Theo Microsoft, một chiến dịch malware đang diễn ra nhắm vào các trình duyệt web Google Chrome, Mozilla Firefox, Microsoft Edge và Yandex đang tấn công máy tính trên toàn cầu.
Chiến dịch này, hoạt động từ tháng 5/2020, được quan sát trên hơn 30.000 thiết bị mỗi ngày tại đỉnh điểm tháng 8 và được thiết kế để chèn quảng cáo vào trang kết quả tìm kiếm của bạn.
Malware chèn quảng cáo tấn công hàng ngàn máy tính
Trong một bài đăng trên Blog Microsoft 365 Defender Research Team, công ty chi tiết cách họ theo dõi malware từ đầu tháng 5/2020, quan sát nó lan rộng toàn cầu.
Loại malware này được gọi là Adrozek. Gia đình malware Adrozek thêm tiện ích mở rộng trình duyệt, thay đổi cài đặt trình duyệt để chèn quảng cáo vào kết quả tìm kiếm, và sửa đổi một DLL cụ thể để không bị phát hiện.
Nếu malware Adrozek không bị phát hiện, nó sẽ chèn quảng cáo lên trên những quảng cáo bạn mong đợi trong kết quả tìm kiếm. Hình ảnh sau của Microsoft minh họa sự khác biệt:
Các quảng cáo được chèn vào kết quả tìm kiếm bao gồm liên kết đến các trang affiliate, nơi kẻ tấn công kiếm tiền thông qua lượng truy cập hoặc nhấp chuột. Tệ nhất, ai đó có thể mua hàng trực tiếp, mở ra các vấn đề nguy hiểm như gian lận danh tính và thẻ tín dụng.
Hơn nữa, trên một số trình duyệt, Adrozek nguy hiểm hơn. Trên Mozilla Firefox, Adrozek có thể kích hoạt mô-đun bổ sung cho phép đánh cắp thông tin đăng nhập. Nói ngắn gọn, nó đánh cắp mật khẩu lưu trong trình duyệt và gửi cho kẻ tấn công.
Adrozek tập trung chủ yếu ở châu Âu, với mật độ lớn khác tại Nam Á và Đông Nam Á. Theo báo cáo Microsoft, điều này dự kiến từ một "chiến dịch bền bỉ, lan rộng".
Microsoft theo dõi 159 domain duy nhất, mỗi domain chứa trung bình 17.300 URL. Mỗi URL chứa trung bình 15.300 mẫu malware đa hình duy nhất.
Adrozek xâm nhập hệ thống như thế nào?
Điều khiến Adrozek khác biệt so với các malware dựa trên trình duyệt khác là kỹ thuật drive-by download.
Trong trường hợp này, drive-by download指的是时刻安装程序出现在你的机器上，而不需要你点击下载按钮或其他操作。运行时，安装程序会下载第二个安装程序，后者再下载并安装主要恶意软件载荷。
Tải trọng chính mang tên file liên quan đến phần mềm âm thanh, như "QuickAudio.exe" hoặc "converter.exe", giúp ng装它在 thư mục của bạn.
Sau khi cài đặt, Adrozek liên lạc với máy chủ điều khiển và bắt đầu sửa đổi cài đặt bảo mật trình duyệt.
Trình duyệt có cài đặt bảo mật chống lại sự can thiệp của malware. File Preferences, ví dụ, chứa dữ liệu nhạy cảm và cài đặt bảo mật. Các trình duyệt dựa trên Chromium phát hiện mọi sửa đổi trái phép đối với các cài đặt này thông qua chữ ký và xác thực trên một số preferences.
Adrozek vô hiệu hóa và ghi đè các cài đặt bảo mật này, cũng như tắt cập nhật bảo mật trình duyệt. Nó cũng bao gồm một số chức năng giúp malware tồn tại trên hệ thống của bạn, bao gồm tạo dịch vụ Windows riêng.
Cách loại bỏ Adrozek
Nếu bạn nhận thấy trình duyệt hiển thị quảng cáo ngẫu nhiên hoặc chuyển hướng bạn đến các trang web ngẫu nhiên, điều đầu tiên là chạy quét virus bằng chương trình chống virus của bạn.
Bạn cũng nên cân nhắc chạy quét thứ hai bằng công cụ như Malwarebytes, sẽ quét và loại bỏ mọi loại malware khỏi hệ thống. Cuối cùng, nhóm Microsoft khuyên người dùng "cài đặt lại trình duyệt của họ" để xóa mọi dấu vết malware.