Chiến dịch ClickFix mới ẩn mã độc trong PNG và mở reverse tunnel
"A TerminalFix/ClickFix campaign uses a fake Cloudflare CAPTCHA overlay to trick victims into pasting PowerShell commands that download and execute a multi-stage payload. The attack chain uses DLL sideloading, steganographic payloads hidden in PNG images, persistence via registry Run keys and scheduled tasks, Active Directory reconnaissance, and a custom Python reverse tunnel over WebSocket to provide persistent proxy access; Microsoft recommends restricting PowerShell and Run dialog use and training users to spot ClickFix lures."
Tác động bảo mật cao do chuỗi tấn công nhiều giai đoạn, bám trụ dai dẳng và mở kênh truy cập từ xa vào mạng nội bộ.
Có thể gây xâm nhập mạng nội bộ, lộ thông tin hệ thống/miền, và làm tăng rủi ro gián đoạn khi kẻ tấn công có proxy truy cập liên tục.
Một chiến dịch TerminalFix/ClickFix đang lợi dụng lớp phủ CAPTCHA giả mạo của Cloudflare để dụ nạn nhân dán và chạy lệnh PowerShell trong Windows Terminal hoặc hộp thoại Run. Chuỗi tấn công này tải về một ZIP độc hại, dùng DLL sideloading qua LockScreenContentServer.exe, rồi tiếp tục giải mã tải trọng ẩn trong các tệp PNG bằng kỹ thuật steganography.
Theo phân tích, mã độc thiết lập cơ chế bám trụ kép bằng Run registry keys và scheduled tasks để tự chạy lại mỗi 60 phút. Sau đó, nó thực hiện reconnaissance trên máy bị nhiễm, bao gồm thu thập thông tin hệ thống, dò tìm Active Directory, kiểm tra quan hệ tin cậy miền và liệt kê người dùng/máy tính. Cuối cùng, chiến dịch triển khai một reverse tunnel viết bằng Python, chạy ẩn qua pythonw.exe và kết nối tới gitnow[.]dev:443 để tạo quyền truy cập proxy kiểu SOCKS vào mạng nội bộ.
Khuyến nghị kỹ thuật: hạn chế PowerShell, kiểm soát hoặc vô hiệu hóa Win+R nếu không cần thiết, và đào tạo người dùng nhận diện các mồi nhử ClickFix như CAPTCHA giả yêu cầu dán lệnh vào Terminal.