RokRat là một Remote Access Trojan (RAT - Mã độc truy cập từ xa) nổi tiếng, lần đầu được các nhà nghiên cứu an ninh mạng quan sát vào năm 2014. Sau nhiều năm hoạt động, mã độc này đã tiến hóa đáng kể và hiện là một mối đe dọa tinh vi, có khả năng né tránh phát hiện rất cao.
RokRat lây lan như thế nào?
RokRat khai thác Hangul Word Processor (HWP) – phần mềm soạn thảo văn bản phổ biến tại Hàn Quốc, thường được dùng thay thế Microsoft Word. Quá trình nhiễm bắt đầu từ chiến dịch spear-phishing (nhắm mục tiêu) hoặc exploit kit chứa đối tượng EPS nhúng. Đối tượng này lợi dụng lỗ hổng Windows CVE-2013-0808 để tải xuống một file nhị phân ngụy trang dưới dạng file JPG, file này sẽ kích hoạt mã độc RokRat trên máy nạn nhân.
Ai là mục tiêu của RokRat?
Mục tiêu chính của RokRat là người dùng Hàn Quốc, bởi mã độc nhắm cụ thể vào trình soạn thảo từ HWP. Tài liệu chứa mã độc thường có nội dung chính trị liên quan đến việc thống nhất bán đảo Triều Tiên – chủ đề thu hút sự quan tâm lớn của người Hàn. Ngoài ra, RokRat nhắm vào các phiên bản Windows cũ hoặc chưa được cập nhật bản vá cho CVE-2013-0808 (Microsoft đã phát hành bản vá từ lâu).
RokRat có khả năng làm gì?
Sau khi xâm nhập, RokRat khởi tạo tiến trình cmd.exe để tiêm và thực thi mã. Nó sử dụng nhiều kỹ thuật né tránh:
- Sử dụng các nền tảng đám mây hợp pháp (Mediafire, Yandex, Twitter) làm máy chủ điều khiển và lệnh (C2).
- Giao tiếp qua HTTPS để che giấu hoạt động.
Là một RAT, RokRat có thể:
- Đánh cắp mật khẩu, ghi phím (keylog), chụp màn hình.
- Thực thi file, tải lên tài liệu, kết thúc tiến trình.
- Thu thập thông tin tình báo cho mục đích gián điệp nhà nước (cho thấy nguồn gốc từ Triều Tiên).
Cách loại bỏ RokRat
Loại bỏ RokRat khá đơn giản: sử dụng giải pháp chống mã độc mạnh. Quan trọng hơn, lỗ hổng CVE-2013-0808 đã được vá, nên trừ khi máy tính chưa cập nhật trong thời gian rất dài, RokRat không còn là mối đe dọa lớn. Tuy nhiên, tác giả mã độc luôn tìm kiếm lỗ hổng mới, do đó cần cảnh giác:
1. Cập nhật Windows thường xuyên
Luôn cài đặt các bản cập nhật bảo mật mới nhất (trừ Windows XP – không nên sử dụng).
2. Cài đặt phần mềm chống mã độc
Sử dụng giải pháp chống mã độc uy tín, quét định kỳ.
3. Dọn dẹp máy tính
Sử dụng công cụ sửa chữa PC để xóa file rác, lịch sử duyệt web, cookie và sửa registry hỏng – nơi mã độc thường ẩn náu.
4. Cẩn thận với lừa đảo trực tuyến
Không click vào liên kết hoặc tệp đính kèm đáng ngờ trong email, tin nhắn.