CTM360: Hơn 17.000 URL cho thấy ClickFix biến website tin cậy thành bẫy mã độc
"The report describes ClickFix as a widely used initial-access technique that tricks users into pasting malicious commands into trusted system interfaces, with no exploit or attachment required. It analyzes more than 17,000 URLs hosting fake Cloudflare verification pages and shows how the infrastructure uses blockchain-based EtherHiding, server-side targeting, and machine fingerprinting to evade takedown and analysis; no CVE is involved. The recommended defensive implication is that blocking lure domains alone is ineffective, since the campaign rotates infrastructure and gates payload delivery on visitor and host identity."
Tác động cao do không cần CVE hay file độc hại, có thể vượt qua nhiều lớp lọc truyền thống; hạ tầng xoay vòng nhanh và gating theo nạn nhân làm giảm hiệu quả của chặn domain đơn lẻ.
Có thể dẫn đến xâm nhập ban đầu vào môi trường doanh nghiệp, kéo theo rủi ro đánh cắp thông tin và gián đoạn xử lý sự cố; chi phí vận hành tăng do phải mở rộng giám sát hành vi và phản ứng sự cố.
CTM360 cho biết ClickFix đang được dùng rộng rãi như một kỹ thuật initial access để xâm nhập mạng doanh nghiệp mà không cần exploit, file đính kèm hay tải xuống tệp. Báo cáo phân tích hơn 17.000 URL chứa trang giả mạo xác minh Cloudflare, trong đó khoảng 3.000 URL vẫn còn hoạt động tại thời điểm công bố.
Cơ chế tấn công dựa trên việc lừa người dùng sao chép và dán lệnh vào giao diện hệ thống đáng tin cậy. Hạ tầng phía sau dùng EtherHiding trên blockchain Polygon, kết hợp server-side targeting và machine fingerprinting để thay đổi nội dung theo từng nạn nhân, đồng thời gây khó khăn cho việc gỡ bỏ và phân tích. Báo cáo cũng cho thấy chiến dịch có thể chuyển hướng theo hệ điều hành, với các nhánh cho Windows, macOS và Linux.
Khuyến nghị phòng thủ là không nên chỉ chặn các lure domain. Do hạ tầng có thể xoay vòng nhanh và chỉ phát payload cho đúng người, đội ngũ an ninh cần tăng giám sát hành vi copy-paste bất thường, kiểm soát PowerShell/terminal và áp dụng EDR, DNS filtering cùng cảnh báo người dùng về các trang yêu cầu dán lệnh để “xác minh” hoặc “khắc phục” sự cố.