Troy KONNI: Vũ Khí Truy Cập Từ Xa Của Triều Tiên Và Mối Đe Dọa Toàn Cầu

KONNI là Troy truy cập từ xa (RAT - Remote Access Trojan) liên kết mạnh mẽ với cơ quan tình báo Triều Tiên. Nhà nghiên cứu an ninh mạng có thể thiết lập liên kết vì sau thử tên lửa liên lục địa thành công 2017 của Triều Tiên, có đợt tăng cao chiến dịch phishing nhắm mục tiêu (spear phishing) tham chiếu khả năng mới của Triều Tiên. Chiến dịch KONNI tương tự xảy ra 2014 và cũng dẫn đến kết luận KONNI là vũ khí trinh sát được tạo cho bất kỳ ai quan tâm đến sự việc Triều Tiên, đặc biệt chương trình hạt nhân và tên lửa đạn đạo. Mặc dù không rõ mục tiêu của mã độc, có thể kết luận nó chủ yếu về lập hồ sơ (profiling) máy tính nạn nhân để xác định mục tiêu cho tấn công bền vững hơn. Hầu hết mục tiêu KONNI nằm ở khu vực Châu Á - Thái Bình Dương.

Troy KONNI Làm Gì?

Malware KONNI chủ yếu xâm nhập máy tính qua tài liệu Word bị xâm hại đến hầu hết nạn nhân như tệp đính kèm email.

Khi nạn nhân tải tệp tin, malware được tải nền (background) nơi nó thực thi payload. KONNI sau đó bắt đầu mục tiêu chính là trinh sát và thu thập thông tin. Nó lập hồ sơ mạng máy tính tổ chức, chụp màn hình, đánh cắp mật khẩu, lịch sử duyệt web và tổng quát tìm kiếm bất kỳ thông tin nào có thể lay được. Thông tin sau đó gửi đến trung tâm điều khiển và lệnh.

Malware làm được điều này bằng cách tạo thư mục Windows dưới thư mục cài đặt cục bộ của người dùng hiện tại với đường dẫn MFAData\\event. Nó cũng trích xuất hai tệp DLL độc hại, một cho OS 64-bit và một cho 32-bit. Sau này, nó tạo giá trị khóa gọi là RTHDVCP hoặc RTHDVCPE trên đường dẫn registry sau: HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run.

Đường dẫn registry này dùng cho tự duy trì (auto-persistence), vì nó sẽ tự động khởi động quy trình sau đăng nhập thành công. Các tệp DLL được tạo như vậy có một số khả năng cốt lõi bao gồm keylogging, liệt kê máy chủ (host enumeration), thu thập thông tin, rút dữ liệu (data exfiltration) và lập hồ sơ máy chủ (host profiling).

Thông tin thu thập được sau đó dùng chế tạo tấn công phù hợp hồ sơ nạn nhân. Nếu KONNI nhiễm máy tính mục tiêu cao cấp như máy tính quân sự Hàn Quốc hoặc tổ chức tài chính, người sau nó có thể điều chỉnh tấn công cụ thể bao gồm trinh sát hoặc tấn công ransomware.

Cách Gỡ Bỏ Troy KONNI

Giả sử máy tính bạn đã bị nhiễm, bạn biết làm gì về Troy KONNI?

Cách đơn giản nhất gỡ Troy KONNI là dùng giải pháp chống mã độc đáng tin cậy như Outbyte Antivirus. Để dùng chống mã độc, bạn phải chạy PC ở Chế độ An toàn vì như đã ghi, KONNI dùng một số kỹ thuật tự duy trì tự động, bao gồm thao túng mục tự động khởi động để bao gồm chính nó.

Đối với người dùng Windows 10/11 và 7, các bước sau để vào Chế độ An toàn có mạng:

1. Mở tiện ích Run bằng cách nhấn Windows + R.
2. Gõ msconfig và chạy lệnh.
3. Đi đến tab Khởi động chọn Khởi động an toàn và Mạng.
4. Khởi động lại thiết bị.

Khi thiết bị khởi động lại, khởi chạy chống mã độc và cho nó đủ thời gian xóa virus.

Nếu bạn không có chống mã độc, luôn có tùy chọn theo dõi thủ công tệp tin và thư mục chứa virus. Cách làm là mở Task Manager bằng cách nhấn Ctrl, Alt và Delete. Trên ứng dụng Task Manager, vào tab Khởi động (Startup) tìm bất kỳ mục Khởi động đáng ngờ. Chuột phải vào chúng chọn Mở vị trí tệp tin. Bây giờ, đến vị trí tệp tin và xóa tệp tin và thư mục bằng cách di chuyển vào Thùng rác. Bạn nên tìm thư mục MFAData\\event.

Điều khác bạn cần làm là sửa chữa mục registry bị hỏng và xóa mục liên quan đến malware KONNI. Cách dễ nhất làm điều này là triển khai trình dọn dẹp PC vì một trong những mục tiêu chính của công cụ sửa chữa PC là sửa chữa registry bị hỏng.