Microsoft vừa cảnh báo một mã độc nhắm vào máy Windows, hoạt động âm thầm từ tháng 2 và có thể đánh cắp seed phrase, khóa ví cùng dữ liệu liên quan đến tiền điện tử.
Microsoft cho biết chiến dịch này kết hợp lây qua USB, thay thế địa chỉ trong clipboard và giao tiếp ẩn qua Tor, khiến việc phát hiện trở nên khó hơn trong nhiều tháng. Mã độc hiện được Defender gắn nhãn Trojan:Win32/CryptoBandits.A.
Cơ chế lây nhiễm của CryptoBandits
CryptoBandits là một mã độc kết hợp nhiều bước tấn công để bám trụ trên máy Windows. Nó bắt đầu bằng USB, lợi dụng các tệp shortcut trên ổ di động rồi kích hoạt khi người dùng mở nhầm.
Sau đó, mã độc tìm các tệp DOC, bảng tính và PDF, ẩn bản gốc và thay bằng shortcut giả mang cùng tên. Cách này khiến người dùng tưởng đang mở tài liệu bình thường nhưng thực tế lại chạy mã độc.
Microsoft cho biết CryptoBandits còn tự sao chép sang USB, tạo tác vụ theo lịch để duy trì sau khi khởi động lại và cố gắng né các lần quét của Microsoft Defender.
Vì sao mã độc này khó bị phát hiện
CryptoBandits khó phát hiện vì nó dùng script thay vì bộ cài thông thường và giao tiếp với máy chủ điều khiển qua Tor. Cách triển khai này giúp lưu lượng và hoạt động điều khiển bị che giấu tốt hơn.
Mã độc cũng tạo một ID riêng cho nạn nhân, chạy Tor client trong cửa sổ ẩn và liên tục kiểm tra lệnh từ kẻ điều khiển. Microsoft mô tả đây là một chuỗi hành vi kết hợp giữa kỹ thuật cũ và công cụ ẩn danh hiện đại.
CryptoBandits đánh cắp gì từ người dùng crypto?
CryptoBandits nhắm trực tiếp vào seed phrase, khóa Ethereum và khóa riêng Bitcoin định dạng WIF. Đây là các thành phần có thể dẫn đến mất quyền kiểm soát ví nếu bị lộ.
Mã độc quét clipboard khoảng nửa giây một lần để nhận diện seed phrase BIP39 gồm 12 hoặc 24 từ. Nếu phát hiện địa chỉ ví trong clipboard, nó có thể thay bằng địa chỉ do kẻ tấn công kiểm soát trước khi người dùng dán vào nơi khác.
Microsoft cũng cho biết mã độc lưu bản sao cục bộ của dữ liệu trước khi đẩy ra ngoài qua Tor, sau đó xóa bản sao này khi việc gửi thành công. Ngoài ra, nó còn chụp nhiều ảnh màn hình mỗi giây để theo dõi số dư và hoạt động ví của nạn nhân.
Microsoft Defender đang nhận diện mối đe dọa này ra sao
Microsoft Defender Antivirus hiện gắn nhãn mối đe dọa là Trojan:Win32/CryptoBandits.A. Defender for Endpoint theo dõi thêm các dấu hiệu như tiến trình JavaScript bất thường và hoạt động rò rỉ dữ liệu qua curl.
Với người dùng crypto, điểm cần lưu ý là các hành vi thay thế địa chỉ dán từ clipboard và đánh cắp seed phrase thường khó nhận ra ngay lập tức. Điều này làm tăng rủi ro mất tài sản nếu máy tính đã bị xâm nhập.
Những câu hỏi thường gặp
CryptoBandits là gì?
CryptoBandits là một mã độc nhắm vào máy Windows, có thể đánh cắp seed phrase, khóa ví và thay thế địa chỉ trong clipboard.
Mã độc này lây lan như thế nào?
Nó bắt đầu qua USB, lợi dụng các tệp shortcut giả trên ổ di động và có thể tự sao chép sang thiết bị khác.
CryptoBandits nhắm đến loại dữ liệu nào?
Mã độc này tìm seed phrase BIP39, khóa Ethereum và khóa riêng Bitcoin định dạng WIF.
Microsoft Defender đang gọi mối đe dọa này là gì?
Microsoft Defender Antivirus gắn nhãn nó là Trojan:Win32/CryptoBandits.A.
Tổng kết
CryptoBandits là một chiến dịch mã độc nhắm vào người dùng Windows với trọng tâm là đánh cắp dữ liệu ví tiền điện tử và ẩn mình qua Tor. Các hành vi lây qua USB, thay địa chỉ clipboard và bám trụ sau khởi động lại khiến mối đe dọa này đáng theo dõi.
