Một tiện ích mở rộng Chrome được phát hiện hồi tháng 8/2017 đang quay trở lại. Được đặt tên FacexWorm, đây là một loại sâu (worm) cũ có thủ đoạn mới. Nạn nhân của phần mềm độc hại này mắc một sai lầm then chốt. Họ chấp nhận và mở một file rõ ràng là độc hại!
Nó xâm nhập hệ thống như thế nào?
Khi người dùng mở tin nhắn rác ngẫu nhiên từ bạn chung qua Facebook Messenger, họ nhận được một liên kết video trong tin nhắn. Liên kết này đưa họ đến một trang YouTube proxy (giả mạo), gửi ra thông báo pop-up yêu cầu cài đặt tiện ích mở rộng codec để chạy video. Sau đó nó yêu cầu quyền truy cập thay đổi dữ liệu trên trang web đã mở để phát video nhanh hơn.
Khi script được tải lên PC, FacexWorm thầm lặng bắt đầu tải thêm mã độc hại khác từ máy chủ điều khiển (C&C - command-and-control) của nó. Sau đó nó mở trang web Facebook và gửi tin nhắn đến tất cả bạn bè và người theo dõi trong danh sách của bạn. Đó là cách nó lan truyền vào hệ thống của bạn và dùng nó để lan rộng hơn trong mạng lưới.
Nó ảnh hưởng hệ thống như thế nào?
Khi truy cập qua trình duyệt khác ngoài Google Chrome phiên bản desktop, liên kết độc hại sẽ chuyển hướng đến quảng cáo ngẫu nhiên. Cách này giúp nó tránh bị phát hiện và mỗi khi một trang web mới được mở, nó truy vấn máy chủ C&C để tìm và truy xuất mã JavaScript khác. Các mã này được lưu trữ trên kho GitHub và sau đó lặp lại quy trình tương tự trên trang web đó.
Nếu người nào có ví tiền mã hóa (cryptocurrency wallet) lưu trên PC, hoặc truy cập trang giao dịch tiền mã hóa online, FacexWorm sẽ định vị địa chỉ đã nhập và thay thế bằng địa chỉ khác do hacker sau sâu chỉ định.
FacexWorm có khả năng thực hiện việc chuyển đổi này trên nhiều nền tảng giao dịch như Binance, Poloniex, Bitfinex và HitBTC.
Các loại tiền mã hóa bị nhắm mục tiêu: Bitcoin (BTC), Dash (DASH), Ethereum Classic (ETC), Monero (XMR) và nhiều loại khác.
Nó có thể gây thiệt hại tiềm ẩn nào?
Malware FacexWorm tải lên hệ thống qua cổng mạng xã hội. Vì lý do này, nó có nhiều cách ảnh hưởng đến nạn nhân và Bản sắc số (Digital Identity) của họ.
1) Nó có thể xâm phạm thông tin đăng nhập của nạn nhân trên nhiều nền tảng như Google, Coinhive và các trang mạng xã hội khác. Khi nó giành được quyền truy cập đăng nhập của nạn nhân, nó gửi tất cả dữ liệu này về máy chủ chính và tiếp tục theo dõi.
2) Nó thậm chí có khả năng khai thác tiền mã hóa (mine cryptocurrency) từ PC của nạn nhân. Một script Coinhive quá phức tạp chạy ẩn danh trên PC của nạn nhân. Script này kết nối với pool CoinHive nơi dùng sức mạnh PC của nạn nhân đào coin cho ví của hacker. Lượng sử dụng PC bị giới hạn ở 20% nhưng chính nó đã làm tăng 20% hóa đơn điện nạn nhân phải trả.
3) FacexWorm có khả năng kéo nạn nhân vào lừa đảo tiền mã hóa không tự愿. Với thông tin tài khoản trong tay, nó dùng từ khóa như Blockchain, Bitcoin, Ethereum, Ripple, v.v. và chuyển hướng đến một trang lừa đảo chuẩn bị sẵn. Trang lừa đảo có lời tuyên bố giả về người thắng cuộc gửi 0.5 đến 10 ether (ETH) đến ví của kẻ tấn công và nhận lại lên đến 5 đến 100 ETH. Lưu ý: Đây là một trong những hình thức lừa đảo tiền mã hóa phổ biến nhất trên thị trường.
4) Khi nạn nhân truy cập trang web, có khả năng cao Facexworm sẽ hiển thị trang web proxy cùng tên. Các trang proxy này được chỉ định bởi kẻ tấn công làm link giới thiệu (referral links) của trang gốc. Bằng cách này, kẻ tấn công nhận được hoa hồng giới thiệu. Một số trang bị nhắm mục tiêu như DigitalOcean, Binance, HashFlare và FreeBitco.in.
Kết luận: Hãy cảnh giác!
Mặc dù chưa có nhiều báo cáo về nạn nhân hiện tại, FacexWorm có tiềm năng trở thành một trong những malware phá hoại nhất. Nó có khả năng xâm phạm bản sắc số và thậm chí phá hủy ví tiền mã hóa trong dài hạn. Chúng tôi khuyên người đọc hãy cảnh giác trước khi nhấp vào bất kỳ tin nhắn nào họ nhận được trên Facebook Messenger bất kể tên người gửi.