Tin tặc đang thay thế hoàn toàn máy chủ điều khiển truyền thống bằng các cơ chế phi tập trung, tận dụng blockchain như Solana để điều khiển mã độc và đánh cắp tài sản tiền điện tử.
Một chiến dịch mới lạm dụng “memo” trong giao dịch Solana như kênh liên lạc bí mật, giúp mã độc lấy lệnh tấn công, thu thập dữ liệu ví crypto và thậm chí dụ nạn nhân nhập cụm từ khôi phục ví cứng, khiến việc chặn ở cấp mạng trở nên khó hơn.
- Mã độc lạm dụng trường memo của Solana để truy xuất lệnh C2 và cập nhật chỉ dẫn mà không cần đổi mã độc.
- Chiến dịch nhắm ví crypto trên trình duyệt, dữ liệu đăng nhập, phiên truy cập, và có thể leo thang sang kiểm soát máy nạn nhân.
- Ví cứng như Ledger, Trezor bị nhắm qua lừa đảo cụm từ khôi phục; mã độc khó gỡ do cơ chế tự tải lại và kênh phi tập trung.
Memo của Solana đang bị biến thành kênh điều khiển mã độc
Memo trong giao dịch Solana bị khai thác như “kênh liên lạc ẩn”, cho phép mã độc đọc chỉ dẫn tấn công được công khai trên blockchain nhưng khó bị gỡ bỏ.
Memo vốn được thiết kế để ghi chú đơn giản cho giao dịch. Tuy nhiên, kẻ tấn công đang dùng nó như lớp giao tiếp để điều khiển mã độc, biến một tính năng công khai của blockchain thành “kênh bí mật” phục vụ C2.
Vì memo là dữ liệu công khai và tồn tại lâu dài, không có một bên trung tâm nào có thể gỡ bỏ nhanh. Điều này giúp kẻ tấn công duy trì khả năng phát lệnh, đồng thời thay đổi nội dung chỉ đạo mà không phải cập nhật mẫu mã độc đã nằm trên máy nạn nhân.
Chiến dịch được mô tả là biến thể mới của GlassWorm, một họ mã độc được ghi nhận hoạt động ít nhất từ năm 2022.
Chuỗi lây nhiễm bắt đầu từ gói mã độc trong kho mã nguồn mở
Kẻ tấn công phát tán gói độc hại trên các kho như npm, PyPI, GitHub hoặc Open VSX, khiến lập trình viên vô tình cài vào hệ thống và mở cửa cho chuỗi tấn công nhiều giai đoạn.
Theo các nhà nghiên cứu bảo mật từ Aikido, tấn công gồm ba giai đoạn (ba payload). Giai đoạn đầu đóng vai trò điểm vào, thường kích hoạt khi nhà phát triển cài một package độc hại từ kho mã nguồn mở hoặc chợ tiện ích.
Sau khi chạy, mã độc kiểm tra locale hệ thống; nếu phát hiện tiếng Nga, nó dừng lại. Mẫu hành vi này cho thấy kẻ vận hành có thể muốn tránh gây chú ý hoặc rủi ro pháp lý tại khu vực liên quan.
Tiếp đó, mã độc truy vấn blockchain Solana để tìm một giao dịch cụ thể chứa IP máy chủ C2 trong trường memo. Khi lấy được IP, nó kết nối tới C2 để kích hoạt giai đoạn tiếp theo.
Giai đoạn đánh cắp dữ liệu nhắm seed phrase, private key và phiên đăng nhập
Mã độc tìm và trích xuất dữ liệu ví crypto, ảnh chụp màn hình ví và thông tin phiên trình duyệt, giúp kẻ tấn công chiếm quyền truy cập ví lẫn dịch vụ tập trung.
Ở giai đoạn hai, mã độc săn dữ liệu nhạy cảm như seed phrase, private key và cả ảnh chụp màn hình liên quan đến ví. Đối tượng nhắm tới gồm ví dạng extension và ứng dụng phổ biến như MetaMask, Phantom, Coinbase, Exodus, Binance, Ronin, Keplr và các ví khác.
Ngoài dữ liệu ví, mã độc còn thu thập dữ liệu trình duyệt như login sessions, session tokens và thông tin truy cập cloud. Điều này mở rộng rủi ro sang tài khoản sàn giao dịch tập trung và các dịch vụ phát triển/vận hành như npm, GitHub, AWS.
Dữ liệu sau khi thu thập được nén thành tệp ZIP và gửi về máy chủ của kẻ tấn công, hoàn tất chu trình “thu gom – đóng gói – exfiltration”.
Nguồn phân tích kỹ thuật: Aikido Security
Ví cứng Ledger và Trezor bị nhắm bằng lừa đảo cụm từ khôi phục
Một payload .NET dò tìm ví cứng và hiển thị lỗi giả để dụ người dùng nhập recovery phrase, từ đó chiếm toàn bộ quyền kiểm soát tài sản.
Payload cuối tách làm hai phần. Phần thứ nhất là một binary .NET dò các thiết bị ví cứng như Ledger và Trezor. Nếu phát hiện, nó hiển thị thông báo lỗi giả mạo nhằm đánh lừa nạn nhân tự nhập cụm từ khôi phục (recovery phrase).
Đây là kiểu tấn công nguy hiểm vì recovery phrase là “chìa khóa tối thượng” của ví cứng: chỉ cần bị lộ, kẻ gian có thể khôi phục ví trên thiết bị khác mà không cần quyền truy cập vật lý vào thiết bị của nạn nhân.
RAT JavaScript qua WebSocket cho phép kiểm soát máy nạn nhân theo thời gian thực
RAT không chỉ lấy dữ liệu tĩnh mà còn theo dõi phiên đăng nhập, đánh cắp cookie theo thời gian thực, ghi phím, chụp màn hình và chạy lệnh trên máy nạn nhân.
Phần thứ hai là RAT JavaScript dựa trên WebSocket để đánh cắp dữ liệu trình duyệt và triển khai một tiện ích Chrome giả. Tiện ích này theo dõi các trang cụ thể như sàn giao dịch, đánh cắp cookie theo thời gian thực và bám sát hành vi người dùng.
Mẫu RAT này được tải về thông qua một sự kiện Google Calendar đóng vai trò “dead drop resolver”, giúp che giấu máy chủ thật và né bộ lọc bảo mật, đồng thời tạo lớp phân phối gián tiếp cho payload.
Khác với giai đoạn hai chỉ tập trung vào trích xuất dữ liệu, RAT có khả năng điều khiển trực tiếp: duy trì hoạt động, lấy cookie mới, theo dõi phiên đang đăng nhập (ví dụ tài khoản sàn), ghi thao tác bàn phím, chụp ảnh màn hình và cho phép chạy lệnh trên máy.
Vì sao GlassWorm khó gỡ và khó bị chặn ở cấp mạng
Mã độc có thể tự tải lại, sống qua khởi động lại và dùng nhiều kênh dự phòng như DHT cùng Solana memo để tìm máy chủ điều khiển, làm giảm hiệu quả chặn theo kiểu tập trung.
GlassWorm được mô tả là khó loại bỏ vì có thể tự tải lại và tồn tại sau khi reboot. Nó còn dùng các phương thức dự phòng để tìm máy chủ điều khiển, gồm tra cứu DHT (Distributed Hash Table) và truy xuất chỉ dẫn qua memo của Solana.
Khi không còn “một máy chủ trung tâm” để triệt hạ, việc phòng thủ ở tầng mạng trở nên khó hơn: dữ liệu/điểm tham chiếu được phân tán trên nhiều nút, khiến chặn theo IP hoặc gỡ một hạ tầng cố định kém hiệu quả.
Chiến dịch được đánh giá đặc biệt nguy hiểm vì kết hợp đánh cắp crypto, khả năng kiểm soát hệ thống và cơ chế liên lạc/duy trì khó bị loại bỏ.
Những câu hỏi thường gặp
Memo của Solana là gì và vì sao bị lợi dụng?
Memo là trường ghi chú trong giao dịch Solana. Kẻ tấn công lợi dụng vì memo công khai, tồn tại lâu dài và khó bị gỡ bỏ, nên có thể dùng như kênh phát lệnh/điểm tham chiếu để mã độc truy xuất thông tin điều khiển.
Mã độc xâm nhập vào máy lập trình viên bằng cách nào?
Chuỗi tấn công có thể bắt đầu khi lập trình viên cài một package độc hại từ các kho mã nguồn mở như npm, PyPI, GitHub hoặc Open VSX. Giai đoạn đầu đóng vai trò “điểm vào” để tải và kích hoạt các bước tiếp theo.
Những loại dữ liệu nào bị nhắm tới?
Mã độc có thể thu thập seed phrase, private key, ảnh chụp màn hình ví, cookie, session tokens và dữ liệu phiên đăng nhập. Điều này có thể dẫn tới mất tiền trong ví crypto và rủi ro bị chiếm tài khoản trên sàn hoặc dịch vụ như GitHub, AWS.
Vì sao ví cứng vẫn có thể bị đánh cắp tiền?
Ví cứng an toàn khi recovery phrase được giữ kín. Mã độc có thể hiển thị lỗi giả để lừa người dùng tự nhập recovery phrase; nếu cụm từ này bị lộ, kẻ gian có thể khôi phục ví ở nơi khác và rút tài sản.
Điều gì khiến GlassWorm khó bị gỡ bỏ?
Nó có thể tự tải lại, tồn tại sau reboot và dùng nhiều kênh tìm máy chủ điều khiển như DHT và Solana memo. Khi cơ chế điều khiển không phụ thuộc một máy chủ trung tâm, việc chặn hoặc triệt hạ hạ tầng sẽ khó hơn.
