gemini, nạn nhân được điều hướng đến geminicli[.]co[.]com, nơi trang giả yêu cầu chạy một lệnh PowerShell để tải xuống payload Install.ps1 từ gemini-setup[.]com.
Điểm khiến chiến thuật này hiệu quả là quá trình cài đặt hợp lệ vẫn chạy song song. Gói npm thật hoàn tất trong terminal, tạo cảm giác rằng không có sự cố nào xảy ra.
Đến khi công cụ sẵn sàng, mã độc đã thu thập và gửi dữ liệu ra ngoài. Payload được phân tích cho thấy nó chạy hoàn toàn trong bộ nhớ thông qua PowerShell, không ghi tệp xuống đĩa, làm giảm dấu vết trên hệ thống.
Khả năng thu thập dữ liệu
EclecticIQ cho biết infostealer lấy cắp thông tin từ nhiều ứng dụng khác nhau và xuất dữ liệu dưới dạng mã hóa đến máy chủ command-and-control.
- OAuth tokens
- CI/CD credentials
- Corporate VPN details
- Session cookies từ Slack, Microsoft Teams, Discord, Telegram
Một session cookie hợp lệ cho phép kẻ tấn công bước thẳng vào workspace của nạn nhân, vượt qua cả mật khẩu lẫn multi-factor authentication. Đây là rủi ro bảo mật nghiêm trọng vì quyền truy cập có thể được tái sử dụng trong các môi trường doanh nghiệp.
Ngoài việc đánh cắp thông tin, mã độc còn cho phép chạy thêm mã từ xa trên máy nhiễm. Dù không ghi nhận cơ chế persistence trong script, khả năng này đủ để mở rộng xâm nhập từ một máy phát triển sang các tài sản nội bộ khác.
Các miền và hạ tầng quan sát được trong chiến dịch
Chiến dịch Claude Code dùng cùng mô hình. Ngày 30/3/2026, tác nhân đe dọa đăng ký claudecode[.]co[.]com và claude-setup[.]com theo mẫu đặt tên tương tự, trong khi dữ liệu bị rút ra được gửi đến events[.]ms709[.]com.
EclecticIQ đã dùng passive DNS để truy vết và phát hiện một cụm hơn 30 miền độc hại khác, đồng thời mạo danh Node.js, Chocolatey, KeePassXC và Monero. Phần lớn các miền này được đăng ký từ cuối tháng 3 đến đầu tháng 4/2026, cho thấy đây là một chiến dịch đang hoạt động.
IOC đã được trích xuất
Các chỉ số dưới đây được ghi nhận trong nội dung gốc và đã được làm mờ theo chuẩn threat intelligence:
- geminicli[.]co[.]com
- gemini-setup[.]com
- claudecode[.]co[.]com
- claude-setup[.]com
- events[.]ms709[.]com
Ghi chú: IP address và domain đều đã được defang để tránh phân giải tự động. Việc refang chỉ nên thực hiện trong môi trường kiểm soát như MISP, VirusTotal hoặc SIEM.
Hành vi kỹ thuật của payload PowerShell
Sau khi payload giai đoạn hai chạy, nó cố gắng vô hiệu hóa các cơ chế phòng thủ cốt lõi trên Windows. Cụ thể, script vá Event Tracing for Windows để giảm ghi log và bỏ qua Antimalware Scan Interface để tránh bị phát hiện.
Script có độ dài khoảng 6.800 dòng code rác và chứa kiểm tra sandbox để né môi trường phân tích. Khi thực thi, nó nạp ba thành phần C# tại runtime để dò sâu vào máy chủ bị nhiễm.
- Một thành phần trích xuất mục trong Windows Credential Manager.
- Một thành phần thu thập screen resolution để fingerprint máy.
- Một thành phần liệt kê tiến trình đang chạy qua Restart Manager API để né phát hiện.
Toàn bộ tiến trình chạy trong PowerShell và không ghi tệp xuống đĩa. Mô hình này làm tăng độ khó cho phát hiện xâm nhập dựa trên IOC file-based truyền thống.
Phát hiện xâm nhập và hunting theo dấu vết PowerShell
EclecticIQ khuyến nghị săn tìm mẫu irm | iex trong log dòng lệnh và cảnh báo với các tiến trình PowerShell ẩn. Đây là một điểm quan trọng trong phát hiện tấn công vì nó thường liên quan đến việc tải và thực thi mã trực tiếp từ xa.
irm | iexNgoài ra, cần chú ý các phiên PowerShell có hành vi tải script từ miền lạ, thực thi không tương tác, hoặc chạy kèm chuỗi lệnh dài bất thường. Khi kết hợp với DNS log và proxy log, có thể dựng lại chuỗi xâm nhập trái phép khá rõ ràng.
Biện pháp giảm thiểu rủi ro bảo mật
Để giảm rủi ro bảo mật từ chiến dịch này, kiểm soát thực thi PowerShell và bảo vệ token là hai trọng tâm chính. Các biện pháp được nêu trong nội dung gốc gồm:
- Bật PowerShell Constrained Language Mode.
- Sử dụng FIDO keys cho tài khoản đặc quyền.
- Triển khai short-lived OAuth tokens để giảm thời gian tồn tại của token bị lộ.
Việc này đặc biệt quan trọng vì các token phiên và cookie bị đánh cắp có thể được dùng lại để truy cập workspace mà không cần mật khẩu. Trong thực tế vận hành, đây là một dạng data breach phát sinh từ máy trạm nhà phát triển.
Để đối chiếu thêm với dữ liệu công khai, có thể xem tài liệu cảnh báo và tìm kiếm CVE liên quan trên NVD: https://nvd.nist.gov/.
Ý nghĩa đối với an toàn thông tin trong môi trường phát triển
Chiến dịch này cho thấy tin bảo mật mới nhất không chỉ nằm ở lỗ hổng phần mềm mà còn ở chuỗi phân phối và hành vi người dùng. Một tìm kiếm thông thường có thể đưa nhà phát triển đến trang cài đặt giả, sau đó chính họ vô tình thực thi payload độc hại trên máy làm việc.
Với cơ chế chạy trong bộ nhớ, né ETW, né AMSI và thu thập credential đa nguồn, đây là một ví dụ điển hình của mối đe dọa mạng nhắm vào hệ sinh thái phát triển phần mềm. Khi mã độc đã lấy được session cookie hoặc token CI/CD, phạm vi ảnh hưởng có thể vượt xa một máy trạm đơn lẻ.
Trong bối cảnh an ninh mạng cho nhà phát triển, việc kiểm tra kỹ domain cài đặt, tránh sao chép lệnh từ trang chưa xác thực và giám sát PowerShell bất thường là các yêu cầu cơ bản để giảm khả năng bị chiếm quyền điều khiển.
