Không cần hack trình duyệt: CAPTCHA giả đang dụ người dùng tự chạy malware bằng PowerShell

Một trang web hiện CAPTCHA “Verify you are human”. Người dùng bấm vào ô xác minh, rồi được hướng dẫn mở Windows Terminal hoặc PowerShell, dán một đoạn lệnh và nhấn Enter để hoàn tất kiểm tra. Không có exploit trình duyệt, không cần zero-day và thậm chí không cần người dùng tải một file EXE rõ ràng.

Chính thao tác “làm theo hướng dẫn” là điểm khởi đầu của cuộc tấn công.

Đây là logic phía sau ClickFix, một kỹ thuật social engineering đã được các nhóm tấn công sử dụng ngày càng rộng rãi. Ngày 28/8/2026, Microsoft Security Research công bố phân tích một biến thể mới mang tên TerminalFix, trong đó các website bị xâm nhập hiển thị lớp CAPTCHA giả giống Cloudflare Turnstile rồi lừa người dùng tự chạy lệnh PowerShell độc hại.

Điểm đáng lo không nằm ở việc CAPTCHA có thể bị làm giả. Phishing từ lâu đã sao chép giao diện đăng nhập, cảnh báo bảo mật và trang cập nhật phần mềm. Điều mới ở đây là kẻ tấn công đang chuyển bước thực thi malware từ trình duyệt sang chính người dùng.

Thay vì tìm cách ép browser chạy mã trái phép, trang web chỉ cần thuyết phục nạn nhân mở một công cụ hợp pháp của Windows và chạy lệnh với quyền của chính họ.

ClickFix không phải một malware cụ thể

Microsoft mô tả ClickFix như một kỹ thuật social engineering hơn là một họ malware duy nhất. Mồi nhử có thể là CAPTCHA, thông báo lỗi, hướng dẫn “sửa trình duyệt”, yêu cầu cập nhật hoặc một cảnh báo bảo mật giả.

Mẫu số chung là nạn nhân được hướng dẫn thực hiện một chuỗi thao tác tưởng như vô hại: mở hộp thoại Run, Windows Terminal hoặc PowerShell, dán nội dung từ clipboard rồi chạy nó.

Trong nhiều chiến dịch trước, attacker hướng người dùng tới hộp thoại Win + R. TerminalFix tiến thêm một bước: nó yêu cầu người dùng mở trực tiếp Windows Terminal hoặc PowerShell. Theo Microsoft, cách này giúp các script phức tạp và nhiều dòng có khả năng thực thi ổn định hơn so với hộp thoại Run.

Vì vậy, “ClickFix” không nên được hiểu là tên của một con virus. Nó là mẫu hành vi: khiến người dùng trở thành người thực thi lệnh đầu tiên trong attack chain.

CAPTCHA giả chỉ là lớp giao diện tạo niềm tin

CAPTCHA là lựa chọn mồi nhử rất hiệu quả vì người dùng Internet đã được huấn luyện để coi nó là bước bình thường.

“I am not a robot”, chọn ảnh có đèn giao thông, kéo thanh xác minh hay chờ một vòng quay kiểm tra là những hành vi quen thuộc đến mức nhiều người làm gần như theo phản xạ.

TerminalFix lợi dụng chính thói quen này. Theo phân tích của Microsoft, website bị xâm nhập ban đầu vẫn hiển thị nội dung thật trong thời gian ngắn, sau đó bị phủ lên bằng giao diện giả mô phỏng Cloudflare Turnstile, gồm logo, checkbox “Verify you are human” và animation chờ xác minh.

Khi người dùng tương tác với lớp giả này, website có thể đưa một lệnh độc hại vào clipboard. Sau đó nó hiển thị hướng dẫn yêu cầu mở Terminal hoặc PowerShell và dán nội dung để “hoàn tất xác minh”.

Về mặt tâm lý, giao diện cố biến một hành động cực kỳ bất thường — chạy lệnh hệ thống chỉ để chứng minh mình là con người — thành một bước tiếp theo có vẻ hợp lý.

CAPTCHA thật không cần bạn mở PowerShell

Đây là dấu hiệu nhận biết đơn giản nhất.

Một dịch vụ CAPTCHA hợp pháp có thể yêu cầu click, chọn hình, kéo slider hoặc thực hiện một thử thách trong browser. Nó không cần bạn mở Command Prompt, Windows Terminal, PowerShell hay hộp thoại Run để xác minh danh tính con người.

Nếu một trang web yêu cầu các thao tác kiểu:

• nhấn tổ hợp phím để mở Run hoặc Terminal;
• dán nội dung vừa được sao chép tự động;
• nhấn Enter để “verify”, “fix”, “update” hoặc “continue”;

thì đó phải được xem là tín hiệu nguy hiểm rất cao.

Ngay cả khi giao diện mang logo Cloudflare, Microsoft, Google hay một thương hiệu quen thuộc, logo đó không chứng minh trang xác minh là thật.

Tại sao attacker thích PowerShell?

PowerShell là một công cụ quản trị hợp pháp và cực kỳ mạnh của Windows. Quản trị viên dùng nó để cấu hình máy, tải tài nguyên, xử lý file, truy vấn hệ thống, tự động hóa công việc và điều khiển hạ tầng doanh nghiệp.

Chính vì được cài sẵn và có quyền truy cập sâu vào hệ điều hành, PowerShell cũng hấp dẫn với attacker.

Trong chiến thuật gọi là living off the land, kẻ tấn công cố gắng tận dụng công cụ hợp pháp đã có sẵn trên máy thay vì mang toàn bộ bộ công cụ riêng vào từ đầu. PowerShell, mshta, rundll32, curl và một số Windows binary khác thường xuất hiện trong loại attack chain này.

Điều đó tạo ra một vấn đề cho lớp phòng thủ: việc “PowerShell đang chạy” tự nó không phải bằng chứng của malware. Trong một công ty, hàng nghìn script PowerShell hợp pháp có thể chạy mỗi ngày.

Security tool vì thế phải nhìn vào context: PowerShell được khởi tạo từ đâu, command có bị obfuscate không, nó kết nối tới domain nào, tải file gì và process nào xuất hiện tiếp theo.

Điểm nguy hiểm là trình duyệt không cần bị khai thác

Trong mô hình drive-by exploit cổ điển, attacker tìm một lỗ hổng trong browser, plugin hoặc hệ điều hành. Nạn nhân chỉ cần truy cập trang độc hại và exploit có thể chạy mà họ không biết.

ClickFix đi theo hướng gần như ngược lại.

Browser có thể hoàn toàn được vá. Sandbox vẫn hoạt động. Không cần vượt qua cơ chế thực thi mã của Chrome hoặc Edge bằng lỗ hổng kỹ thuật.

Trang web chỉ phải làm một việc mà browser vốn được phép: hiển thị nội dung và tương tác với clipboard trong những điều kiện nhất định. Phần còn lại do người dùng tự thực hiện bên ngoài browser.

Attacker không phá cửa; họ thuyết phục người ở bên trong tự mở cửa rồi tự bật công tắc.

Đây là lý do tiêu đề “không cần hack trình duyệt” phản ánh đúng bản chất của kỹ thuật: trọng tâm đã chuyển từ exploit software sang exploit hành vi.

TerminalFix cho thấy attack chain đã phức tạp hơn nhiều

Những chiến dịch ClickFix đầu tiên thường được nhắc tới như phương thức phát tán infostealer — malware chuyên lấy cookie, mật khẩu trình duyệt, ví tiền số hoặc token đăng nhập.

TerminalFix mà Microsoft phân tích vào tháng 8/2026 cho thấy cùng một bước social engineering có thể mở đầu cho một intrusion phức tạp hơn đáng kể.

Sau khi nạn nhân tự chạy lệnh PowerShell, malware tải thêm thành phần, sử dụng một executable Windows hợp pháp để thực hiện DLL sideloading, rồi tiếp tục triển khai các payload khác.

Microsoft quan sát thấy những stage tiếp theo sử dụng kỹ thuật giấu dữ liệu trong ảnh PNG, tạo cơ chế persistence qua Registry và Scheduled Task, trinh sát môi trường Active Directory và cuối cùng dựng một reverse tunnel từ máy nạn nhân ra hạ tầng của attacker.

Reverse tunnel đặc biệt nguy hiểm trong môi trường doanh nghiệp vì máy bị nhiễm có thể trở thành điểm trung chuyển vào mạng nội bộ. Từ đó, attacker có khả năng nhìn thấy hoặc tiếp cận các hệ thống vốn không phơi trực tiếp ra Internet.

Một cú dán lệnh có thể biến workstation thành network pivot

Trong chuỗi TerminalFix được Microsoft mô tả, malware thực hiện trinh sát các thành phần như domain trust, nhóm quản trị miền, máy chủ Windows và tài khoản Active Directory.

Sau đó một implant dựa trên Python thiết lập kết nối WebSocket mã hóa ra ngoài và có khả năng chuyển tiếp lưu lượng TCP.

Điều này làm thay đổi mức độ nghiêm trọng của sự cố.

Nếu một máy chỉ nhiễm adware, việc xử lý có thể chủ yếu tập trung vào endpoint. Nhưng nếu máy đã trở thành tunnel vào mạng nội bộ, đội security phải coi nó là một potential pivot point: credential đã dùng trên máy có thể bị lộ, hệ thống nội bộ có thể đã bị thăm dò và attacker có thể đã có đường đi tới các server khác.

Microsoft vì thế khuyến nghị các tổ chức phát hiện dấu hiệu của chiến dịch này phải điều tra rộng hơn một lần malware scan đơn giản.

Tại sao kỹ thuật này có thể vượt qua thói quen cảnh giác với file tải xuống?

Nhiều năm đào tạo an toàn thông tin đã dạy người dùng không mở file .exe lạ, không bật macro trong tài liệu không rõ nguồn và không tải “codec” hoặc “update” đáng ngờ.

ClickFix né chính phản xạ đó.

Thay vì tải một file có biểu tượng cảnh báo, người dùng được yêu cầu thao tác trên chính Windows. Lệnh được dán vào một giao diện trông giống công cụ kỹ thuật dành cho quản trị viên, điều có thể tạo cảm giác “đây là bước sửa lỗi hệ thống” thay vì “tôi đang cài phần mềm”.

Ngoài ra, lệnh trên clipboard thường quá dài hoặc bị làm rối để người dùng có thể hiểu bằng mắt trong vài giây. Một số giao diện còn hiển thị thông báo thành công giả sau khi lệnh chạy, củng cố cảm giác rằng CAPTCHA vừa được hoàn tất bình thường.

Clipboard đã trở thành một phần của attack surface

Clipboard vốn được xem như tiện ích vô hại để copy và paste. Nhưng trong ClickFix, nó đóng vai trò cầu nối giữa browser và command interpreter.

Trang web không nhất thiết phải thực thi trực tiếp mã trên máy. Nó chỉ cần khiến nội dung độc hại xuất hiện trong clipboard, rồi hướng dẫn người dùng đưa nội dung đó sang một môi trường có khả năng thực thi.

Đây là lý do một nguyên tắc phòng thủ đơn giản rất hiệu quả: không dán nội dung từ một website vào terminal nếu bạn không hiểu chính xác nó làm gì.

Nguyên tắc này không chỉ áp dụng cho CAPTCHA. Các trang giả có thể dùng thông điệp “sửa lỗi DNS”, “khôi phục browser”, “cài chứng chỉ”, “update codec”, “enable security check” hoặc “fix Microsoft 365”.

ClickFix đã tiến hóa qua nhiều lớp ngụy trang

Trong năm 2025 và 2026, Microsoft và nhiều hãng bảo mật ghi nhận ClickFix xuất hiện dưới nhiều hình thức.

Một chiến dịch mạo danh Booking.com từng dùng CAPTCHA giả để nhắm vào ngành hospitality và phát tán nhiều loại malware đánh cắp thông tin hoặc điều khiển từ xa. Microsoft cũng ghi nhận biến thể CrashFix vào đầu năm 2026, trong đó attacker cố tình làm browser bị crash rồi đưa ra hướng dẫn “sửa lỗi”, nhằm tạo áp lực để người dùng chạy lệnh.

TerminalFix tiếp tục phát triển logic đó bằng cách chuyển người dùng sang Windows Terminal/PowerShell và xây một post-exploitation chain sâu hơn.

Điểm chung là attacker không cố tạo ra một giao diện quá xa lạ. Họ bám vào những khoảnh khắc người dùng vốn mong đợi sự hướng dẫn kỹ thuật: CAPTCHA, lỗi trình duyệt, login failure hoặc update.

CAPTCHA giả hiệu quả vì nó khai thác “muscle memory”

Mỗi ngày người dùng có thể gặp hàng chục prompt: cookie consent, 2FA, CAPTCHA, thông báo cập nhật, xác nhận tải file, cảnh báo quyền truy cập.

Để làm việc nhanh, não con người học cách xử lý nhiều prompt theo mẫu. Nhìn thấy CAPTCHA thì click. Nhìn thấy nút Continue thì tiếp tục. Nhìn thấy hướng dẫn từng bước thì làm theo.

Social engineering không cần nạn nhân thiếu hiểu biết kỹ thuật. Nó chỉ cần xuất hiện đúng lúc người dùng đang có mục tiêu khác — đọc một trang, đăng nhập dịch vụ, tải tài liệu — và khiến họ coi prompt bảo mật như vật cản cần vượt qua thật nhanh.

ClickFix đặc biệt hiệu quả vì nó đóng gói một hành động nguy hiểm trong workflow có vẻ cơ học: bấm, mở, dán, Enter.

Người dùng nên làm gì khi gặp CAPTCHA yêu cầu mở Terminal?

Cách xử lý an toàn là dừng tương tác với trang đó.

• Không mở PowerShell, Terminal, Command Prompt hoặc Run theo hướng dẫn của website.
• Không dán nội dung mà trang vừa đưa vào clipboard.
• Đóng tab và truy cập dịch vụ bằng URL chính thức hoặc bookmark đã biết.
• Nếu trang xuất hiện từ một link trong email, chat hoặc quảng cáo, không tiếp tục dùng link đó.
• Nếu đã dán và chạy lệnh, ngắt kết nối mạng khi phù hợp với quy trình của tổ chức và báo ngay cho bộ phận IT/security thay vì chỉ đóng cửa sổ.

Trong môi trường doanh nghiệp, việc báo sự cố sớm rất quan trọng vì hệ thống bị nhiễm có thể không chỉ mất dữ liệu cá nhân mà còn cung cấp đường vào mạng nội bộ.

Nếu đã chạy lệnh, chỉ quét antivirus có thể chưa đủ

Với một attack chain kiểu TerminalFix, malware có thể tạo persistence, tải thêm payload, thu thập thông tin domain và thiết lập tunnel.

Do đó, phản ứng sự cố cần xem xét cả endpoint, identity và network activity. Microsoft khuyến nghị điều tra các host bị ảnh hưởng như những điểm có khả năng đã được attacker sử dụng để pivot, đồng thời ưu tiên xoay vòng credential có thể truy cập từ máy đó.

Đối với người dùng cá nhân, nếu đã chạy lệnh không rõ nguồn gốc, cần quét toàn bộ hệ thống bằng công cụ bảo mật cập nhật, kiểm tra tài khoản quan trọng từ một thiết bị sạch và thay đổi mật khẩu khi có nguy cơ credential bị đánh cắp.

Trong doanh nghiệp, quy trình nên đi qua SOC hoặc incident response team để tránh làm mất bằng chứng hoặc bỏ sót persistence.

Doanh nghiệp có thể chặn ClickFix ở nhiều lớp

Không có một biện pháp duy nhất giải quyết hoàn toàn loại tấn công này. Mô hình tốt hơn là phòng thủ nhiều lớp.

Ở lớp người dùng, training cần nói rõ rằng CAPTCHA hợp pháp không yêu cầu chạy lệnh hệ thống. Đây là rule dễ nhớ hơn những bài giảng phishing chung chung.

Ở lớp endpoint, Microsoft khuyến nghị có thể hạn chế PowerShell hoặc Windows Run đối với nhóm người dùng không cần các công cụ này, sử dụng Application Control/AppLocker, bật PowerShell script block logging và theo dõi các pattern thực thi bất thường.

Ở lớp browser và web protection, reputation filtering, SmartScreen và các cơ chế chặn site độc hại có thể ngăn người dùng tới landing page trước khi social engineering bắt đầu.

Ở lớp detection, SOC nên chú ý PowerShell được khởi tạo bất thường sau hoạt động browser, process hợp pháp chạy từ đường dẫn lạ, scheduled task mới, DLL sideloading và outbound tunnel không phù hợp với baseline.

Chặn PowerShell hoàn toàn không phải lúc nào cũng thực tế

PowerShell là công cụ quản trị quan trọng. Trong nhiều tổ chức, việc vô hiệu hóa hoàn toàn có thể phá vỡ automation, deployment và hỗ trợ kỹ thuật.

Do đó, kiểm soát nên dựa trên nhu cầu thực tế.

Nhóm kế toán hoặc chăm sóc khách hàng có thể không cần mở Terminal trong công việc hàng ngày. Nhóm DevOps và IT thì cần. Chính sách có thể khác nhau giữa các role, kết hợp application control, code signing, constrained language mode và logging.

Mục tiêu không phải “PowerShell là xấu”, mà là giảm khả năng một website ngẫu nhiên biến người dùng bình thường thành người khởi chạy một script chưa được kiểm duyệt.

Điều ClickFix cho thấy về tương lai của malware delivery

Hệ điều hành và trình duyệt ngày càng khó khai thác trực tiếp ở quy mô lớn. Sandbox tốt hơn, cập nhật tự động nhanh hơn, exploit chain đắt hơn và nhiều file tải xuống bị kiểm tra trước khi chạy.

Trong bối cảnh đó, attacker có động lực tìm những con đường không đòi hỏi exploit kỹ thuật phức tạp.

Social engineering là một trong số đó.

Nếu malware có thể bắt đầu bằng một lệnh do chính nạn nhân chạy, attacker đã vượt qua một số lớp ma sát mà browser và hệ điều hành cố tạo ra quanh file tải xuống.

Đây cũng là lý do các chiến thuật như ClickFix đáng chú ý dù bản thân chúng không phải một đột phá kỹ thuật. Hiệu quả của chúng đến từ việc tái thiết kế UX của cuộc tấn công.

Quy tắc phòng thủ dễ nhớ nhất: CAPTCHA chỉ nên sống trong browser

Người dùng không cần hiểu PowerShell internals, DLL sideloading hay reverse tunnel để tránh phần lớn ClickFix.

Chỉ cần nhớ một ranh giới:

Nếu một CAPTCHA, trang cập nhật hoặc thông báo lỗi trên web yêu cầu bạn rời browser, mở công cụ dòng lệnh rồi dán nội dung để tiếp tục, hãy coi đó là dấu hiệu tấn công.

TerminalFix cho thấy attacker không nhất thiết phải tìm cách phá Chrome, Edge hay Windows trước. Họ có thể dùng một website bị xâm nhập, giao diện CAPTCHA rất quen thuộc và vài bước hướng dẫn để khiến nạn nhân tự nối browser với PowerShell.

Phần nguy hiểm nhất vì thế không phải CAPTCHA giả trông giống thật đến mức nào. Nó là việc một hành vi bảo mật đã trở thành thói quen — “xác minh tôi là con người” — đang bị biến thành cơ chế khiến chính con người cấp quyền thực thi cho malware.

Nguồn tham khảo

• Microsoft Security Research: TerminalFix campaign deploys a reverse tunnel through multistage intrusion.
• Microsoft Security: Think before you Click(Fix).
• Microsoft Security: New ClickFix variant CrashFix deploying Python RAT.
• CERT Polska: ClickFix in action — how fake CAPTCHA can lead to a company-wide infection.