ChainScript RAT lợi dụng ClickFix và Polygon để xoay vòng hạ tầng C2
"Threat actors are using ClickFix-style lures to deliver a previously undocumented Windows RAT named ChainScript, which disguises itself as software such as Spotify, Zoom Workplace, and Microsoft Teams. The malware uses a Polygon smart contract to discover rotating WebSocket C2 infrastructure, installs via a malicious MSI, and provides remote command execution, file operations, screenshot capture, payload deployment, and persistence through scheduled tasks and registry run keys."
Rủi ro xâm nhập từ xa cao, kèm khả năng duy trì hiện diện và xoay vòng C2 để né phát hiện. Mã độc còn hỗ trợ thực thi lệnh, đánh cắp dữ liệu và triển khai payload bổ sung.
Có thể gây gián đoạn hệ thống đầu cuối, tăng chi phí ứng cứu sự cố và làm lộ dữ liệu nhạy cảm. Môi trường dùng Windows, công cụ cộng tác và ví tiền điện tử có nguy cơ bị ảnh hưởng rõ hơn.
Các nhà nghiên cứu ghi nhận một chiến dịch ClickFix mới dùng để phát tán ChainScript, một RAT trên Windows chưa từng được công bố trước đó. Mã độc này ngụy trang thành phần mềm như Spotify, Zoom Workplace và Microsoft Teams, rồi được cài qua MSI độc hại chạy bằng msiexec.exe. Sau khi xâm nhập, ChainScript triển khai Node.js runtime, khởi chạy tác nhân JavaScript và thiết lập persistence bằng Scheduled Task cùng Registry Run key dự phòng.
Điểm đáng chú ý là ChainScript dùng cơ chế kiểu EtherHiding: mã độc truy vấn một Polygon smart contract để tìm WebSocket C2 đang hoạt động, giúp kẻ tấn công xoay vòng hạ tầng và giảm hiệu quả của việc chặn theo chỉ dấu cố định. Khi kết nối thành công, tác nhân có thể thực thi CMD/PowerShell, thao tác tệp, chụp màn hình, triển khai payload mới, liệt kê ví tiền điện tử và chạy JavaScript từ xa.
Với môi trường doanh nghiệp, cần chặn MSI không tin cậy, giám sát msiexec.exe, PowerShell và VBScript bất thường, đồng thời rà soát các Scheduled Task và Run key mới tạo. Nên tăng cường phát hiện theo hành vi, vì hạ tầng C2 có thể thay đổi mà không làm thay đổi mẫu mã độc chính.