ClickFix dùng máy chủ API tạo payload theo yêu cầu, né AMSI và kiểm tra script
"Researcher Bert-Jan Pals analyzed roughly 3,000 live ClickFix payloads and found that modern campaigns increasingly use API-driven backend servers to generate per-request obfuscated commands, rather than serving static payloads. He also identified a newer delivery method that downloads a file to the Downloads folder and uses a short PowerShell orchestrator to execute it, helping bypass AMSI/script scanning and reduce obvious clipboard-based detection. No CVE is involved; the main impact is improved malware delivery and stealth, with defenders advised to monitor process chains, network activity, and suspicious PowerShell/terminal launches."
Tác động đáng kể do ClickFix tối ưu khả năng phân phối payload theo yêu cầu và tăng mức che giấu khi thực thi qua PowerShell; điểm cần chú ý gồm lách AMSI/script scanning, process chain bất thường và kết nối mạng ngay sau khởi chạy.
Nguy cơ gia tăng cho các tổ chức do kỹ thuật nhắm vào người dùng và có thể mở rộng quy mô triển khai; cần ưu tiên kiểm soát chuỗi thực thi và giảm khả năng người dùng dán lệnh vào terminal để hạn chế chi phí điều tra/khắc phục.
Nghiên cứu của Bert-Jan Pals phân tích khoảng 3.000 payload ClickFix từ các chiến dịch đang hoạt động, cho thấy kỹ thuật này đang chuyển từ việc phân phối mã tĩnh sang mô hình API-driven: trang lừa “prove you're human” gửi yêu cầu tới backend, kiểm tra access token, ghi log người gọi và trả về lệnh đã obfuscate khác nhau theo từng lần truy cập. Pals ghi nhận cùng một script lõi nhưng được bọc/biến đổi bằng nhiều lớp như Base64, AES, TripleDES, Rijndael, Deflate, sau đó thực thi trong bộ nhớ qua PowerShell runspace.
Ngoài ra, nghiên cứu phát hiện một phương thức mới nhằm giảm khả năng bị phát hiện dựa trên clipboard: trang tải một tệp vào thư mục Downloads, rồi chỉ đưa vào clipboard một dòng “orchestrator” ngắn để di chuyển, giải nén và chạy script từ tệp đã tải. Cách này được thiết kế để lách AMSI/script scanning, vì mã độc nằm trong tệp tải về thay vì chuỗi dán trực tiếp. Dữ liệu cũng cho thấy xu hướng chuyển từ hướng dẫn dùng Windows+R sang Windows Terminal để giảm dấu vết như RunMRU.
Khuyến nghị: giám sát process chain (ví dụ explorer.exe/WindowsTerminal.exe → powershell/cmd/msiexec), theo dõi network activity ngay sau khởi chạy, áp dụng EDR hành vi và application control giới hạn script interpreter; đồng thời rà soát các chuỗi một dòng liên quan đến Downloads và PowerShell ẩn.