![Tên miền placeholder third-party[.]com bị lợi dụng phát tán nội dung độc hại](/api/img?url=https%3A%2F%2Fblogger.googleusercontent.com%2Fimg%2Fb%2FR29vZ2xl%2FAVvXsEhy4aXDWSC5cKzOZO8lRbk8o5I1fHPlCGbfxxYL6tyJxauEL-8EVj7-AypDhYt_Wg6bDLqlj0UK4LrGJdeI4ChsksaB6tTZxo8ikCLdwC0wjRfJPE_Z1qM_CVUg7s1ORdmWW2XTDtlPPDcI8JvelrbmJhcjVthnqYWQrZ7ySnIMMPRZfa_VzgaBCWyWc_JJ%2Fs1600%2Fthird.jpg&v=2&w=800)
Tên miền placeholder third-party[.]com bị lợi dụng phát tán nội dung độc hại
"A non-reserved placeholder domain, third-party[.]com, was registered and repurposed to serve a ClickFix phishing/malware lure to Windows users while showing benign or unrelated content to others. The domain is referenced in over 1,700 public repositories, creating risk for documentation, AI agent skills, and test cases that hard-code it; the recommended fix is to replace such placeholders with reserved domains like example[.]com and audit affected content."
Rủi ro phishing/malware trực tiếp cho người dùng Windows; có thể dẫn tới thực thi lệnh độc hại và clipboard hijacking. Việc tên miền bị dùng trong tài liệu còn làm tăng nguy cơ prompt injection và lan truyền liên kết độc hại.
Có thể ảnh hưởng đến tài liệu kỹ thuật, repo công khai và AI agent workflows. Doanh nghiệp cần rà soát nội dung đã công bố và cập nhật các placeholder để tránh người dùng hoặc hệ thống tự động truy cập nhầm hạ tầng độc hại.
Tên miền third-party[.]com vốn được dùng như một placeholder trong tài liệu và ví dụ kỹ thuật, nhưng hiện đã bị đăng ký lại và dùng để phục vụ nội dung ClickFix nhắm vào người dùng Windows. Với một số tác nhân truy cập khác, trang vẫn hiển thị nội dung vô hại hoặc không liên quan, khiến việc kiểm tra tĩnh dễ bỏ sót rủi ro.
Theo báo cáo, tên miền này đã bị gắn cờ là malicious trên VirusTotal và Google Safe Browsing. Mô hình tấn công ClickFix thường hiển thị thông báo lỗi giả, CAPTCHA giả hoặc cảnh báo trình duyệt để lừa người dùng copy và paste lệnh vào Windows Run dialog hoặc Terminal. Trong trường hợp này, nội dung dán vào có thể kích hoạt PowerShell từ xa.
Điểm đáng chú ý là third-party[.]com xuất hiện trong hơn 1.700 repository công khai, bao gồm tài liệu AI agent skills và MCP-server docs. Điều này làm tăng nguy cơ prompt injection, tài liệu mẫu bị khai thác, và các bài kiểm thử hard-code tên miền không còn an toàn.
Khuyến nghị: rà soát toàn bộ tài liệu, ví dụ mã nguồn và test case có dùng tên miền không được IANA bảo lưu; thay bằng example[.]com, example[.]org hoặc example[.]net; đồng thời kiểm tra lại các liên kết đã xuất bản và nội dung do agent tham chiếu.