Trong lĩnh vực máy tính, Trojan (mã ngựa Trojan) đề cập đến phần mềm độc hại che giấu ý định thực sự của nó đối với nạn nhân mục tiêu. Được lấy từ thần thoại Hy Lạp kể về sự sụp đổ của thành Troy thông qua việc sử dụng con ngựa Trojan lừa dối, loại mã độc này được ngụy trang để trông không đáng ngờ.
Có nhiều loại Trojan, và tác động của chúng rất nghiêm trọng. Là một thực thể mã độc, nó có thể gây hại cho cả người dùng và thiết bị. Trong bài viết này, chúng ta sẽ tập trung vào Orcus RAT (Remote Access Trojan - Trojan truy cập từ xa).
Giới thiệu về Orcus RAT
Orcus RAT là virus máy tính được lan truyền qua các chiến dịch tinh vi. Mã độc này nhắm mục tiêu cao vào nhà đầu tư Bitcoin trong cố gắng lừa đảo tài chính của họ. Nó xuất hiện năm 2016 và kể từ đó đã đánh trúng nhiều địa điểm trên toàn cầu. Mối đe dọa này có thể gây thiệt hại tài chính nghiêm trọng và cướp danh tính.
Một người dùng Twitter tên Armada đã bị điều tra sau khi lan truyền Trojan dưới dạng Công cụ Quản trị Từ xa (Remote Administration Tool) chính thống. Trong khi cô ấy bị điều tra, số lượng máy tính bị nhiễm tăng kỷ lục tại Anh và Canada. Sự lan truyền của virus này được thực hiện qua các chiến dịch email spear-phishing (lừa đảo có mục tiêu) và qua drive-by-downloads (tải xuống tự động khi truy cập web).
Orcus RAT làm gì?
Khi Orcus RAT tìm thấy máy chủ (host), nó chạy quy trình gọi là PK Holdings.exe từ Task Manager (Trình quản lý tác vụ). Sau đó, nó truy cập và cấu hình các mục nhập registry (sổ đăng ký) và kích hoạt một plug-in hệ thống nâng cao và các hoạt động đáng ngờ khác. Mục tiêu cuối cùng là cho phép kẻ tấn công kiểm soát toàn bộ hệ thống từ xa. Khi điều này xảy ra, tội phạm mạng bắt đầu thu thập chi tiết ngân hàng của nạn nhân, ghi lại phím bấm (keystrokes), quay video qua webcam, cũng như cướp ví Bitcoin. Cuối cùng, nạn nhân chịu thiệt hại tài chính lớn.
Khu vực Mỹ và Canada là mục tiêu chính của Orcus RAT. Dù vậy, chuyên gia an ninh mạng chỉ ra rằng mã độc cũng đã đánh trúng các phần khác của quả cầu. Kẻ thực hiện Trojan này bắt đầu bán mã độc năm 2016 với giá 40 đô la. Người bán cũng cung cấp hướng dẫn về cách sử dụng virus để tấn công máy tính khác cho người dùng kém kinh nghiệm hơn. Hướng dẫn bao gồm việc sử dụng tài liệu MS Office đáng ngờ chứa macro, script hoặc khai thác CVE-2017-8759.
Năm 2018, cuộc tấn công virus xuất hiện lại, lần này nhắm vào người nộp thuế Mỹ qua chiến dịch lừa đảo (phishing). Orcus RAT được phân phối dưới dạng gói (bundle) với Netwire. Trojan tiếp tục bùng phát lại năm 2019, nhưng lúc đó nó sử dụng chiến lược phân phối mới che giấu RAT trong video chủ đề Ramadan của Coca-Cola. Bất kể loại chiến dịch nào được sử dụng, mục tiêu và chức năng của RAT là giống nhau – thu được lợi ích tài chính và lấy được thông tin đăng nhập ngân hàng.
Nội dung được trình bày khi lừa dối người dùng qua email để truy cập nội dung độc hại đính kèm như sau:
Dear Sir Madam, Good day!
We are trading company in Taiwan with business line of Lathe and CNC Machines, ELECTRICAL, BOLT & NUTS in this regard, Please kindly refer to the following items and offer your best quotation as soon as possible, thank you.
- C.I.F Kaohsiung Port Taiwan
- By air .1 By sea separately
- Do you need photo of name plate for this Machines Attached?
Kindly revert with price asap. Attached is Our Operating Certificate / License and Order for Specification and references
If you have any question, don't hesitate to contact me.
Best Regards
Amy Wu
Sales Manager
PROTOM MACHINERY TOOLS LTD.
55 Chin Shan South Road Sec. 2
Taipei, Taiwan 10603 TAIWAN, R. 0. C.
Please to consider the environment before printing this e-mail
Để đạt được những mục tiêu này, nhà phát triển của Orcus RAT đã trang bị cho mã độc các khả năng sau:
- Thực hiện tấn công DDoS
- Chiếm quyền điều khiển chức năng webcam và tắt đèn hoạt động của nó
- Quay video và âm thanh sử dụng tài nguyên hệ thống
- Thu thập thông tin hệ thống quan trọng
- Chụp ảnh màn hình (snapshot)
- Thu thập mật khẩu và cookie trình duyệt
Trong số các hoạt động này, chỉ có đèn hoạt động của webcam bị tắt mới có thể được nhận thấy. Các chức năng khác của RAT này được thực thi trong nền, làm cho người dùng máy tính trung bình khó nhận ra sự tồn tại của nó. Để phát hiện RAT này, bạn phải chạy phần mềm bảo mật chống mã độc mạnh mẽ.
Cách loại bỏ Orcus RAT?
Điều khiến việc xử lý Orcus RAT trở nên khó khăn là virus xâm nhập vào các khu vực thiêng liêng của máy tính. Nó thao túng các mục nhập registry và cấy các quy trình khác nhau vào hệ thống. Do đó, ngay cả khi bạn gỡ bỏ chương trình khỏi hệ thống, kẻ tấn công vẫn có thể truy cập vào nó bằng cách sử dụng các "gốc rễ" được để lại phía sau. Nếu các quy trình như vậy tồn tại trong máy tính của bạn, chúng có thể tiêu thụ nhiều sức mạnh CPU và tài nguyên hệ thống. Đây là lý do bạn nên cân nhắc sử dụng tiện ích tự động kết hợp với tùy chọn thủ công.
Hướng dẫn loại bỏ Orcus RAT
Quy trình loại bỏ thủ công phức tạp hơn so với tự động. Do đó, chúng tôi khuyên sử dụng giải pháp tự động nếu kỹ năng máy tính của bạn không quá nâng cao. Tuy nhiên, nếu bạn muốn sử dụng phương pháp thủ công, bước đầu tiên là xác định tên của Trojan bạn muốn loại bỏ. Khi bạn đã làm xong điều đó, bạn có thể tiến hành và khởi động quy trình loại bỏ như được hiển thị dưới đây:
Bước 1: Vào Chế độ an toàn có mạng (Safe Mode with Networking)
- Nhấn Windows + I để khởi chạy ứng dụng Settings (Cài đặt).
- Bây giờ, kiểm tra Update & Security (Cập nhật & Bảo mật) và nhấp vào nó.
- Di chuột sang ngăn bên trái và chọn Recovery (Khôi phục).
- Nhấp tùy chọn Restart Now (Khởi động lại ngay) dưới phần Advanced Startup (Khởi động nâng cao).
- Nhấp Troubleshoot (Khắc phục sự cố) trước khi chọn Advanced options (Tùy chọn nâng cao).
- Bây giờ, chọn Startup Settings (Cài đặt khởi động) trước khi nhấn tùy chọn Restart (Khởi động lại).
- Chọn tùy chọn 5) Enable Safe Mode with Networking (Kích hoạt Chế độ an toàn có mạng).
Bước 2: Kết thúc các quy trình đáng ngờ từ Task Manager
- Nhấn Ctrl + Alt + Delete và nhấp Task Manager (Trình quản lý tác vụ) để khởi chạy tiện ích.
- Bây giờ, nhấp More details (Chi tiết hơn) sau đó cuộn xuống phần có nhãn Background processes (Các tiến trình nền). Kiểm tra trong danh sách quy trình xem có quy trình đáng ngờ nào không.
- Nhấp chuột phải vào bất kỳ quy trình đáng ngờ nào và chọn Open file location (Mở vị trí tệp tin).
- Quay lại Task Manager và nhấp chuột phải vào các quy trình đáng ngờ. Lần này, chọn End task (Kết thúc tác vụ).
- Lặp lại Bước 3 và 4 cho tất cả các quy trình đáng ngờ.
- Khi xong, đi đến tất cả các vị trí tệp tin đã mở và xóa nội dung.
- Bây giờ, đi đến thẻ Startup (Khởi động) và xác định chương trình đáng ngờ. Nhấp chuột phải và chọn Disable (Vô hiệu hóa).
Bước 3: Loại bỏ các tệp tin virus
Tệp tin mã độc có thể được phát hiện ở nhiều vị trí khác nhau trong hệ thống của bạn. Làm theo hướng dẫn sau để tìm chúng:
- Nhấn phím Windows và gõ Disk Cleanup (Dọn dẹp ổ đĩa) trước khi nhấn nút Enter.
- Chọn ổ đĩa lưu trữ bạn muốn dọn dẹp (chúng tôi khuyên chọn ổ bạn cài đặt hệ điều hành, ví dụ ổ C).
- Dưới Files to delete (Tệp tin để xóa), kiểm tra các mục sau:
- Temporary Internet Files (Tệp tin Internet tạm thời)
- Downloads (Tải xuống)
- Recycle Bin (Thùng rác)
- Temporary files (Tệp tin tạm thời)
- Khi xong, bạn có thể kiểm tra các vị trí khác thường lưu trữ nội dung độc hại như:
- %AppData%
- %LocalAppData%
- %ProgramData%
- %WinDir%
Khi xong, bạn có thể khởi động lại hệ thống ở chế độ bình thường.
Sử dụng giải pháp tự động để loại bỏ Orcus RAT
Phương pháp hiệu quả nhất để loại bỏ Trojan Orcus là sử dụng phần mềm bảo mật chống mã độc mạnh mẽ và đáng tin cậy. Các tiện ích bảo mật uy tín cập nhật dữ liệu kịp thời để phát hiện nội dung mã độc mới nhất. Vì vậy, bạn phải xem xét một công ty uy tín để đảm bảo bạn loại bỏ tất cả mã độc trong hệ thống của mình một lần và cho luôn.
Tải xuống chương trình bảo mật từ trang web chính thức của nó và cài đặt. Khi xong, chạy chương trình và chọn tùy chọn Quét toàn bộ (Full Scan). Chờ chương trình quét xong toàn bộ hệ thống và hiển thị tất cả nội dung bị gắn cờ. Chọn hành động được khuyến nghị để Cách ly (Quarantine) / Xóa (Remove) mã độc.
Kết luận
Dù Orcus Technologies đã bị phạt 115.000 CAD vì lan truyền Orcus RAT, nó chưa ngăn chặn sự lan truyền của virus. Nó vẫn chết người và phải được xử lý ngay lập tức để tránh thiệt hại nghiêm trọng và mất mát. Chúng tôi khuyên người dùng nên giữ một chương trình bảo mật chống mã độc mạnh chạy ngầm để có bảo vệ thời gian thực. Ngoài ra, đây là biện pháp an ninh để giữ tất cả phần mềm của bạn được cập nhật để hưởng lợi từ các bản vá bảo mật mới nhất.