Sự phát triển nhanh chóng của các công cụ trí tuệ nhân tạo (AI) và hệ sinh thái phần mềm dành cho lập trình viên đã làm gia tăng các rủi ro an ninh mạng liên quan đến quá trình cài đặt phần mềm. Gần đây, các nhà nghiên cứu đến từ công ty bảo mật Push Security đã phát hiện một kỹ thuật tấn công mới có tên là InstallFix, trong đó tin tặc tạo ra các trang web giả mạo hướng dẫn cài đặt phần mềm nhằm lừa người dùng thực thi các lệnh độc hại trên hệ thống.
Bài báo phân tích cơ chế hoạt động của chiến dịch tấn công InstallFix nhắm vào công cụ Claude Code, một trợ lý lập trình dựa trên AI. Nghiên cứu tập trung làm rõ phương thức phát tán, kỹ thuật lừa đảo xã hội được sử dụng và các loại phần mềm độc hại được triển khai trong chiến dịch. Từ đó, nghiên cứu đề xuất một số biện pháp nhằm giảm thiểu rủi ro đối với người dùng và tổ chức.
Giới thiệu
Trong môi trường phát triển phần mềm hiện đại, nhiều công cụ dòng lệnh (Command Line Interface - CLI) được phân phối thông qua các lệnh cài đặt đơn giản, thường có dạng tải và thực thi trực tiếp từ Internet. Phương pháp này giúp đơn giản hóa quá trình cài đặt nhưng đồng thời cũng tạo ra những rủi ro bảo mật đáng kể. Người dùng thường có xu hướng sao chép trực tiếp các lệnh cài đặt từ các trang web mà không kiểm tra kỹ nguồn gốc hoặc nội dung của lệnh. Lợi dụng thói quen này, các nhóm tấn công mạng đã phát triển một kỹ thuật lừa đảo mới được gọi là InstallFix, trong đó các trang hướng dẫn cài đặt phần mềm hợp pháp bị sao chép và chỉnh sửa nhằm chèn các lệnh độc hại. Khi người dùng thực thi các lệnh này trên hệ thống của mình, phần mềm độc hại sẽ được tải xuống và cài đặt.
Một trong những chiến dịch gần đây nhắm vào Claude Code, một công cụ hỗ trợ lập trình bằng AI đang được sử dụng rộng rãi trong cộng đồng phát triển phần mềm. Các trang web giả mạo được thiết kế gần như giống hoàn toàn với trang tài liệu chính thức của công cụ, khiến người dùng khó nhận biết sự khác biệt.
Về kỹ thuật tấn công InstallFix
InstallFix là một biến thể của ClickFix, trong đó kẻ tấn công lợi dụng sự tin tưởng của người dùng đối với các hướng dẫn kỹ thuật để khiến họ tự thực thi các lệnh độc hại trên hệ thống. Không giống như các hình thức tấn công truyền thống dựa vào việc khai thác lỗ hổng phần mềm, InstallFix tập trung khai thác hành vi của người dùng, đặc biệt là thói quen sao chép và chạy các lệnh cài đặt từ Internet. Trong kịch bản này, các lệnh độc hại được ngụy trang dưới dạng hướng dẫn cài đặt hoặc khắc phục lỗi, khiến người dùng tin rằng họ đang thực hiện một thao tác hợp pháp để cài đặt phần mềm hoặc sửa lỗi hệ thống.
Khác với ClickFix, kỹ thuật InstallFix không cần tạo ra các tình huống giả mạo như thông báo lỗi hệ thống, cửa sổ cảnh báo hoặc yêu cầu xác minh CAPTCHA để ép người dùng thực hiện hành động. Thay vào đó, kẻ tấn công xây dựng các trang web hướng dẫn cài đặt giả mạo trông giống với tài liệu chính thức của phần mềm. Khi người dùng tìm kiếm hướng dẫn cài đặt trên Internet, họ có thể vô tình truy cập vào các trang web này và làm theo các bước được cung cấp. Vì các hướng dẫn được trình bày theo phong cách tài liệu kỹ thuật quen thuộc, người dùng thường ít nghi ngờ và sẵn sàng sao chép các lệnh được cung cấp để thực thi trên hệ thống của mình.
Trong chiến dịch nhắm vào Claude Code, kẻ tấn công đã sao chép gần như toàn bộ giao diện của trang hướng dẫn cài đặt chính thức, bao gồm bố cục trang, logo, thanh điều hướng và nội dung mô tả. Sự khác biệt chủ yếu nằm ở phần lệnh cài đặt, nơi các đường dẫn tải phần mềm đã bị thay đổi để trỏ tới máy chủ do kẻ tấn công kiểm soát. Khi người dùng sao chép và thực thi các lệnh này trong terminal, hệ thống sẽ tải xuống và cài đặt mã độc thay vì phần mềm hợp pháp. Do các lệnh cài đặt dòng lệnh CLI thường khá dài, chứa nhiều tham số và đôi khi được mã hóa hoặc viết gọn, người dùng hiếm khi kiểm tra chi tiết từng thành phần của lệnh. Điều này làm tăng đáng kể khả năng thành công của cuộc tấn công và cho phép kẻ tấn công cài đặt phần mềm đánh cắp thông tin vào hệ thống của nạn nhân.
Hình 1. Trang hướng dẫn cài đặt Claude Code chính thức (trên) và trang giả mạo trong chiến dịch InstallFix (dưới)
Phương thức phát tán
Các trang web giả mạo được phân phối chủ yếu thông qua quảng cáo độc hại trên công cụ tìm kiếm (malvertising). Kẻ tấn công mua quảng cáo trên Google Ads để hiển thị các liên kết độc hại ở vị trí đầu tiên trong kết quả tìm kiếm khi người dùng tìm kiếm các từ khóa như “Claude Code install” hoặc “Claude Code CLI”.
Khi truy cập vào liên kết quảng cáo, người dùng sẽ được chuyển đến một trang web giả mạo có giao diện giống với trang tài liệu chính thức. Sau khi thực hiện lệnh cài đặt, người dùng có thể được chuyển hướng trở lại trang web thật, khiến họ không nhận ra rằng hệ thống của mình đã bị nhiễm mã độc. Ngoài ra, các trang web giả mạo thường được lưu trữ trên các nền tảng hợp pháp như Cloudflare Pages hoặc Squarespace nhằm tránh bị phát hiện và tăng độ tin cậy đối với người dùng.
Hình 2. Quảng cáo Google (Sponsored Search) được sử dụng trong chiến dịch malvertising nhằm phân phối các trang cài đặt Claude Code giả mạo
Phần mềm độc hại được sử dụng
Phần mềm độc hại được triển khai trong chiến dịch InstallFix là Amatera Stealer, một loại mã độc đánh cắp thông tin từ hệ thống bị xâm nhập. Loại mã độc này có khả năng thu thập nhiều loại dữ liệu nhạy cảm như mật khẩu, cookie trình duyệt, phiên token đăng nhập và thông tin hệ thống. Trên hệ điều hành macOS, các lệnh độc hại thường sử dụng chuỗi lệnh được mã hóa Base64 để tải và thực thi tệp nhị phân từ máy chủ của kẻ tấn công. Trong khi đó, trên Windows, lệnh cài đặt có thể sử dụng các tiện ích hệ thống như mshta.exe để tải xuống và thực thi mã độc. Sau khi được cài đặt, Amatera Stealer có thể gửi dữ liệu đánh cắp được về máy chủ điều khiển và ra lệnh của tin tặc (C2), cho phép chúng khai thác các tài khoản trực tuyến hoặc ví tiền điện tử của nạn nhân.
Kết luận và khuyến nghị
Kết quả phân tích cho thấy kỹ thuật InstallFix khai thác một điểm yếu phổ biến trong quy trình cài đặt phần mềm hiện đại, đó là thói quen sao chép và thực thi trực tiếp các lệnh từ Internet mà không kiểm tra kỹ nội dung. Khi ngày càng nhiều người dùng, bao gồm cả những người không có nhiều kinh nghiệm kỹ thuật, bắt đầu sử dụng các công cụ dòng lệnh và các nền tảng AI hỗ trợ lập trình, nguy cơ bị khai thác thông qua các kỹ thuật lừa đảo xã hội như InstallFix có xu hướng gia tăng. Vì vậy, một trong những biện pháp quan trọng nhằm giảm thiểu rủi ro là nâng cao nhận thức bảo mật cho người dùng, đặc biệt là trong việc xác minh nguồn gốc của các hướng dẫn cài đặt và hạn chế việc thực thi trực tiếp các lệnh được sao chép từ các trang web không chính thức.
Bên cạnh đó, việc sử dụng các nền tảng lưu trữ hợp pháp để triển khai các trang web giả mạo cũng khiến việc phát hiện và ngăn chặn trở nên khó khăn hơn. Điều này cho thấy các giải pháp bảo mật truyền thống dựa trên danh sách chặn tên miền có thể không đủ hiệu quả trong việc phát hiện các chiến dịch tấn công kiểu mới.
Do đó, các tổ chức cần kết hợp nhiều lớp bảo mật khác nhau, chẳng hạn như triển khai các công cụ giám sát hành vi trên trình duyệt, hệ thống phát hiện truy cập bất thường hoặc cơ chế kiểm soát việc thực thi các lệnh tải và cài đặt phần mềm từ các nguồn không đáng tin cậy. Ngoài ra, việc ưu tiên sử dụng các kênh phân phối phần mềm chính thức và kiểm tra kỹ các lệnh cài đặt trước khi thực thi cũng là những biện pháp cần thiết nhằm giảm thiểu nguy cơ bị tấn công bởi các chiến dịch tương tự InstallFix.