Số hóa đã cải thiện chất lượng sống đáng kể, làm mọi thứ dễ dàng, nhanh chóng và tin cậy hơn. Nhưng duy trì mọi hồ sơ trên máy tính và xử lý qua internet giống như một đồng xu có hai mặt khác biệt. Bên cạnh lợi ích vô số, có vài nhược điểm đáng chú ý, đặc biệt là Hacker và công cụ của họ gọi là malware. Thành viên mới nhất trong gia đình malware lớn này là Fauxpersky. Dù vần điệu với antivirus Nga nổi tiếng 'Kaspersky' nhưng đường đi của chúng tách biệt tại đó. Fauxpersky ngụy trang thành Kaspersky và được thiết kế để đánh cắp thông tin người dùng và gửi cho hacker qua internet. Nó lan truyền qua USB, nhiễm máy tính người dùng, ghi lại mọi phím bấm như keylogger và cuối cùng gửi đến hộp thư của kẻ tấn công qua Google Forms. Logic đằng sau tên malware này đơn giản: Bất cứ thứ gì làm sao chép (imitation) sẽ gọi là Faux, do đó sao chép Kaspersky là Faux – Kaspersky hay Fauxpersky.
Để hiểu quy trình thực thi malware này, hãy xem các thành phần của nó:
Keylogger (Ghi phím)
Google định nghĩa: chương trình máy tính ghi lại mọi phím bấm của người dùng, đặc biệt để truy cập trái phép mật khẩu và thông tin bảo mật khác. Tuy nhiên, khi thiết kế ban đầu, Keylogger phục vụ mục đích cha mẹ theo dõi hoạt động trực tuyến của con và tổ chức xem nhân viên có làm nhiệm vụ giao hay không.
AutoHotKey
AutoHotkey là ngôn ngữ kịch bản tùy chỉnh mã nguồn mở, miễn phí cho Microsoft Windows, ban đầu nhằm cung cấp phím tắt dễ dàng hoặc hotkey, tạo macro nhanh và tự động hóa phần mềm cho phép người dùng hầu hết mức độ kỹ năng tự động hóa tác vụ lặp lại trong bất kỳ ứng dụng Windows nào. (Nguồn: Wikipedia).
Google Forms
Google Forms là một trong những app thuộc bộ ứng dụng văn phòng trực tuyến của Google. Dùng để tạo khảo sát hoặc bảng câu hỏi, gửi đến nhóm mong muốn và phản hồi được ghi trong một bảng tính duy nhất cho mục đích phân tích.
Kaspersky
Kaspersky là thương hiệu antivirus Nga nổi tiếng, phát triển antivirus, an ninh internet, quản lý mật khẩu, bảo mật endpoint, và sản phẩm/dịch vụ an ninh mạng khác.
Đúng như lời nói: "Quá nhiều điều tốt có thể tạo ra một điều xấu lớn".
Công thức Fauxpersky
Fauxpersky được phát triển dùng công cụ AutoHotKey (AHK) đọc tất cả văn bản người dùng nhập từ Windows và gửi phím bấm đến ứng dụng khác. Phương pháp keylogger AHK khá đơn giản: lan truyền qua kỹ thuật tự sao chép (self-replication). Khi thực thi trên hệ thống, nó bắt đầu lưu tất cả thông tin người dùng gõ vào tệp văn bản mang tên cửa sổ tương ứng. Hoạt động dưới mặt nạ Kaspersky Internet Security và gửi tất cả thông tin ghi từ phím bấm cho hacker qua Google Forms. Phương pháp trích xuất dữ liệu bất thường: kẻ tấn công thu thập từ hệ thống nhiễm qua Google Forms mà không gây nghi ngờ trong giải pháp bảo mật phân tích lưu lượng, vì kết nối mã hóa với docs.google.com không trông đáng ngờ. Sau khi gửi danh sách phím bấm, nó xóa khỏi ổ cứng để tránh phát hiện. Tuy nhiên, sau khi hệ thống nhiễm, malware lại khởi động lại khi máy tính restart. Nó cũng tạo shortcut cho chính nó trong thư mục khởi động của menu Start.
Fauxpersky: Cách thức hoạt động (Modus Operandi)
Quy trình nhiễm ban đầu chưa xác định, nhưng sau khi malware xâm phạm hệ thống, nó quét tất cả ổ gắn ngoài kết nối với máy tính và tự sao chép vào chúng. Nó tạo thư mục trong %APPDATA% tên "Kaspersky Internet Security 2017" với sáu tệp, bốn trong số đó là file thực thi (executable) trùng tên file hệ thống Windows: Explorers.exe, Spoolsvc.exe, Svhost.exe, và Taskhosts.exe. Hai tệp còn lại: file ảnh logo Kaspersky và file text 'readme.txt'. Bốn file thực thi thực hiện chức năng khác nhau:
- Explorers.exe – lan truyền từ máy chủ sang ổ ngoài qua sao chép file.
- Spoolsvc.exe– Thay đổi giá trị registry hệ thống, ngăn người dùng xem file ẩn và file hệ thống.
- Svhost.exe- dùng hàm AHK theo dõi cửa sổ đang hoạt động và ghi log phím bấm nhập vào cửa sổ đó.
- Taskhosts.exe– dùng để tải dữ liệu cuối cùng (final data upload).
Tất cả dữ liệu ghi trong file text sẽ gửi đến hộp thư kẻ tấn công qua Google Forms và bị xóa khỏi hệ thống. Thêm vào đó, dữ liệu truyền qua Google Forms đã được mã hóa, làm cho việc tải dữ liệu của Fauxpersky trông không đáng ngờ trong các giải pháp giám sát lưu lượng.
Công ty an ninh mạng 'Cybereason' được ghi nhận khám phá malware này và dù không chỉ ra số máy tính bị nhiễm, nhưng鉴于 Fauxpersky lan truyền qua phương pháp cũ là chia sẻ USB. Sau khi Google được thông báo, nó phản ứng ngay bằng cách gỡ bỏ form khỏi server trong vòng một giờ.
Cách gỡ bỏ (Removal)
Nếu bạn nghi ngờ máy tính cũng bị nhiễm, chỉ cần truy cập thư mục 'AppData', vào thư mục 'Roaming' và xóa các file liên quan đến Kaspersky Internet Security 2017 và chính thư mục đó từ thư mục khởi động trong menu Start. Cũng khuyên nên thay đổi mật khẩu các dịch vụ, để tránh sử dụng trái phép tài khoản.
Dù có antivirus mới nhất tiền có thể mua, sẽ sai lầm nếu nghĩ thông tin cá nhân lưu trên máy tính an toàn vì malware liên tục được tạo bởi nhà hoạt động xã hội (social engineering activists) khắp nơi. Nhà phát triển antimalware có thể cập nhật định nghĩa malware nhưng không luôn 100% phát hiện phần mềm bất thường do những đầu óc tài ba đi sai đường tạo ra. Cách tốt nhất ngăn xâm nhập: chỉ truy cập trang web uy tín và cực kỳ cẩn trọng khi dùng ổ ngoài.