Malware TELEPUZ lây lan qua kỹ thuật ClickFix, đánh cắp dữ liệu và thực thi lệnh trên Windows
"Researchers reported a new modular Windows malware family, TELEPUZ, spreading through ClickFix social-engineering lures that trick users into pasting and running malicious commands. The attack chain uses PowerShell to fetch a Vidar Stealer-based second stage and then deploys TELEPUZ, which supports data theft, command execution, persistence, privilege escalation, and browser injection; no CVE is associated with this threat, and mitigation focuses on detection and blocking of the delivery infrastructure and execution chain."
TELEPUZ có khả năng đánh cắp dữ liệu và thực thi lệnh trên máy nạn nhân, kèm cơ chế né giám sát như can thiệp AMSI/ETW và thiết lập kênh điều khiển từ xa qua WebSockets.
Rủi ro gián đoạn vận hành và rò rỉ thông tin tăng do malware có thể chiếm quyền và duy trì tồn tại qua service; tác động phụ thuộc vào mức độ người dùng bị lừa và khả năng phát hiện/ chặn chuỗi lây nhiễm.
Các nhà nghiên cứu ghi nhận một họ mã độc modular mới trên Windows là TELEPUZ, đang lây lan từ các website bị nhiễm kỹ thuật ClickFix từ cuối tháng 4/2026. ClickFix là dạng social engineering khiến nạn nhân dán và chạy lệnh độc hại thay vì thao tác “sửa lỗi” giả. Chuỗi tấn công liên quan đến TELEPUZ bắt đầu bằng việc kích hoạt PowerShell để tải giai đoạn thứ hai từ URL từ xa, sau đó triển khai payload chính.
Giai đoạn thứ hai được mô tả là biến thể Go của Vidar Stealer, có khả năng thu thập dữ liệu nhạy cảm và triển khai thành phần tiếp theo. Payload stager và DLL chính (ví dụ telepuz.dll) được tải từ miền hurgadatour[.]shop và thực thi qua rundll32.exe. Mã độc được viết bằng C, có dấu hiệu phát triển bởi cá nhân hoặc nhóm rất nhỏ, đồng thời sử dụng nhiều kỹ thuật né phân tích như obfuscation, kiểm tra anti-VM/geolocation, và vô hiệu hóa giám sát bằng cách can thiệp NTDLL, AMSI và ETW.
Sau khi vượt kiểm tra, TELEPUZ có thể leo thang đặc quyền, cài đặt thành Windows service, thiết lập kênh điều khiển qua WebSockets (có thể kèm TLS) và thực hiện nhiều hành động như liệt kê tệp, ghi phím, chụp màn hình, tiêm nội dung trình duyệt và trích xuất cookie cho trình duyệt Chromium. Không có CVE được nêu trong công bố. Khuyến nghị: tăng cường giám sát chuỗi thực thi PowerShell/rundll32, chặn hạ tầng phân phối theo IOC, và kiểm tra cấu hình để giảm khả năng bị pastejacking.