Các cuộc tấn công CAPTCHA giả: Cách mã độc ClickFix lợi dụng lòng tin của người dùng và những điều cần biết để tự bảo vệ

Tìm hiểu sự gia tăng của các cuộc tấn công bằng mã độc CAPTCHA giả

Hệ thống CAPTCHA — những câu đố quen thuộc yêu cầu bạn nhận diện chữ cái bị làm méo hoặc chọn hình ảnh — là nền tảng của bảo mật trực tuyến. Chúng được thiết kế để phân biệt con người với bot, bảo vệ các trang web khỏi thư rác, hành vi lạm dụng tự động và các cuộc tấn công nhồi thông tin đăng nhập. Tuy nhiên, khi các hệ thống này ngày càng phổ biến, tội phạm mạng đã tìm cách lợi dụng lòng tin của người dùng vào CAPTCHA, tạo nên một hình thức tấn công kỹ nghệ xã hội mới và rất hiệu quả: chiến dịch phát tán mã độc qua CAPTCHA giả, nổi bật nhất là phương thức có tên ClickFix.

Bài viết này tìm hiểu cách thức hoạt động của các cuộc tấn công CAPTCHA giả, những thủ thuật kỹ thuật và tâm lý đứng sau chúng, các loại mã độc được phát tán (chẳng hạn như Lumma Stealer), cùng những biện pháp thiết thực mà cá nhân và tổ chức có thể áp dụng để tự bảo vệ.

Tấn công CAPTCHA giả là gì?

Trong một cuộc tấn công CAPTCHA giả, tội phạm mạng tạo trang web hoặc cửa sổ bật lên bắt chước sát các hệ thống CAPTCHA hợp pháp như reCAPTCHA của Google hoặc màn hình thử thách của Cloudflare. Những bản giả mạo này thuyết phục đến mức ngay cả người dùng giàu kinh nghiệm cũng có thể không nhận ra điều bất thường. Cuộc tấn công thường diễn ra như sau:

• Nạn nhân bị dụ truy cập một trang web độc hại, thường thông qua email lừa đảo, quảng cáo giả hoặc các trang web hợp pháp đã bị xâm nhập.
• Trang web hiển thị CAPTCHA giả, yêu cầu người dùng chứng minh mình không phải robot.
• Sau khi người dùng tương tác với CAPTCHA, họ được hướng dẫn làm thêm các bước khác, chẳng hạn sao chép rồi dán một lệnh vào hộp thoại Run hoặc cửa sổ dòng lệnh trên máy tính.
• Làm theo hướng dẫn sẽ khiến mã độc được thực thi, lây nhiễm thiết bị.

Phương thức này đặc biệt tinh vi vì lợi dụng chính hành động của người dùng để vượt qua các biện pháp kiểm soát bảo mật, khiến việc phát hiện và ngăn chặn trở nên khó khăn hơn.

ClickFix: Công cụ kỹ nghệ xã hội đứng sau cuộc tấn công

ClickFix là thuật ngữ chỉ một kỹ thuật kỹ nghệ xã hội lừa người dùng tự thực thi các lệnh độc hại. Khác với mã độc truyền thống dựa vào việc khai thác lỗ hổng phần mềm hoặc dụ người dùng tải xuống tệp nhiễm mã độc, ClickFix thao túng người dùng để họ chạy các lệnh cài đặt mã độc, thường thông qua những bước trông có vẻ vô hại.

Ví dụ, CAPTCHA giả có thể hướng dẫn người dùng:

• Nhấn phím Windows + R để mở hộp thoại Run.
• Dán lệnh được cung cấp (thường là tập lệnh PowerShell hoặc mshta.exe).
• Nhấn Enter để thực thi.

Những bước này có vẻ là một phần của quy trình xác minh thông thường, nhưng thực chất sẽ tải xuống và thực thi mã độc như Lumma Stealer, AsyncRAT hoặc các trojan đánh cắp thông tin khác.

Các cuộc tấn công CAPTCHA giả lây lan như thế nào: Những ví dụ thực tế

CAPTCHA giả đã được ghi nhận trong nhiều bối cảnh khác nhau, nhắm đến cả cá nhân lẫn tổ chức trên khắp thế giới. Các chiến dịch đáng chú ý gồm:

• Lừa đảo qua Booking.com: Kẻ tấn công giả danh trang đặt phòng khách sạn phổ biến này, gửi email lừa đảo dẫn người dùng đến trang Booking.com giả mạo có CAPTCHA giả. Những nạn nhân làm theo hướng dẫn đã vô tình cài mã độc đánh cắp thông tin đăng nhập và dữ liệu cá nhân.
• Quảng cáo độc hại và thao túng SEO: Tội phạm mạng sử dụng các kỹ thuật tối ưu hóa công cụ tìm kiếm (SEO) và quảng cáo độc hại để đẩy các trang tải xuống giả mạo dành cho phần mềm, nhạc hoặc phim phổ biến lên cao. Những trang này hiển thị CAPTCHA giả trước khi lây nhiễm mã độc.
• Các trang web hợp pháp bị xâm nhập: Ngay cả những trang web đáng tin cậy cũng có thể bị xâm nhập để hiển thị cửa sổ bật lên CAPTCHA giả, khiến cuộc tấn công càng đáng tin hơn.

Theo công ty an ninh mạng LAC, các vụ việc liên quan đến ClickFix đã được phát hiện trong môi trường của nhiều khách hàng kể từ cuối năm 2024, và tăng đáng kể trong năm 2025. Các cuộc tấn công không chỉ giới hạn ở Nhật Bản mà còn được ghi nhận tại Mỹ, châu Âu và châu Á, ảnh hưởng đến nhiều ngành từ viễn thông, y tế đến tài chính và khách sạn.

Vì sao các cuộc tấn công này hiệu quả đến vậy?

CAPTCHA giả khai thác nhiều yếu tố tâm lý và kỹ thuật:

• Sự quen thuộc và lòng tin: Người dùng đã quen nhìn thấy CAPTCHA và hiếm khi nghi ngờ tính hợp pháp của chúng.
• Mệt mỏi vì các thao tác thường lệ: Việc thường xuyên gặp CAPTCHA có thể dẫn đến “mệt mỏi vì xác thực”, khiến người dùng mất cảnh giác.
• Kỹ nghệ xã hội: Các bước hướng dẫn lần lượt được trình bày như điều cần thiết để xác minh, làm giảm sự nghi ngờ.
• Vượt qua các biện pháp kiểm soát bảo mật: Vì người dùng là người khởi chạy lệnh, các giải pháp bảo mật thiết bị đầu cuối có thể xem hành động đó là hợp pháp, khiến việc phát hiện khó hơn.

Mã độc ẩn sau lớp vỏ: Lumma Stealer và các loại khác

Một trong những loại mã độc thường được phát tán qua các cuộc tấn công CAPTCHA giả là Lumma Stealer, một phần mềm đánh cắp thông tin (infostealer) nhanh chóng trở nên phổ biến trong giới tội phạm mạng kể từ khi xuất hiện vào năm 2022. Lumma Stealer được rao bán trên các diễn đàn dark web và kênh Telegram, thường dưới dạng dịch vụ mã độc (MaaS), giúp nhiều đối tượng tấn công dễ dàng tiếp cận.

Lumma Stealer làm gì?

Sau khi được cài đặt, Lumma Stealer có thể:

• Thu thập mật khẩu và cookie được lưu trong trình duyệt.
• Đánh cắp thông tin đăng nhập ví tiền mã hóa (ví dụ: MetaMask, Binance).
• Trích xuất dữ liệu xác thực hai yếu tố (2FA) và các tiện ích mở rộng của trình duyệt.
• Thu thập dữ liệu hệ thống và ứng dụng, bao gồm thông tin đăng nhập máy tính từ xa.
• Tuồn tệp và thông tin nhạy cảm đến các máy chủ từ xa do kẻ tấn công kiểm soát.

Các họ mã độc khác được ghi nhận trong những chiến dịch này gồm AsyncRAT, Vidar Stealer, XWorm và nhiều trojan truy cập từ xa (RAT). Chuỗi lây nhiễm cũng có thể bao gồm các tập lệnh bị làm rối, tệp hình ảnh (.png, .gif) chứa mã ẩn và tải trọng nhiều giai đoạn nhằm né tránh phát hiện.

Chi tiết kỹ thuật: Cuộc tấn công diễn ra như thế nào?

Các nhà nghiên cứu bảo mật đã ghi nhận quy trình kỹ thuật sau:

• Trang CAPTCHA giả được tải, thường thông qua liên kết lừa đảo hoặc quảng cáo độc hại.
• Sau khi hoàn thành CAPTCHA, người dùng được yêu cầu chạy một lệnh (chẳng hạn qua hộp thoại Run của Windows hoặc cửa sổ dòng lệnh trên macOS).
• Lệnh này thường gọi PowerShell hoặc mshta.exe để tải xuống và thực thi tập lệnh từ máy chủ từ xa.
• Tập lệnh tải xuống mã độc (ví dụ: tệp ZIP chứa Lumma Stealer), sau đó mã độc được thực thi trên máy của nạn nhân.
• Mã độc bắt đầu tuồn dữ liệu ra ngoài, thường sử dụng các kết nối HTTPS được mã hóa để né tránh hoạt động giám sát mạng.

Một số chiến dịch đã sử dụng JavaScript bị làm rối, nhúng trong các tệp có vẻ vô hại (như MP3 hoặc PDF) để ngụy trang cuộc tấn công kỹ hơn.

Tác động toàn cầu và các vụ việc đáng chú ý

Các cuộc tấn công CAPTCHA giả đã gây ra thiệt hại tài chính và mất mát dữ liệu đáng kể trên toàn thế giới. Theo Gen Digital (công ty mẹ của Norton và Avast), các cuộc tấn công lừa đảo và phát tán mã độc lợi dụng CAPTCHA giả đã tăng hơn 600% tại Nhật Bản trong năm 2024; xu hướng tương tự cũng được ghi nhận trên toàn cầu. Tổng thiệt hại được báo cáo từ các cuộc tấn công này đã lên tới hàng trăm triệu USD.

Các ngành chịu ảnh hưởng nặng nề nhất gồm:

• Viễn thông – Bị nhắm đến để đánh cắp dữ liệu khách hàng và hạ tầng.
• Y tế – Các cổng thông tin y tế và dữ liệu bệnh nhân bị tấn công.
• Tài chính và ngân hàng – Đánh cắp thông tin đăng nhập dẫn đến giao dịch trái phép.
• Khách sạn – Booking.com và các nền tảng tương tự bị lợi dụng làm mồi nhử.

Các nhóm APT (mối đe dọa dai dẳng nâng cao), trong đó có các tác nhân được nhà nước hậu thuẫn từ Triều Tiên, Iran và Nga, cũng đã sử dụng các cuộc tấn công kiểu ClickFix để hoạt động gián điệp và duy trì quyền truy cập vào mạng lưới doanh nghiệp.

Cách nhận biết và ngăn chặn các cuộc tấn công CAPTCHA giả

Trước mức độ tinh vi của các cuộc tấn công này, cần kết hợp biện pháp phòng vệ kỹ thuật với việc thay đổi hành vi. Dưới đây là những điều bạn cần biết:

Dấu hiệu cảnh báo: Cách nhận biết CAPTCHA giả

• Hướng dẫn bất thường: CAPTCHA hợp pháp không bao giờ yêu cầu bạn chạy lệnh hệ thống, mở hộp thoại Run hoặc dán mã vào cửa sổ dòng lệnh.
• Yêu cầu tải xuống hoặc cài đặt phần mềm: Hãy cảnh giác với CAPTCHA yêu cầu tải tệp hoặc tiện ích mở rộng của trình duyệt.
• Cửa sổ bật lên bất ngờ: CAPTCHA xuất hiện trên các trang web lạ hoặc đáng ngờ, đặc biệt sau khi nhấp vào quảng cáo hoặc liên kết trong email không mong muốn.
• URL lạ: Kiểm tra kỹ địa chỉ trang web. CAPTCHA giả thường xuất hiện trên các tên miền bị viết sai chính tả hoặc không liên quan đến dịch vụ bạn đang tìm.

Thực hành tốt nhất dành cho cá nhân

• Không bao giờ làm theo hướng dẫn chạy lệnh từ nguồn không đáng tin cậy. Nếu CAPTCHA yêu cầu mở hộp thoại Run hoặc cửa sổ dòng lệnh, hãy đóng trang đó ngay lập tức.
• Xác minh tính hợp pháp của trang web. Truy cập trang web trực tiếp bằng cách nhập URL, thay vì nhấp vào liên kết trong email hoặc quảng cáo.
• Luôn cập nhật phần mềm và hệ điều hành. Các bản vá bảo mật có thể giúp ngăn chặn việc khai thác lỗ hổng.
• Sử dụng phần mềm bảo mật đáng tin cậy. Bật tính năng bảo vệ theo thời gian thực và luôn cập nhật cơ sở dữ liệu nhận diện.
• Tự trang bị kiến thức và chia sẻ với người khác. Nhận thức là biện pháp phòng vệ tốt nhất trước các thủ đoạn kỹ nghệ xã hội.

Thực hành tốt nhất dành cho tổ chức

• Triển khai các biện pháp kiểm soát kỹ thuật: Hạn chế người dùng không có quyền quản trị chạy lệnh PowerShell hoặc mshta.exe thông qua Group Policy hoặc các công cụ quản lý thiết bị đầu cuối.
• Giám sát hoạt động đáng ngờ: Sử dụng các giải pháp Phát hiện và Ứng phó tại Thiết bị đầu cuối (EDR) để phát hiện việc thực thi lệnh và lưu lượng mạng bất thường.
• Chặn các tên miền và URL độc hại đã biết: Duy trì danh sách chặn được cập nhật và sử dụng giải pháp lọc web.
• Bắt buộc xác thực đa yếu tố (MFA): Giảm thiểu tác động của việc đánh cắp thông tin đăng nhập.
• Tổ chức đào tạo nhận thức bảo mật định kỳ: Hướng dẫn nhân viên nhận biết các thủ đoạn lừa đảo và kỹ nghệ xã hội.
• Chuẩn bị kế hoạch ứng phó sự cố: Đảm bảo có thể nhanh chóng cô lập và điều tra các thiết bị đầu cuối bị nhiễm.

Cần làm gì nếu nghi ngờ thiết bị bị nhiễm?

Nếu bạn cho rằng mình đã trở thành nạn nhân của một cuộc tấn công CAPTCHA giả:

• Ngắt kết nối mạng ngay lập tức để ngăn dữ liệu tiếp tục bị tuồn ra ngoài.
• Liên hệ với bộ phận CNTT hoặc đội ngũ bảo mật nếu bạn đang ở trong môi trường tổ chức.
• Quét toàn bộ thiết bị để tìm mã độc bằng phần mềm bảo mật đáng tin cậy.
• Đổi tất cả mật khẩu của những tài khoản đã truy cập trên thiết bị bị nhiễm, đặc biệt là các dịch vụ nhạy cảm như ngân hàng, email và lưu trữ đám mây.
• Theo dõi tài khoản để phát hiện hoạt động đáng ngờ và cân nhắc bật thêm các biện pháp bảo mật như MFA.

Vì sao các cuộc tấn công CAPTCHA giả báo hiệu một kỷ nguyên mới của tội phạm mạng?

Các cuộc tấn công CAPTCHA giả, đặc biệt là những cuộc tấn công sử dụng ClickFix, đánh dấu một bước tiến đáng kể trong hoạt động tội phạm mạng. Bằng cách khai thác lòng tin của người dùng vào các cơ chế bảo mật quen thuộc và vận dụng kỹ nghệ xã hội, kẻ tấn công có thể vượt qua nhiều biện pháp phòng vệ truyền thống. Những cuộc tấn công này khó phát hiện vì dựa vào hành động do người dùng khởi xướng, trong khi mã độc được phát tán ngày càng tinh vi và có cấu trúc mô-đun.

Khi tội phạm mạng tiếp tục hoàn thiện các thủ đoạn, ranh giới giữa trải nghiệm trực tuyến hợp pháp và độc hại ngày càng trở nên mờ nhạt. Xu hướng này cho thấy tầm quan trọng của việc kết hợp các biện pháp kiểm soát kỹ thuật với giáo dục và nâng cao cảnh giác cho người dùng.

Tóm tắt

• Các cuộc tấn công CAPTCHA giả sử dụng những bản giả mạo câu đố bảo mật rất thuyết phục để lừa người dùng tự thực thi mã độc trên thiết bị của mình.
• Phương thức ClickFix thao túng người dùng để họ chạy các lệnh độc hại, qua đó vượt qua nhiều biện pháp kiểm soát bảo mật.
• Lumma Stealer và các loại mã độc tương tự có thể đánh cắp mật khẩu, dữ liệu tài chính và nhiều thông tin khác, gây tổn thất đáng kể cho cá nhân và tổ chức.
• Các cuộc tấn công đang lan rộng trên toàn cầu, nhắm đến nhiều ngành nghề và cá nhân.
• Dấu hiệu cảnh báo gồm CAPTCHA yêu cầu chạy lệnh hệ thống hoặc tải tệp xuống — CAPTCHA hợp pháp không bao giờ làm như vậy.
• Phòng ngừa cần kết hợp các biện pháp kiểm soát kỹ thuật, phần mềm bảo mật được cập nhật và giáo dục người dùng.
• Nếu bị nhiễm, hãy ngắt kết nối mạng, quét mã độc, đổi mật khẩu và tìm kiếm sự trợ giúp chuyên môn.
• Luôn cảnh giác và hoài nghi trước những hướng dẫn trực tuyến bất ngờ là cách phòng vệ tốt nhất trước làn sóng đe dọa mạng mới này.