Hacker giả danh các quỹ đầu tư mạo hiểm và chiếm quyền kiểm soát tiện ích QuickLens để đánh cắp tiền điện tử bằng kỹ thuật ClickFix

ChainCatcher tin tức, theo báo cáo của Cointelegraph, tin tặc đang sử dụng kỹ thuật tấn công “ClickFix” để đánh cắp tiền điện tử, với hai vụ tấn công mới nhất liên quan đến việc giả danh công ty đầu tư mạo hiểm và chiếm quyền kiểm soát phần mở rộng trình duyệt. Công ty an ninh mạng Moonlock Lab báo cáo rằng kẻ lừa đảo giả danh các công ty VC giả như SolidBit, MegaBit và Lumax Capital, liên hệ với người dùng qua LinkedIn để đề xuất cơ hội hợp tác, sau đó hướng họ nhấp vào các liên kết Zoom và Google Meet giả mạo. Sau khi nhấp vào liên kết, người dùng sẽ được chuyển đến trang có hộp xác minh “Tôi không phải là robot” của Cloudflare giả mạo; khi nhấp vào hộp này, lệnh độc hại sẽ được sao chép vào clipboard và yêu cầu người dùng mở terminal để dán mã xác minh được cho là hợp lệ, từ đó thực hiện cuộc tấn công. Moonlock Lab chỉ ra rằng kỹ thuật này biến nạn nhân thành công cụ thực thi, vượt qua các biện pháp phòng thủ trong ngành an ninh. Đồng thời, tin tặc cũng phân phối phần mềm độc hại thông qua việc chiếm quyền kiểm soát phần mở rộng Chrome QuickLens. Phần mở rộng này cho phép người dùng chạy tìm kiếm Google Lens trực tiếp trong trình duyệt; sau khi chuyển quyền sở hữu, phiên bản mới chứa mã độc có thể khởi động cuộc tấn công ClickFix và đánh cắp thông tin. Phần mở rộng này có khoảng 7.000 người dùng, sau khi bị chiếm quyền sẽ tìm kiếm dữ liệu ví tiền điện tử và từ khóa khôi phục để đánh cắp tiền, đồng thời thu thập nội dung hộp thư Gmail, dữ liệu kênh YouTube và thông tin đăng nhập hoặc thanh toán được nhập vào biểu mẫu web. Phần mở rộng này đã bị gỡ bỏ khỏi Chrome Web Store. Kỹ thuật ClickFix đã trở nên phổ biến trong giới tin tặc từ năm ngoái, buộc nạn nhân phải thực thi thủ công tải độc hại, ảnh hưởng đến hàng ngàn doanh nghiệp và nhiều ngành công nghiệp trên toàn cầu.