Một cú click vào biểu tượng trình duyệt tưởng như là thao tác vô hại, nhưng trong chiến dịch PATCHCORD được Acronis phát hiện, chính hành động quen thuộc này có thể vô tình kích hoạt mã độc đã âm thầm nằm trên máy tính. Nguy hiểm là ở chỗ người dùng vẫn có thể thấy Chrome, Edge hay Firefox mở ra và hoạt động bình thường nên rất khó nhận biết rằng một chương trình khác đã được chạy trước đó.
Cách thức của nhóm tấn công khá tinh vi: chúng tìm cách chiếm quyền kiểm soát phím tắt trình duyệt trên Windows. Sau khi bị chỉnh sửa, khi người dùng bấm vào biểu tượng Chrome hoặc Edge, mã độc sẽ được kích hoạt trước rồi mới mở trình duyệt thật. Với người dùng, mọi thứ gần như không thay đổi: trình duyệt vẫn hiện lên, website vẫn truy cập được, không có cảnh báo rõ ràng nào cho thấy máy tính đã bị can thiệp.
Điều đáng lo nhất ở đây không phải là một loại mã độc mới mà là cách kẻ tấn công biến một thao tác cực kỳ bình thường của người dùng thành điểm khởi đầu cho một cuộc xâm nhập. Người dùng thường nghĩ “tôi chỉ mở trình duyệt thôi, làm sao có virus được?”. Nhưng nếu bản thân trình duyệt (phần mềm) đã bị cài mã độc từ trước, thì mỗi lần bấm vào biểu tượng trình duyệt lại có thể vô tình đánh thức nó.
Điểm đáng chú ý hơn là người dùng không nhất thiết phải truy cập một website độc hại mới gặp nguy hiểm. Trong trường hợp này, nguồn lây nhiễm ban đầu đến từ những gói cài đặt phần mềm giả mạo, VPN hoặc công cụ dành cho cơ quan, tổ chức. Nói cách khác, cú click vào trình duyệt chỉ là lúc mã độc được kích hoạt; vấn đề thực sự có thể đã bắt đầu từ một lần tải và cài đặt phần mềm không rõ nguồn gốc trước đó.
Cách thức của nhóm tấn công khá tinh vi: chúng tìm cách chiếm quyền kiểm soát phím tắt trình duyệt trên Windows. Sau khi bị chỉnh sửa, khi người dùng bấm vào biểu tượng Chrome hoặc Edge, mã độc sẽ được kích hoạt trước rồi mới mở trình duyệt thật. Với người dùng, mọi thứ gần như không thay đổi: trình duyệt vẫn hiện lên, website vẫn truy cập được, không có cảnh báo rõ ràng nào cho thấy máy tính đã bị can thiệp.
Điều đáng lo nhất ở đây không phải là một loại mã độc mới mà là cách kẻ tấn công biến một thao tác cực kỳ bình thường của người dùng thành điểm khởi đầu cho một cuộc xâm nhập. Người dùng thường nghĩ “tôi chỉ mở trình duyệt thôi, làm sao có virus được?”. Nhưng nếu bản thân trình duyệt (phần mềm) đã bị cài mã độc từ trước, thì mỗi lần bấm vào biểu tượng trình duyệt lại có thể vô tình đánh thức nó.
Điểm đáng chú ý hơn là người dùng không nhất thiết phải truy cập một website độc hại mới gặp nguy hiểm. Trong trường hợp này, nguồn lây nhiễm ban đầu đến từ những gói cài đặt phần mềm giả mạo, VPN hoặc công cụ dành cho cơ quan, tổ chức. Nói cách khác, cú click vào trình duyệt chỉ là lúc mã độc được kích hoạt; vấn đề thực sự có thể đã bắt đầu từ một lần tải và cài đặt phần mềm không rõ nguồn gốc trước đó.
Sau khi hoạt động, mã độc có thể thu thập thông tin trên máy, chụp màn hình, lấy tệp tin và thực hiện các lệnh từ xa. Các biến thể liên quan còn lợi dụng những dịch vụ quen thuộc như Google Sheets hay GitHub để liên lạc với máy chủ điều khiển. Đây là một thủ thuật đáng chú ý bởi kết nối tới những dịch vụ phổ biến này nhìn bề ngoài không khác nhiều so với hoạt động Internet thông thường.
Người dùng phổ thông, đừng chỉ nhìn vào việc “máy vẫn hoạt động bình thường” để kết luận rằng máy an toàn. Mã độc hiện đại không nhất thiết phải làm máy chạy chậm, hiện thông báo đáng ngờ hay phá hỏng dữ liệu. Nguy hiểm hơn là nó có thể nằm im và hoạt động phía sau những thao tác quen thuộc mà người dùng thực hiện mỗi ngày.
Vì vậy, khi tải phần mềm, trình duyệt, ứng dụng họp trực tuyến, VPN hay các công cụ làm việc, hãy ưu tiên website chính thức và tránh chạy những file được gửi qua email, mạng xã hội hoặc các nhóm chat nếu chưa xác minh nguồn gốc. Đặc biệt, đừng vì một phần mềm có logo giống hàng chính hãng hay mang tên “cập nhật”, “công cụ nội bộ”, “bản nâng cấp” mà mặc định tin tưởng.
Một cú click không phải lúc nào cũng gây ra sự cố. Nhưng vấn đề thường nằm ở chỗ người dùng thường không biết cú click nào mới là cú click nguy hiểm. Khi một biểu tượng quen thuộc cũng có thể bị lợi dụng để che giấu mã độc, thói quen “thấy bình thường thì cứ bấm” đã không còn đủ an toàn.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
