186 domain AI giả mạo dẫn người dùng đến ClickFix, malware, và thay đổi công cụ tìm kiếm
"Researchers discovered 186 lookalike domains impersonating AI tools that redirect users to malicious content. These redirects lead to ClickFix lures, browser-hijacking malware (Net Guard), and search-hijacking extensions with nearly 1 million users. The campaign exploits typosquatting and parked domains to deliver malware and compromise user search settings."
Chiến dịch này sử dụng typosquatting và malware để xâm nhập hệ thống người dùng, gây ra rủi ro về mất dữ liệu và lây nhiễm phần mềm độc hại.
Các doanh nghiệp có thể bị ảnh hưởng bởi việc mất năng suất do nhiễm malware, mất uy tín nếu thông tin khách hàng bị đánh cắp, và chi phí khắc phục sự cố.
Island phát hiện 186 domain giả mạo các công cụ AI, dẫn người dùng đến các trang lừa đảo ClickFix, phần mềm độc hại (Net Guard) và tiện ích mở rộng thay đổi công cụ tìm kiếm với gần 1 triệu người dùng. Chiến dịch này lợi dụng lỗi chính tả (typosquatting) và domain đang bỏ trống để phân phối malware và thay đổi cài đặt tìm kiếm của người dùng.
Các domain giả mạo nhắm vào các thương hiệu AI phổ biến như Anthropic Claude, OpenAI ChatGPT, Google Gemini, Microsoft Copilot, và nhiều công cụ khác. Một số domain giả mạo bao gồm cloude[.]ai, chatlgpt[.]com, geimini[.]com, và preplexity[.]ai.
Chiến dịch này có ba hướng tấn công chính. Thứ nhất, dẫn người dùng đến trang Cloudflare giả mạo yêu cầu xác minh và thực thi lệnh PowerShell. Thứ hai, dẫn đến trang “Kiểm tra bảo mật” phân phối malware Net Guard. Thứ ba, cài đặt tiện ích mở rộng Chrome thay đổi công cụ tìm kiếm, với 16 tiện ích đang hoạt động và gần 1 triệu người dùng.
Net Guard, dù có vẻ là ứng dụng quét Wi-Fi và DNS hợp pháp, vẫn có khả năng chạy JavaScript do kẻ tấn công kiểm soát, thay đổi công cụ tìm kiếm mặc định khi người dùng không hoạt động, chỉnh sửa hồ sơ trình duyệt và cài đặt tiện ích mở rộng Chrome tùy ý. Island cho biết ứng dụng này có thể tải về từ Microsoft Store mà không bị thay đổi.
Câu hỏi thường gặp
ClickFix là gì?
ClickFix là một loại lừa đảo trực tuyến, thường dẫn người dùng đến các trang web yêu cầu thực thi lệnh PowerShell, có thể cài đặt phần mềm độc hại.
Net Guard làm gì?
Net Guard là một phần mềm độc hại có khả năng thay đổi công cụ tìm kiếm mặc định, chỉnh sửa hồ sơ trình duyệt và cài đặt tiện ích mở rộng Chrome tùy ý, ngay cả khi người dùng không hoạt động.
Typosquatting là gì?
Typosquatting là hành vi đăng ký các domain có tên tương tự như các trang web phổ biến, chỉ khác một vài ký tự, để lừa người dùng nhập sai địa chỉ và truy cập vào trang web độc hại.
Góc nhìn của Orange Cloud
Theo chúng tôi, chiến dịch này cho thấy các đối tượng xấu đang tận dụng sự phổ biến của AI để lừa đảo người dùng. Các doanh nghiệp Việt Nam sử dụng AI cần đặc biệt cảnh giác với các domain lạ và kiểm tra kỹ trước khi cài đặt bất kỳ phần mềm nào. Điều đáng chú ý là ngay cả các ứng dụng tải từ nguồn chính thức như Microsoft Store cũng có thể chứa mã độc ẩn, do đó việc kiểm tra kỹ lưỡng vẫn rất quan trọng.