Một chiến dịch phần mềm độc hại mới đang lợi dụng lòng tin của người dùng vào một cái tên quen thuộc. Các nhà nghiên cứu bảo mật đã xác định một bản tải xuống CCleaner giả mạo cài đặt GhostDesk, một tiện ích mở rộng độc hại của Chrome được thiết kế để âm thầm thu thập cookie, thông tin đăng nhập đã lưu, thao tác gõ phím và ảnh chụp màn hình từ các máy Windows bị nhiễm. Chiến dịch này là lời nhắc nhở rằng ngay cả phần mềm tiện ích nổi tiếng cũng có thể bị biến thành vũ khí khi kẻ tấn công kiểm soát nguồn tải xuống.

Điều gì đã xảy ra: Chiến dịch CCleaner giả mạo

CCleaner là một công cụ được sử dụng rộng rãi để dọn các tệp tạm thời và tối ưu hóa hiệu suất Windows, điều này khiến nó trở thành mồi nhử hấp dẫn đối với tội phạm mạng. Trong trường hợp này, kẻ tấn công đã đóng gói GhostDesk bên trong một trình cài đặt được thiết kế trông giống như bản tải xuống CCleaner hợp pháp. Khi người dùng chạy tệp này, phần mềm độc hại triển khai một tiện ích mở rộng Chrome hoạt động ở chế độ nền, cho phép kẻ tấn công có chỗ đứng dai dẳng bên trong trình duyệt thay vì chỉ trong hệ điều hành.

Bằng cách nhắm trực tiếp vào trình duyệt, GhostDesk có quyền truy cập vào một số dữ liệu nhạy cảm nhất mà một người tạo ra trực tuyến: các phiên đăng nhập được lưu trong cookie, tên người dùng và mật khẩu được lưu trong trình duyệt, và thậm chí cả hoạt động thời gian thực được ghi lại qua thao tác gõ phím và ảnh chụp màn hình. Sự kết hợp này cho phép kẻ tấn công có khả năng vượt qua hoàn toàn các trường mật khẩu bằng cách chiếm đoạt phiên hoạt động, đồng thời xây dựng bức tranh chi tiết về hành vi trực tuyến của nạn nhân theo thời gian.

GhostDesk hoạt động bên trong Chrome như thế nào

Các tiện ích mở rộng trình duyệt độc hại đặc biệt hiệu quả vì chúng chạy với quyền truy cập nâng cao vào bất cứ điều gì người dùng đang làm bên trong trình duyệt, thường không kích hoạt các cảnh báo giống như phần mềm độc hại trên máy tính truyền thống. Sau khi GhostDesk được cài đặt, nó không cần liên tục liên lạc với máy chủ điều khiển để trở nên nguy hiểm. Thay vào đó, nó có thể thu thập dữ liệu một cách thụ động khi người dùng duyệt web, dùng ngân hàng, mua sắm hoặc đăng nhập vào tài khoản công việc, rồi đánh cắp thông tin đó theo từng khoảng thời gian.

Việc đánh cắp cookie đặc biệt đáng lo ngại vì một cookie phiên bị đánh cắp có thể cho phép kẻ tấn công mạo danh người dùng đã đăng nhập mà không bao giờ cần đến mật khẩu của họ. Kết hợp với việc ghi lại thao tác gõ phím và chụp màn hình, GhostDesk có khả năng thu thập thông tin đăng nhập cho các tài khoản sử dụng mã xác thực đa yếu tố được gõ trực tiếp vào trang web, vì phần mềm độc hại có thể quan sát mã khi nó được nhập thay vì cần phải chặn riêng.

Vì sao tiện ích mở rộng trình duyệt là rủi ro bảo mật ngày càng tăng

Sự việc này nằm trong một xu hướng rộng hơn, trong đó trình duyệt chứ không phải hệ điều hành đã trở thành chiến trường chính cho hành vi đánh cắp dữ liệu. Các trình duyệt hiện lưu mật khẩu, thông tin thanh toán, lịch sử duyệt web và phiên hoạt động của hàng chục dịch vụ cùng một lúc, khiến chúng trở thành mục tiêu giá trị cao. Riêng các tiện ích mở rộng có thể qua mặt sự kiểm tra thông thường vì người dùng đã quen với việc cấp cho chúng quyền rộng rãi để "nâng cao" trải nghiệm duyệt web, mà không phải lúc nào cũng xác minh tiện ích mở rộng thực sự đến từ đâu hoặc nó đang làm gì ở chế độ nền.

Vụ việc CCleaner giả mạo cũng nhấn mạnh cách kẻ tấn công tiếp tục dựa vào tên của phần mềm đáng tin cậy thay vì các chương trình ít được biết đến hoặc xa lạ để tăng khả năng nạn nhân tải xuống và chạy tệp mà không do dự. Khi hoạt động phân phối phần mềm hàng ngày ngày càng chuyển sang kết quả tìm kiếm và các trang tải xuống của bên thứ ba, nguy cơ gặp phải hàng giả thuyết phục cũng tăng lên. Đây là một phần của xu hướng lớn hơn, trong đó kẻ tấn công đặt các công cụ độc hại xung quanh các hệ sinh thái công nghệ hợp pháp, tương tự cách các chủ thể quốc gia đã cố gắng định hình và kiểm soát quyền tiếp cận công nghệ mới nổi như phát triển AI nguồn mở cho các mục đích chiến lược của riêng họ.

Điều này có ý nghĩa gì với bạn

Nếu gần đây bạn đã tải CCleaner từ một nguồn không phải trang web chính thức của nhà cung cấp, bạn nên kiểm tra các tiện ích mở rộng Chrome đã cài đặt để tìm bất kỳ thứ gì lạ, đồng thời xem lại trình quản lý tác vụ của Chrome để tìm các tiến trình mà bạn không nhận ra. Vì GhostDesk nhắm vào cookie và thông tin đăng nhập đã lưu, bất kỳ ai nghi ngờ bị nhiễm nên coi mật khẩu được trình duyệt lưu và các phiên hoạt động là có khả năng bị xâm phạm, chứ không chỉ hệ điều hành.

Bài học thực tế vượt ra ngoài chiến dịch đơn lẻ này. Phần mềm tiện ích miễn phí, đặc biệt là các công cụ hứa hẹn "tăng tốc" hoặc "dọn dẹp" PC, là lớp ngụy trang phổ biến và nhất quán cho phần mềm độc hại vì nó hấp dẫn những người dùng đang tìm kiếm giải pháp nhanh chóng. Chỉ tải phần mềm từ các trang web chính thức của nhà cung cấp, thay vì quảng cáo tìm kiếm hoặc các trang tổng hợp của bên thứ ba, vẫn là một trong những cách đơn giản nhất để tránh hoàn toàn loại tấn công này.

Hành động cần thực hiện

Xem lại các tiện ích mở rộng Chrome đã cài đặt và gỡ bỏ mọi thứ bạn không nhận ra hoặc không cố ý cài đặt. Chỉ tải CCleaner, hoặc bất kỳ phần mềm tiện ích nào, trực tiếp từ trang web chính thức của nhà phát hành thay vì từ kết quả tìm kiếm hoặc các trung tâm tải xuống của bên thứ ba. Đổi mật khẩu cho các tài khoản nhạy cảm nếu bạn nghi ngờ trình duyệt của mình đã bị xâm phạm và cân nhắc sử dụng trình quản lý mật khẩu tách biệt khỏi bộ lưu trữ dựa trên trình duyệt. Chạy quét toàn bộ bằng phần mềm diệt virus hoặc chống phần mềm độc hại trên bất kỳ máy Windows nào có bản tải xuống gần đây có vẻ đáng ngờ và bật xác thực đa yếu tố bằng ứng dụng xác thực thay vì mã nhập trên màn hình khi có thể. Luôn cảnh giác với cách phần mềm gián điệp GhostDesk trên Chrome phát tán thông qua các trình cài đặt giả mạo là một trong những biện pháp phòng thủ hiệu quả nhất dành cho người dùng thông thường.