Đừng để Hacker biến máy tính của bạn thành “cái xẻng” đào tiền ảo

Những ngày gần đây, rất nhiều người dùng Facebook nhận được 1 video gửi từ bạn bè thông qua Facebook Messenger.

Nếu tò mò mở file này lên, vô tình bạn đã biến máy tính của mình thành một cỗ máy đào tiền ảo cho Hacker. Hậu quả là CPU của máy tính sẽ liên tục trong tình trạng quá tải, điện năng, băng thông mạng bị tiêu tốn không thương tiếc!

Hãy cùng mổ xẻ mã độc này để xem nó làm gì trên máy người bị nhiễm.

Đầu tiên, Static Analysis giúp chúng ta phát hiện mã độc được code bằng ngôn ngữ Autoit:

Tuyệt vời! Công cụ Autoit Decompiler có tên Exe2Aut sẽ giúp chúng ta dịch ngược ra source code. Đôi chút trở ngại khi đọc source code vì Hacker sử dụng kỹ thuật obfuscate code và string encrypt. Tuy nhiên hàm mã hóa string lại khá đơn giản:

Nên tôi quyết định convert code hàm giải mã sang Java thay vì mất công cài đặt Autoit IDE để debug.

Sau khi giải mã toàn bộ string bị mã hóa, công việc còn lại đơn giản là đọc hiểu mã nguồn Hacker đã viết (khoảng 3400 dòng code :)).

Đầu tiên mã độc kiểm tra kết nối tới server điều khiển (C&C), nếu không kết nối được thì thoát chương trình.

Sau đó, mã độc tải thêm ứng dụng khác về, giải nén và chạy ứng dụng đó lên.

Tại thời điểm phân tích, Hacker đang điều khiển các máy tính bị lây nhiễm tải về công cụ chuyên dụng để đào tiền ảo (Monero coin): XMRig CPU Miner. Trong file cấu hình đã thiết lập sẵn tài khoản đào của Hacker:

Hacker cũng không quên sao chép file mã độc vào thư mục %AppData% trên máy tính nạn nhân và ghi key khởi động để đảm bảo mỗi lần nạn nhân bật máy tính lên mã độc sẽ tự động được kích hoạt chạy.

Cuối cùng là thực hiện chức năng phát tán mã độc bằng cách tự động gửi “video” cho bạn bè của nạn nhân. Hacker thực hiện việc này bằng cách:

• Tìm & thoát tiến trình chrome.exe đang chạy
• Chạy chrome.exe với tham số “ — enable-automation — disable-infobars — load-extension= %ext%”, với %ext% là thư mục chứa file extension mà mã độc tải về. Chính extension này chính là thủ phạm tự động gửi file mã độc ẩn danh 1 video cho bạn bè của nạn nhân thông qua Facebook Messenger

• Cẩn thận hơn, mã độc còn thực hiện sửa file shortcut của Chrome (%AppData% \Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk) để load extension độc này lên mỗi khi người dùng mở trình duyệt.

Trên đây là toàn bộ hoạt động của mã độc. Rõ ràng, sức nóng không ngừng của các đồng tiền ảo không chỉ thôi thúc các nhà đầu tư hành động mà nó cũng khiến các Hacker không thể đứng yên, kéo theo cả người dùng bình thường chẳng mấy quan tâm đến Bitcoin vào cuộc.

Nếu bạn không may mở file “video” này lên và bị nhiễm mã độc, để ra khỏi cuộc chơi của Hacker, tốt nhất bạn nên sử dụng 1 phần mềm quét virus uy tín để diệt mã độc trên máy tính của mình. Tại thời điểm phân tích, phần lớn các Antivirus “có tiếng” như Kaspersky, BitDefender, Symantec, McAfee đều chưa thấy nhận diện. Tuy nhiên công ty Bkav cho biết họ đã cập nhật mã nhận diện cho dòng mã độc này với tên FBCoinMiner, nên bạn có thể sử dụng Bkav để xử lý.