Tưởng tượng một trang web trông như CAPTCHA hợp pháp, "cập nhật trình duyệt", hoặc hộp thoại sửa lỗi hữu ích. Trang đó âm thầm sao chép một đoạn văn bản hoặc mã vào clipboard của bạn, sau đó bảo bạn mở Run, Terminal, hoặc File Explorer và dán nó vào đó để "xác minh" hoặc "sửa" trang.
Khi bạn dán và nhấn Enter, bạn vừa thực thi bất cứ thứ gì kẻ tấn công đặt trên clipboard — thường là lệnh PowerShell hoặc shell tải và chạy mã độc thêm. Hành động người dùng đơn giản đó biến tò mò thành xâm phạm.
Thật hoàn toàn thực: đây là cách ClickFix (và, mở rộng ra, FileFix) tấn công kỹ thuật xã hội bảo mật hoạt động, tại sao chúng vẫn nguy hiểm, và tại sao chúng không đi đâu trong tương lai gần.
Mã Độc Này Làm Cho Bạn Tự Nhiễm Độc Mình
ClickFix xuất hiện lần đầu 2024 và đã tiến hóa thành hàng chục biến thể. Thiết lập của nó nghe hoang đường và kỳ lạ, nhưng có nhiều ý nghĩa hơn khi bạn nhận ra một số khía cạnh của nó có thể thuyết phục đến mức nào. Bạn sẽ không phải người đầu tiên nói "Không cách nào tôi dán-dán gì vào máy tính của mình", và bạn đúng. Nhưng như nhiều lừa đảo, bạn có thể không phải là mục tiêu; hãy xem những người dễ bị tổn thương dùng máy tính, và bạn sẽ có ý tưởng tốt hơn tại sao nó là vấn đề lớn.
- Bạn truy cập trang web trông như CAPTCHA hợp pháp, cập nhật trình duyệt, hoặc lời nhắc sửa hệ thống. Trang tuyên称 có gì đó sai và bảo bạn "sửa nó" bằng cách dán một lệnh ngắn vào hộp thoại Run hoặc cửa sổ PowerShell.
- Không biết của nạn nhân và ra khỏi tầm nhìn, kẻ tấn công dùng JavaScript gài mã độc vào Clipboard, chứa hướng dẫn ẩn tải mã độc thêm.
- Nạn nhân được khuyên mở hộp thoại Run, nhấn CTRL + V, rồi Enter — thực thi lệnh độc hại và tải thêm mã độc.
Một khi lệnh được thực thi, bất cứ điều gì đều có thể xảy ra. Nạn nhân không biết gì sắp xảy ra trên máy tính, và kết quả có thể là infostealers (trộm thông tin), ransomware (mã độc tống tiền), remote access Trojans (mã độc truy cập từ xa), và hơn thế nữa, tất cả được tải trực tiếp vào máy của bạn.
Như bạn có thể mong đợi, hầu hết tấn công ClickFix tập trung vào người dùng Windows, như đa số mã độc toàn cầu. Tuy nhiên, người dùng macOS không miễn dịch rủi ro. Các công ty bảo mật như Emsisoft và Fortinet đều đã ghi nhận tấn công ClickFix nhắm vào macOS, và nhấn mạnh macOS không miễn dịch mã độc.
ClickFix Bắt Đầu Từ Đâu
ClickFix đến từ đâu để bắt đầu?
Giống như hầu hết mã độc, tấn công ClickFix thường bắt đầu từ email phishing và trang web bị xâm phạm. Nhà nghiên cứu đã theo dõi chiến dịch mạo danh GitHub, Booking.com, thậm chí trang xác minh Cloudflare. Trang giả thường được phân phối qua:
- Email phishing liên kết đến trang "Xác minh sửa lỗi" hoặc "Xác thực tài khoản"
- Quảng cáo độc hại (malvertising) và cập nhật trình duyệt giả qua mạng quảng cáo
- Chuyển hướng từ trang web hợp pháp nhưng bị hack
- Liên kết mạng xã hội đẩy hướng dẫn "vá" giả
Một khi mã độc được tải qua một trong các phương pháp trên, nạn nhân nhận được hướng dẫn cách loại bỏ virus khỏi hệ thống. Tuy nhiên, những hướng dẫn đó thực tế tải thêm mã độc, thường nguy hiểm hơn nhiễm ban đầu.
Về mặt đó, ClickFix không thực sự là một loại mã độc; đó là phương thức phân phối (delivery method). Đó là lý do ClickFix được coi là tấn công kỹ thuật xã hội: nó thuyết phục nạn nhân làm điều nguy hiểm. Đây cũng là lý do nó hiệu quả; vì nạn nhân đang thực thi lệnh, nó bỏ qua hầu hết bảo vệ tích hợp trong Windows vì bạn đang cụ thể yêu cầu và thực thi tải mã độc.
FileFix Dùng File Explorer Để Tải Mã Độc
Hơn nữa, có phiên bản mới hơn của ClickFix gọi là FileFix.
Được tiết lộ lần đầu tháng 6/2025 bởi nhà nghiên cứu bảo mật mr.d0x, tấn công này dùng File Explorer trong Windows để chạy cùng lệnh độc hại tải mã độc.
Vì vậy, thay vì phải mở hộp thoại Run hoặc PowerShell, tấn công hướng dẫn nạn nhân mở File Explorer. Từ đó, nạn nhân sao chép kịch bản độc hại vào thanh địa chỉ File Explorer và nhấn Enter, thực thi lệnh hiệu quả.
Từ đó, kết quả tương tự ClickFix. Thêm mã độc được tải, lây nhiễm thêm máy của bạn.
ClickFix Không Đi Đâu
Con số không nói dối
Vấn đề với ClickFix không chỉ là nó lén lút. Nó còn là một trong những mối đe dọa tăng trưởng nhanh nhất, và không cho thấy dấu hiệu chậm lại. Báo cáo Đe dọa H1 2025 của ESET tìm thấy tăng 500% tấn công ClickFix trong một năm.
"Điều làm cho kỹ thuật kỹ thuật xã hội mới này hiệu quả là nó đủ đơn giản để nạn nhân làm theo hướng dẫn, đủ tin cậy để trông như nó có thể sửa vấn đề bịa đặt, và lạm dụng xác suất nạn nhân sẽ không chú ý nhiều đến lệnh chính xác họ được yêu cầu dán và thực thi trên thiết bị" — Dušan Lacika, Kỹ sư Phát hiện Vरिष्ठ ESET
Tương tự, báo cáo Microsoft xác định hàng chục nghìn trường hợp người chạy mã độc hại.
Thật không may, ClickFix có tất cả dấu hiệu của tấn công sẽ được dùng lặp đi lặp lại. Và tại sao không? Kẻ tấn công rõ ràng thấy thành công khổng lồ với nó, vậy tại sao thay đổi thứ hoạt động?
Có thêm vài lý do nó thành thành phương pháp phân phối mã độc:
- Vượt qua bảo vệ trình duyệt vì không có tải xuống trực tiếp để gắn cờ
- Dựa vào niềm tin con người, không phải lỗ hổng hệ thống, nên vá lỗ hổng đơn độc không sửa được
- Tái sử dụng vô hạn — bất kỳ nhóm nào có thể xây dựng phiên bản của mình trong vài phút
- Trông hợp pháp nhờ trang giả mạo mịn màng và logo thương hiệu
- Rẻ và dễ triển khai qua cơ sở hạ tầng phishing hiện có
Đó là tổ hợp cao cấp cho phân phối mã độc.
Có Vài Cách Tránh Tấn Công ClickFix
Không bao giờ dán lệnh ngẫu nhiên, chắc chắn rồi
Mặc dù nghe như phát hiện ClickFix khó khăn, nó không phải không thể.
- Đảm bảo bạn biết cách phát hiện dấu hiệu kinh điển của email phishing, vì đó là một trong những cách chính tấn công ClickFix bắt đầu.
- Không bao giờ dán lệnh không biết vào Run, PowerShell, hoặc File Explorer. Không trang web hợp pháp nào sẽ bao giờ yêu cầu bạn làm điều đó.
- Đối xử với trang "sửa" hoặc "xác minh" bất ngờ với sự hoài nghi. Nếu có gì trông lạ, đóng tab và truy cập dịch vụ trực tiếp.
- Giữ tính năng bảo mật trình duyệt và hệ điều hành hoạt động. Windows SmartScreen, Defender, và Chrome Safe Browsing vẫn có thể chặn tải trọng cuối. Hoặc cài công cụ bảo mật thứ ba như Malwarebytes Premium.
- Dùng bảo vệ thời gian thực và bộ antivirus cập nhật giám sát hoạt động PowerShell.
- Cẩn thận với URL rút gọn và tệp đính kèm email. Nhiều chiến dịch ClickFix bắt đầu từ chuỗi chuyển hướng rút gọn.
- Nếu bạn đã dán lệnh, ngắt kết nối internet ngay lập tức và chạy quét mã độc toàn diện. Có khả năng máy và thông tin đăng nhập đã bị xâm phạm.
Học cách phát hiện email phishing và xây dựng cách tiếp cận bảo mật tránh rủi ro là dễ dàng cách tốt nhất để an toàn. Bạn đang ngăn chặn một tấn công ClickFix tiềm ẩn trước khi nó bắt đầu.