Ảnh minh họa: Công an tỉnh Quảng Ninh
Theo đó, thay vì phát tán mã độc qua email hoặc tin nhắn giả mạo như trước đây, các đối tượng đã xây dựng hàng loạt website giả mạo các trang tải phần mềm hợp pháp, đồng thời sử dụng kỹ thuật SEO Poisoning (đầu độc kết quả tìm kiếm) để đưa các website này lên vị trí đầu trên Google, Bing và nhiều công cụ tìm kiếm khác.
Các website giả mạo chủ yếu mạo danh những phần mềm miễn phí được sử dụng phổ biến như OBS Studio, Bandicam, DNS Jumper, DS4Windows... Khi người dùng truy cập và tải phần mềm từ các trang này, thiết bị sẽ bị cài đặt phần mềm điều khiển từ xa ScreenConnect cùng mã độc AsyncRAT, cho phép tin tặc âm thầm chiếm quyền điều khiển máy tính, đánh cắp dữ liệu, theo dõi hoạt động và tiếp tục phát tán các loại mã độc khác.
Điểm nguy hiểm của phương thức tấn công này là người dùng chủ động tìm kiếm và tải phần mềm nên rất khó nhận biết dấu hiệu bất thường, khiến quá trình lây nhiễm diễn ra tự nhiên và dễ dàng qua mặt các biện pháp phòng vệ truyền thống.
Theo phân tích của các chuyên gia, toàn bộ quá trình tấn công được thiết kế thành nhiều giai đoạn nhằm né tránh các giải pháp bảo mật.
Ban đầu, người dùng tải về một gói cài đặt giả mạo, trong đó ngoài phần mềm hợp pháp còn được cài cắm các tệp độc hại. Khi khởi chạy chương trình, tin tặc lợi dụng kỹ thuật DLL Side-Loading để thực thi mã độc dưới tiến trình đã được ký số hợp pháp, khiến phần mềm bảo mật khó phát hiện.
Tiếp đó, hệ thống sẽ cài đặt ScreenConnect nhằm thiết lập kết nối điều khiển từ xa, đồng thời sử dụng các tập lệnh PowerShell để vô hiệu hóa một số cơ chế bảo vệ của Windows như Microsoft Defender và User Account Control (UAC). Sau đó, mã độc AsyncRAT được cài vào tiến trình hợp pháp của Windows bằng kỹ thuật Process Hollowing, kết nối đến máy chủ điều khiển của tin tặc để đánh cắp dữ liệu, ghi màn hình, thực thi lệnh từ xa và tải thêm mã độc.
Để duy trì quyền kiểm soát lâu dài, mã độc còn tự tạo tác vụ định kỳ (Scheduled Task) mang tên MasterPackager.Updater, tự động kích hoạt lại chuỗi tấn công sau mỗi hai phút, kể cả khi máy tính được khởi động lại.
Các chuyên gia nhận định, đây là hình thức tấn công đặc biệt nguy hiểm bởi tin tặc không cần khai thác lỗ hổng bảo mật hay đánh cắp mật khẩu, mà lợi dụng chính sự tin tưởng của người dùng đối với các công cụ tìm kiếm và những phần mềm quen thuộc.
Khi thiết bị bị nhiễm AsyncRAT, không chỉ dữ liệu cá nhân và thông tin tài khoản có nguy cơ bị đánh cắp mà máy tính còn có thể trở thành bàn đạp để phát tán mã độc tống tiền (ransomware), xâm nhập sâu vào hệ thống mạng nội bộ của cơ quan, doanh nghiệp, đe dọa trực tiếp đến an toàn thông tin của toàn đơn vị.
Để chủ động phòng ngừa, lực lượng chức năng khuyến cáo người dân chỉ tải phần mềm từ website chính thức của nhà phát triển; không tin tưởng tuyệt đối vào các kết quả hiển thị đầu tiên trên Google hoặc Bing mà cần kiểm tra kỹ tên miền trước khi tải.
Người dùng cần thường xuyên cập nhật hệ điều hành và phần mềm bảo mật; kiểm tra nếu phát hiện ScreenConnect xuất hiện trên máy tính khi không chủ động cài đặt; rà soát các Scheduled Task bất thường, đặc biệt là tác vụ mang tên MasterPackager.Updater, đồng thời kiểm tra các tập tin lạ trong thư mục C:\Users\Public.
Đối với các cơ quan, đơn vị và doanh nghiệp, cần tăng cường triển khai các giải pháp giám sát, phát hiện và phản ứng tại điểm cuối (EDR/XDR); đẩy mạnh tuyên truyền để cán bộ, công chức, viên chức và người lao động nhận diện phương thức, thủ đoạn mới của tội phạm mạng; thường xuyên kiểm tra hệ thống mạng nội bộ. Khi phát hiện dấu hiệu nghi ngờ bị xâm nhập, cần nhanh chóng cô lập thiết bị, báo cáo bộ phận chuyên trách về an toàn thông tin để xử lý kịp thời.
Trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi, chỉ một thao tác tải phần mềm từ nguồn không tin cậy cũng có thể trở thành "cánh cửa" để tin tặc xâm nhập hệ thống. Mỗi người dân, mỗi cơ quan, đơn vị cần nâng cao ý thức cảnh giác, thực hiện nghiêm các khuyến cáo về an toàn thông tin nhằm bảo vệ dữ liệu và bảo đảm an ninh mạng.