Bạn đang lướt web, tìm kiếm thông tin cho công việc. Một kết quả hiện ra, bạn nhấp vào. Trang web tải chậm hơn bình thường, rồi một hộp thoại quen thuộc xuất hiện: "Vui lòng xác minh bạn là con người." Bạn đã nhìn thấy màn hình này hàng nghìn lần – đó là Cloudflare, lá chắn bảo vệ quen thuộc của hàng triệu trang web. Bạn không chút do dự, làm theo hướng dẫn.
Và đó chính xác là khoảnh khắc bạn vừa trao chìa khóa máy tính của mình cho kẻ tấn công.
Một chiến dịch tấn công tinh vi đang diễn ra trên quy mô lớn, và nó không nhắm vào những người thiếu hiểu biết. Nó nhắm vào sự tin tưởng – thứ mà chúng ta dành cho những thương hiệu công nghệ quen thuộc như Cloudflare. Hãy cùng tôi mổ xẻ cách thức hoạt động của chiến dịch này, bởi vì hiểu rõ nó là bước đầu tiên để tự bảo vệ mình.
Chiến dịch tấn công quy mô lớn: Hơn 100 website bị xâm phạm
Cơ quan Ứng cứu Khẩn cấp Máy tính Ukraine (CERT-UA) đã phát hiện hơn 100 trang web bị xâm phạm và chèn mã JavaScript độc hại. Chiến dịch này được quan sát vào tháng 9 năm 2026 và được quy cho một nhóm tấn công có tên UAC-0277.
Điểm đáng sợ không nằm ở số lượng website bị xâm phạm. Điểm đáng sợ nằm ở cách thức tấn công. Kẻ tấn công đã tạo ra một trang xác minh giả mạo Cloudflare – sao chép hoàn hảo giao diện mà hàng tỷ người dùng internet đã học cách tin tưởng. Trang giả này hiển thị thông báo quen thuộc: "Vui lòng xác minh bạn là con người." Nhưng thay vì chỉ nhấp vào ô kiểm tra, người dùng được yêu cầu thực thi một lệnh – một hành động mà bất kỳ chuyên gia bảo mật nào cũng sẽ ngay lập tức nhận ra là dấu hiệu nguy hiểm.
Khi nạn nhân làm theo, một gói MSI độc hại được tải xuống và cài đặt từ máy chủ từ xa. Kỹ thuật này được gọi là ClickFix – một phương thức tấn công đang ngày càng phổ biến, khai thác chính hành vi của người dùng để vượt qua các lớp bảo vệ tự động.
EtherHiding: Khi blockchain trở thành công cụ của tội phạm mạng
Điều làm cho chiến dịch này trở nên đặc biệt nguy hiểm là việc sử dụng kỹ thuật EtherHiding. Kẻ tấn công lưu trữ tên miền của trang xác minh giả và chế độ hoạt động của script trong một hợp đồng thông minh trên mạng Polygon hoặc Ethereum.
Tại sao điều này lại quan trọng? Bởi vì các hợp đồng thông minh trên blockchain là bất biến. Một khi đã được triển khai, chúng không thể bị sửa đổi hoặc gỡ bỏ bởi bất kỳ cơ quan nào. Điều này có nghĩa là hạ tầng của kẻ tấn công không thể bị đánh sập theo cách thông thường. Các nhà nghiên cứu bảo mật có thể phát hiện ra nó, nhưng họ không thể tắt nó đi.
Theo CERT-UA, mã độc hoạt động theo ba chế độ:
- Chế độ 0: Không hoạt động.
- Chế độ 1: Theo dõi thụ động – thu thập dữ liệu về trang web và trang mà người dùng đến từ đó.
- Chế độ 2: Hiển thị trang xác minh giả mạo.
Đáng chú ý là ở Chế độ 2, trang giả chỉ được hiển thị cho người dùng Windows truy cập từ kết quả tìm kiếm, và không quá hai lần trong 12 giờ. Đây là một chiến thuật tinh vi để tránh bị phát hiện – nếu ai đó truy cập lại nhiều lần, họ sẽ không thấy trang giả, khiến việc điều tra trở nên khó khăn hơn.
Ba biến thể MSI: Từ đơn giản đến tinh vi
Cuộc tấn công không dừng lại ở việc lừa người dùng chạy lệnh. Các nhà nghiên cứu đã phát hiện ít nhất ba biến thể của gói MSI độc hại, mỗi biến thể có mức độ tinh vi khác nhau:
Biến thể 1: Cài đặt LunexStealer trực tiếp lên hệ thống. Đây là phương án đơn giản nhất, nhưng cũng dễ bị phát hiện nhất.
Biến thể 2: Cố gắng vượt qua Kiểm soát Tài khoản Người dùng (UAC) của Windows, định cấu hình loại trừ Microsoft Defender, và khai thác một trình điều khiển AMD hợp lệ nhưng có lỗ hổng ("PDFWKRNL.sys") để vô hiệu hóa phần mềm bảo mật. Sau đó, nó tải và chạy LunexStealer từ máy chủ từ xa.
Biến thể 3: Khởi chạy LunexStealer thông qua DLL sideloading – sử dụng tệp nhị phân hợp lệ ("FnHotkeyUtility.exe") để tải một DLL độc hại ("spkvol.dll"), sau đó DLL này giải mã và thực thi stealer. Đây là kỹ thuật tinh vi nhất, khó bị phát hiện bởi các giải pháp bảo mật truyền thống.
LunexStealer: Kẻ đánh cắp dữ liệu toàn diện
Khi đã xâm nhập được vào hệ thống, LunexStealer bắt đầu công việc của mình. Và đây không phải là một loại mã độc đơn giản.
LunexStealer được thiết kế để cài đặt một tiện ích mở rộng trình duyệt độc hại có tên LUNARAXE, ngụy trang dưới vỏ bọc "Microsoft Office Word Editor" – một tên gọi nghe có vẻ vô hại và đáng tin cậy.
Tiện ích mở rộng này có khả năng:
- Đánh cắp cookie, lịch sử duyệt web và thông tin đăng nhập được nhập vào các biểu mẫu web.
- Cho phép kẻ tấn công điều khiển trình duyệt từ xa và thực thi JavaScript tùy ý trên các trang web.
Nhưng đó chưa phải là tất cả. LunexStealer còn triển khai một thành phần phụ có tên NAIVEMESS, được cài đặt dựa trên cấu hình nhận được từ máy chủ điều khiển (C2). Thành phần này cung cấp cho LUNARAXE quyền truy cập vào hệ thống tệp Windows thông qua một Native Messaging Host dựa trên PowerShell.
CERT-UA mô tả khả năng của NAIVEMESS: "Chức năng của NAIVEMESS bao gồm truy xuất danh sách ổ đĩa, duyệt thư mục, đọc, tạo và ghi đè tệp, cũng như thực thi chúng." Các tệp được truyền theo từng phần được mã hóa Base64, và các thư mục cùng nhóm tệp được nén trước thành ZIP.
Tiện ích mở rộng LUNARAXE chứa ba mô-đun khác:
- LUNARAXE.CORE: Xử lý giao tiếp C2, nhận và thực thi lệnh, trích xuất dữ liệu trình duyệt (cookie, lịch sử, dấu trang, thông tin về tiện ích mở rộng đã cài đặt, thông tin đăng nhập bị chặn). Nó cũng có thể quản lý tab, bật/tắt tiện ích mở rộng, hiển thị thông báo, chạy JavaScript trên trang web và hiển thị lớp phủ giả.
- LUNARAXE.STEALER: Thu thập thông tin đăng nhập được nhập vào biểu mẫu web và gửi đến LUNARAXE.CORE, cùng với URL trang.
- LUNARAXE.STRIP: Vô hiệu hóa các biện pháp bảo vệ Chính sách Bảo mật Nội dung (CSP) trên các trang web bằng cách loại bỏ tiêu đề CSP khỏi phản hồi HTTP, nhằm mục đích chạy mã JavaScript tùy ý.
Cách tự bảo vệ: Những bước bạn cần thực hiện ngay hôm nay
Đối mặt với một chiến dịch tấn công tinh vi như vậy, cảm giác bất lực là điều dễ hiểu. Nhưng đừng lo – có những bước cụ thể bạn có thể thực hiện để giảm thiểu rủi ro.
1. Không bao giờ chạy lệnh từ hộp thoại xác minh
Đây là nguyên tắc vàng. Cloudflare thật không bao giờ yêu cầu bạn mở hộp thoại Run và dán lệnh. Nếu bạn thấy yêu cầu như vậy, hãy đóng tab ngay lập tức. Không có ngoại lệ.
2. Hạn chế quyền của người dùng thông thường
CERT-UA khuyến nghị tổ chức cấm người dùng thông thường sử dụng hộp thoại Run của Windows thông qua chính sách nhóm, đồng thời hạn chế cài đặt gói MSI đối với người dùng không có quyền quản trị.
3. Giám sát việc thực thi msiexec.exe
Theo dõi các tiến trình msiexec.exe đáng ngờ có thể giúp phát hiện sớm các nỗ lực cài đặt phần mềm độc hại.
4. Chặn các trình điều khiển có lỗ hổng
Kích hoạt tính năng chặn trình điều khiển có lỗ hổng của Microsoft và bật quy tắc Attack Surface Reduction (ASR) mang tên "Block abuse of exploited vulnerable signed drivers" để ngăn ứng dụng ghi trình điều khiển có chữ ký nhưng có lỗ hổng vào ổ đĩa.
5. Giới hạn cài đặt tiện ích mở rộng trình duyệt
Chỉ cho phép cài đặt các tiện ích mở rộng trình duyệt nằm trong danh sách được phê duyệt. Điều này ngăn chặn các tiện ích độc hại như LUNARAXE xâm nhập vào trình duyệt của bạn.
6. Cập nhật và vá lỗ hổng thường xuyên
Luôn cập nhật hệ điều hành, trình duyệt và phần mềm bảo mật. Kẻ tấn công thường khai thác các lỗ hổng đã biết nhưng chưa được vá.
Khi tin tưởng trở thành lỗ hổng
Tôi đã chứng kiến ngành bảo mật thay đổi rất nhiều trong hai thập kỷ qua. Từ những con virus đơn giản lây lan qua đĩa mềm, đến những cuộc tấn công có chủ đích nhắm vào hạ tầng trọng yếu. Nhưng chưa bao giờ tôi thấy một chiến dịch lại khai thác sự tin tưởng một cách trắng trợn và hiệu quả đến vậy.
Cloudflare là một trong những công ty bảo mật được tin cậy nhất trên thế giới. Hàng tỷ người dùng nhìn thấy màn hình xác minh của họ mỗi ngày. Và kẻ tấn công đã biến chính sự quen thuộc đó thành vũ khí.
Bài học ở đây không chỉ là "đừng chạy lệnh lạ". Bài học sâu xa hơn là: trong thế giới số, sự tin tưởng cần đi kèm với sự cảnh giác. Ngay cả những thương hiệu bạn tin tưởng nhất cũng có thể bị mạo danh. Ngay cả những hộp thoại trông quen thuộc nhất cũng có thể là cạm bẫy.
Hãy bảo vệ bản thân, bảo vệ gia đình bạn, và bảo vệ tổ chức của bạn. Bởi vì trong cuộc chiến chống lại tội phạm mạng, kiến thức là lá chắn mạnh mẽ nhất.
Bạn đã bao giờ gặp phải một trang xác minh giả mạo như thế này chưa? Và nếu có, bạn sẽ xử lý tình huống đó như thế nào – đóng tab ngay lập tức, hay bạn sẽ tò mò và làm theo hướng dẫn để "xem điều gì sẽ xảy ra"? Hãy chia sẻ trải nghiệm của bạn bên dưới, bởi vì trong cuộc chiến chống lại những kẻ tấn công ngày càng tinh vi, kinh nghiệm của mỗi người là một viên gạch xây nên bức tường phòng thủ chung!
0 Comment
Add your comment to this article