Các nhà nghiên cứu thuộc ASEC - AhnLab SEcurity intelligence Center, vừa qua đã cảnh báo về sự gia tăng đáng kể các máy tính bị lây nhiễm mã độc đánh cắp thông tin như LummaC2 hay ACR Stealer. Theo các nhà nghiên cứu, nguyên nhân khiến những máy tính này bị nhiễm mã độc đến từ những phần mềm đã bẻ khoá (crack) và các keygen chứa nội dung độc hại trôi nổi trên không gian mạng. Việc người dùng phổ thông sử dụng những phần mềm và keygen bất hợp pháp này đã góp phần làm gia tăng thông số trên.

Hình 1: Website phát tán phần mềm crack chứa mã độc ẩn

ACR Stealer là mã độc đánh cắp thông tin (Stealer Malware) được viết bằng ngôn ngữ lập trình C++. Xuất hiện trong khoảng đầu năm 2024, mã độc này nhắm tới người dùng phổ thông với máy tính chạy hệ điều hành Windows. Được quảng bá và phát triển dưới mô hình Dịch vụ Mã độc MaaS (Malware-as-a-Service), mã độc này có khả năng đánh cắp các thông tin nhạy cảm trên hệ thống như cookie trình duyệt, thông tin đăng nhập lưu trữ trong trình duyệt web, ví điện tử, tệp cấu hình của các chương trình trên hệ thống, thông tin về hệ thống bị lây nhiễm,...

Ngoài ra, mức nguy hiểm của ACR Stealer được đánh giá cao do khả năng che giấu trước sự truy quét của các giải pháp bảo mật. Cụ thể, mã độc này sử dụng kỹ thuật "dead drop resolver" (DDR), một kỹ thuật mà mã độc lợi dụng các máy chủ dịch vụ hợp pháp như Steam, Telegram's Telegraph, Google Forms, Google Slides,... làm điểm trung gian để truy cập tới địa chỉ C2 thực tế, đồng thời sử dụng mã hoá Base64 để truyền dữ liệu trên kênh liên lạc.

Hình 2: Google Docs (Forms) bị lợi dụng làm trung gian kết nối tới C2

Tên miền C2 thực tế thu được từ những máy chủ bị lợi dụng kết hợp với mã định danh ở dạng UUID đã mã hoá cứng (hardcoded) được dùng để tải xuống các URL chứa thông tin cấu hình. Phân tích hành vi mạng (Network Behavior) đối với dữ liệu này thu được lượng thông tin mà mã độc đã thu thập trên máy của nạn nhân như hình sau:

Hình 3: Phân tích hành vi mạng của mã độc

Các nhà nghiên cứu của ASEC cũng cung cấp thêm danh sách các chương trình bị mã độc này đánh cắp thông tin, cụ thể:

Khuyến nghị

Cùng với sự phát triển mạnh mẽ của công nghệ thông tin, những mã độc nguy hiểm như mã độc tống tiền (Ransomware) hay mã độc đánh cắp thông tin người dùng (Infostealer) cũng trở lên khó lường hơn từng ngày. Để giảm thiểu khả năng đối diện với những rủi ro gây mất an toàn thông tin này, đội ngũ FPT Threat Intelligence khuyến nghị:

• Nâng cao kiến thức: Người dùng nên tự trang bị cho bản thân những kiến thức thiết yếu về bảo mật trên không gian mạng.

• Sử dụng phần mềm hợp lệ: Người dùng không nên sử dụng phần mềm crack hay các keygen bất hợp pháp, không rõ nguồn gốc.

• Duyệt web an toàn: Người dùng không nên truy cập đến các đường dẫn không rõ nguồn gốc được quảng bá trên các nền tảng mạng xã hội hoặc được gắn trong các email lạ.

• Sử dụng dịch vụ bảo mật: Người dùng nên cài đặt các phần mềm diệt virus hoặc sử dụng dịch vụ giám sát 24/7 để gia tăng tính bảo mật.

IOCs

URLs

FQDN

Tham khảo

1. ASEC report: https://asec.ahnlab.com/en/86390/