Sandworm (GRU) dùng kỹ thuật Clickfix giả CAPTCHA để lây nhiễm thiết bị
"Ukraine's CERT reports that the Russian GRU-linked Sandworm group has adopted the Clickfix social-engineering technique to compromise sensitive organizations, using fake CAPTCHA pages to trick users into executing malicious PowerShell commands. The campaign has deployed custom malware including FreakyPoll, GHETTOVIBE, SCOUTCURL, FluidLeech, LoadLoop, and CowardDuck, leading to at least one confirmed network compromise; recommended mitigations include monitoring for web shells, unauthorized extensions, and other signs of intrusion."
Clickfix kết hợp giả CAPTCHA với lệnh PowerShell có thể dẫn tới cài đặt mã độc và backdoor hệ thống; CERT-UA ghi nhận ít nhất một xâm nhập mạng thành công và nhiều tài nguyên web bị thay đổi nội dung.
Tác động có thể gây gián đoạn vận hành và rủi ro rò rỉ dữ liệu do exfiltration; chi phí khắc phục tăng khi cần rà soát 10 trang web bị xâm phạm và kiểm tra dấu hiệu cài đặt mã độc.
Trung tâm CERT-UA của Ukraine cảnh báo nhóm tấn công liên quan GRU (Sandworm) đã áp dụng kỹ thuật Clickfix nhằm xâm nhập các tổ chức mục tiêu. Clickfix thường được triển khai qua các trang web do kẻ tấn công kiểm soát: người dùng bị yêu cầu sao chép một chuỗi ký tự từ CAPTCHA và dán vào terminal. Chuỗi này chứa lệnh/script có thể dẫn tới cài đặt mã độc hoặc trích xuất dữ liệu.
Theo CERT-UA, chiến dịch bắt đầu từ mùa xuân và kéo dài qua mùa hè. Ít nhất một sự cố xâm nhập mạng đã được xác nhận khi phát hiện thiết bị kết nối bị nhiễm FreakyPoll. Cơ quan chức năng cũng ghi nhận 10 trang web bị xâm phạm, hiển thị lệnh PowerShell như một phần của CAPTCHA giả nhằm thuyết phục người dùng rằng chỉ người thật mới có thể vượt qua.
Sau khi người dùng nhập script, mã độc có thể cài đặt Visual Basic scripts và các thành phần tiếp theo. Các công cụ được nêu gồm GHETTOVIBE (biến thể liên quan thao tác thư mục Startup), SCOUTCURL (thu thập và exfiltrate thông tin cơ bản), cùng các mã độc như FluidLeech (ngụy trang antivirus) và LoadLoop. CERT-UA cũng mô tả việc triển khai Clickfix thông qua Cloaking.House và mã bổ sung SMARTAXE để thay đổi nội dung trang, bao gồm hiển thị CAPTCHA động.
Khuyến nghị: quản trị website và nhà cung cấp hosting cần giám sát web shells, phát hiện extension/tiện ích trái phép, và theo dõi các dấu hiệu xâm nhập khác trên hạ tầng web.