Hacker ngày càng sáng tạo thiết kế malware để mạnh hơn, nguy hiểm hơn, hiệu quả hơn. Malware đánh cắp mật khẩu hoặc ghi hoạt động bàn phím giờ đã cơ bản. Bạn cần ở mức ransomware hoặc crypto-miner để nổi bật trong ngành cạnh tranh này.
Do xu hướng này, thực thể malware chỉ càng trở nên hung hăng và phức tạp theo thời gian. Ví dụ hoàn hảo là malware TrickBot. Malware này được thiết kế để xâm phạm email và đã tồn tại lâu. TrickBot đã xâm phạm 250 triệu tài khoản email cho đến nay.
TrickBot xuất hiện từ 2016. Thay vì suy giảm hay biến mất, malware vẫn mạnh và tiến hóa qua năm. Nó thậm chí được coi là một trong những mối đe dọa hàng đầu nhắm doanh nghiệp. Gần đây, malware tiến hóa thêm chức năng mới khiến nó đáng sợ hơn trước.
Malware TrickBot có thể làm gì?
TrickBot ban đầu là banking Trojan, giống Emotet. Nó được thiết kế đánh cắp thông tin ngân hàng và tài chính từ máy tính bị nhiễm. Thường lan qua email spear phishing gửi cho nhân viên không ngờ của tổ chức/công ty. Ví dụ, nó ngụy trang thành CV giả từ ứng viên gửi nhân sự hoặc hóa đơn giả gửi bộ phận kế toán. TrickBot ẩn trong tệp Word/Excel đính kèm email.
Khi malware xâm nhập, nó dễ dàng lan trong tổ chức nhiều cách. Cách dễ nhất là khai thác lỗ hổng Server Message Block (SMB), giao thức chia sẻ tệp dùng bởi công ty. Cho phép người dùng Windows cùng mạng chia sẻ, truy cập tệp dễ dàng.
Theo chuyên gia bảo mật DeepInstinct, TrickBot đã tiến hóa thành "mối đe dọa mạnh mẽ, tinh vi và phức tạp, đa mục đích cho nhiều hoạt động độc hại." Họ phát hiện biến thể TrickBot gọi là TrickBooster, mô-đun phân phối dựa trên email độc hại thu hoạch email và danh bạ từ sổ địa chỉ và tài khoản email của máy bị nhiễm. Malware sau đó gửi email spam từ tài khoản email người dùng và xóa tin nhắn đã gửi để tránh phát hiện. Đây là cách malware lan nhanh và thu hoạch email để kiếm tiền.
Tóm lại, TrickBot hoạt động theo bốn giai đoạn:
- Máy nạn nhân bị nhiễm TrickBot và nhận lệnh từ máy chủ điều khiển TrickBot tải TrickBooster.
- TrickBooster tải xuống báo cáo ngược máy chủ và gửi danh sách email và thông tin đăng nhập thu hoạch.
- Máy chủ điều khiển TrickBooster 지시 malware bot gửi email độc hại từ tài khoản email nạn nhân.
- TrickBooster bot gửi email spam lan truyền malware.
Theo điều tra DeepInstinct, cơ sở dữ liệu TrickBot chứa khoảng 250 triệu địa chỉ email mới thu hoạch. Trong 250 triệu, 25 triệu từ Gmail, 21 triệu từ Yahoo!, 11 triệu từ Hotmail, 10 triệu từ AOL và MSN. Phần còn lại từ tên miền email do công ty và cơ quan chính phủ sở hữu. Thậm chí có email từ Bộ Tư pháp Mỹ, An ninh Nội vụ, IRS, NASA, ATF.
Cách bảo vệ máy tính chống TrickBot
Phòng ngừa hơn chữa trị, khái niệm này hoàn hảo áp dụng cho TrickBot. Malware này rất lén lút và rất khó phát hiện. Vì nó xóa tất cả tin nhắn đã gửi, bạn không nhận ra trừ khi người nhận email spam thông báo. Trong trường hợp này, cảnh giác là hình thức bảo vệ tốt nhất chống malware khôn khôn này.
Dưới đây là mẹo ngăn TrickBot nhiễm máy tính và bảo vệ dữ liệu:
- Cài đặt tất cả bản cập nhật Windows. Microsoft phát hành bản vá bảo mật qua Windows Update nên hãy cài khi có. Bạn cũng có thể kiểm tra thủ công tại Settings > Update & Security > Windows Update. Nhấp Check for Updates xem có bản cập nhật mới không.
- Cập nhật phần mềm antivirus, bao gồm máy tính kết nối cùng mạng.
- Cẩn trọng khi mở email, đặc biệt có tệp đính kèm. Email phishing là cách phân phối số 1 của TrickBot nên chú ý email bất thường. Nếu nhận email từ tên miền ngoài mạng công ty và chủ đề liên quan công việc, nghiên cứu tên miền trước để xác minh email hợp pháp. Rất khó xác định tính xác thực vì malware thường mô phỏng doanh nghiệp thật để lừa người dùng mở.
- Đừng cho thông tin đăng nhập. Một số kẻ tấn công TrickBot nhắm người dùng PayPal lừa cho thông tin đăng nhập. Nếu nhấp liên kết và được yêu cầu đăng nhập, dù PayPal, email, tài khoản khác, hãy đóng trình duyệt ngay.
Cách loại bỏ Malware TrickBot
Như đã nói, TrickBot rất khó xử lý. Nó là một trong những mối đe dọa mạng lớn nhất và loại bỏ nó cần nhiều nỗ lực và chú ý. Loại Trojan này biết ẩn tốt, nên bạn cần kỹ lưỡng khi loại bỏ. Nó thường ẩn tệp độc hại sâu trong hệ thống, làm cho nó khó phát hiện và xóa.
Nếu nghi ngờ máy tính bị nhiễm TrickBot, làm theo hướng dẫn dưới để xóa thủ công và đảm bảo không quay lại.
Bước 1: Khởi động vào Safe Mode (Chế độ an toàn).
Khởi động vào Safe Mode vô hiệu hóa tất cả quy trình thứ ba không cần thiết để bạn dễ dàng phân biệt quy trình đáng ngờ đang chạy. Để vào Safe Mode:
- Nhấp Start, sau đó nhấp biểu tượng nút nguồn góc dưới bên trái menu. Sẽ hiện menu tùy chọn nguồn.
- Giữ phím Shift trên bàn phím, sau đó nhấp Restart.
- Máy tính sẽ khởi động lại và vào Safe Mode.
Bước 2: Gỡ cài đặt chương trình đáng ngờ.
Hầu hết malware cài thêm phần mềm độc hại khác. Trong trường hợp TrickBot, nó tải và cài TrickBooster thu hoạch email và danh bạ trên máy bị nhiễm. Bạn cần kiểm tra chương trình cài trên máy nào hợp pháp, nào đáng ngờ.
Để gỡ ứng dụng đáng ngờ:
- Mở Run bằng cách nhấn Windows + R cùng lúc.
- Gõ appwiz.cpl vào hộp thoại, nhấp OK. Sẽ mở Control Panel.
- Tìm chương trình bạn không cài, gỡ chúng.
Bước 3: Vô hiệu hóa mục khởi động đáng ngờ.
TrickBot, giống malware khác, được thiết kế chạy khi hệ thống tải. Bạn cần kiểm tra mục khởi động xem có quy trình không quen được tải khi khởi động.
Cách làm:
- Mở Run bằng cách nhấn Windows + R .
- Gõ msconfig vào hộp thoại, nhấn Enter. Sẽ mở cửa sổ Services .
- Nhấp tab Startup .
- Tìm mục có Unknown dưới danh mục Manufacturer và bỏ tích.
Bước 4: Dừng quy trình đáng ngờ (Kill Suspicious Processes).
Ngoài vô hiệu hóa mục khởi động và gỡ chương trình giả, cũng quan trọng kiểm tra quy trình nào đang chạy là malware. Bạn cần dừng ngay và xóa thư mục chứa tệp. Cách làm:
- Nhấn Ctrl + Shift + Esc mở Task Manager.
- Nhấp tab Processes .
- Xác định quy trình nào là malware bằng cách Google chúng.
- Chuột phải vào quy trình đáng ngờ, chọn Open File Location. Sẽ mở thư mục chứa tệp quy trình.
- Quay lại Task Manager, chuột phải vào quy trình đáng ngờ và nhấp End Process.
- Quay lại thư mục mở và xóa tất cả tệp.
Bước 5: Quét máy tính bằng Anti-Malware.
Để loại bỏ TrickBot, khuyến nghị quét máy tính và thư mục bằng phần mềm anti-malware đã cập nhật. Khi phát hiện, làm theo hướng dẫn để loại bỏ hoàn toàn TrickBot.
Bước 6: Xóa tệp còn lại (Delete Left-Over Files).
Một lý do TrickBot khó xóa là nó ẩn tệp rất tốt. Bạn cần chắc chắn tất cả tệp liên quan malware đã xóa để ngăn nó quay lại. Các tệp thường ẩn trong thư mục tên ngẫu nhiên. Bạn có thể tìm kiếm thư mục sau xem có tệp TrickBot còn sót:
- C:\
- C:\Windows
- C:\Windows\System32
- C:\Windows\Syswow64
- C:\Windows\ProgramData
- %AppData% thư mục, đặc biệt Roaming
Tóm tắt
Malware TrickBot cho thấy cách malware đơn giản thích ứng công nghệ mới và nâng cấp trò chơi. Cảnh giác và nhận thức là bảo vệ số 1 chống malware bền bỉ và khó phát hiện như TrickBot. Nếu nghĩ hệ thống bị nhiễm, làm theo hướng dẫn trên để loại bỏ hoàn toàn TrickBot.