Một tiện ích được tin cậy rộng rãi đang bị lợi dụng chống lại chính những người phụ thuộc vào nó. Theo một báo cáo từ Cybersecurity News, các kẻ tấn công đang giấu mã độc OpenSUpdater bên trong các bộ cài đặt 7-Zip giả mạo, sử dụng các trình tải ẩn liên hệ với máy chủ từ xa trong khi quá trình cài đặt đang chạy. Chiến dịch mã độc bộ cài đặt 7-Zip bị cài trojan này là lời nhắc nhở rằng tệp bạn tải xuống quan trọng không kém gì chương trình mà bạn nghĩ mình đang nhận được.

Thông tin công khai còn hạn chế, vì vậy bài viết này chỉ bám sát những gì đã được báo cáo và tập trung vào các bước thực tế mà bạn có thể thực hiện.

Cách các bộ cài đặt 7-Zip giả mạo phát tán OpenSUpdater

Kỹ thuật được báo cáo rất đơn giản về mặt khái niệm. Các kẻ tấn công đóng gói OpenSUpdater, một họ mã độc, bên trong các bộ cài đặt tự giới thiệu là 7-Zip. Bên trong những bộ cài đặt đó là một trình tải ẩn. Trong quá trình thiết lập, trình tải đó liên hệ với máy chủ từ xa, đây là giai đoạn mà hoạt động độc hại bổ sung có thể bắt đầu.

Điều này quan trọng vì bộ cài đặt có thể trông và hoạt động bình thường từ góc nhìn của người dùng. Một cửa sổ thiết lập xuất hiện, tiến trình diễn ra, và nạn nhân thấy những gì có vẻ là một quá trình cài đặt phần mềm thông thường. Liên hệ mạng đáng ngờ xảy ra ở chế độ nền, ngoài tầm nhìn.

Việc chọn 7-Zip không phải ngẫu nhiên. Đây là một trình nén tệp miễn phí, phổ biến, và mọi người thường xuyên tìm kiếm nó, khiến nó trở thành một vỏ bọc thuận tiện. Các kẻ tấn công dựa vào thực tế rằng nhiều người dùng chỉ đơn giản tìm kiếm tên phần mềm và nhấp vào một kết quả trông hứa hẹn, thay vì truy cập thẳng vào trang web chính thức của dự án.

Bài báo nguồn không nói cách các bộ cài đặt bị cài trojan được phát tán, vì vậy chúng tôi sẽ không suy đoán về điều đó ở đây.

Cách phát hiện một bộ cài đặt phần mềm bị cài trojan

Không có kiểm tra đơn lẻ nào là hoàn hảo, nhưng một vài thói quen giúp giảm đáng kể rủi ro của bạn.

  • Kiểm tra nguồn gốc tệp. Nếu bạn đến được liên kết tải xuống thông qua một quảng cáo, một kết quả tìm kiếm bạn chưa xác minh, một liên kết trên diễn đàn, hoặc một máy chủ gương bên thứ ba, hãy đối xử với nó một cách nghi ngờ. Các tên miền giả mạo là một thủ thuật phổ biến, vì vậy hãy đọc địa chỉ một cách cẩn thận.
  • Chú ý đến hành vi bất thường trong quá trình thiết lập. Một trình nén đơn giản không nên cần làm nhiều hơn việc sao chép tệp và tạo lối tắt. Hoạt động mạng không giải thích được, các lời nhắc bổ sung, hoặc các chương trình bổ sung xuất hiện là những dấu hiệu cảnh báo.
  • So sánh chi tiết tệp. Các dự án chính thức thường công bố số phiên bản và mã kiểm tra. Nếu kích thước, phiên bản, hoặc mã băm không khớp với những gì trang web chính thức liệt kê, đừng chạy tệp đó.
  • Chú ý đến cảnh báo bảo mật. Nếu phần mềm diệt virus hoặc các biện pháp bảo vệ tích hợp của Windows gắn cờ một bộ cài đặt, hãy tạm dừng và điều tra thay vì bỏ qua cảnh báo. Hãy nhớ rằng các bản phát hành mới đôi khi có thể bị gắn cờ sai, vì vậy hãy xác minh thông qua nguồn chính thức trước khi đưa ra kết luận.
  • Xem xét chữ ký số. Trong Windows, bạn có thể nhấp chuột phải vào một bộ cài đặt, mở thuộc tính của nó, và xem tab Digital Signatures. Một người ký bị thiếu hoặc không quen thuộc trên phần mềm lẽ ra phải được ký là điều đáng đặt câu hỏi.

Điểm rộng hơn là một bộ cài đặt bị cài trojan khai thác sự tin tưởng, không phải một lỗ hổng phần mềm. Mô hình đó xuất hiện xuyên suốt các mối đe dọa rất khác nhau. Bài viết của chúng tôi về phần mềm gián điệp Telegram của Iran bị các cơ quan Mỹ, Anh và Hà Lan gắn cờ cho thấy cách phần mềm độc hại có thể thành công bằng cách trông giống như thứ mà mọi người đã sử dụng và tin là an toàn.

Nơi VPN giúp ích và nơi nó không giúp ích

VPN xuất hiện trong gần như mọi cuộc trò chuyện về quyền riêng tư, vì vậy cần chính xác về những gì chúng làm ở đây.

VPN mã hóa lưu lượng của bạn giữa thiết bị của bạn và máy chủ VPN và che giấu địa chỉ IP của bạn khỏi các trang web bạn truy cập. Điều đó hữu ích trên Wi-Fi công cộng và để hạn chế một số loại theo dõi. Nó không kiểm tra các tệp bạn tải xuống, và nó không biết liệu một bộ cài đặt có chính hãng hay không.

Nếu bạn tải xuống một bộ cài đặt 7-Zip độc hại qua VPN, bạn vẫn có một bộ cài đặt độc hại. Khi nó chạy trên máy Windows của bạn, trình tải ẩn vẫn có thể liên hệ với máy chủ từ xa của nó, vì kết nối đó chỉ đơn giản đi qua đường hầm VPN như bất kỳ lưu lượng nào khác. Một số bộ phần mềm bảo mật đi kèm các tính năng bảo vệ như chặn trang web độc hại, nhưng đó là một chức năng riêng biệt với dịch vụ quyền riêng tư cốt lõi mà VPN cung cấp, và không nên được giả định.

Hãy nghĩ về VPN như một lớp hạn chế. Nó bảo vệ dữ liệu đang truyền và một phần quyền riêng tư của bạn, nhưng nó không thay thế cho việc tải xuống cẩn thận, bảo vệ điểm cuối, hoặc cập nhật hệ thống.

Các cách an toàn hơn để tải xuống và xác minh phần mềm Windows

Một vài thói quen khiến loại tấn công này khó thực hiện hơn nhiều đối với bạn.

  1. Truy cập thẳng vào trang web chính thức của dự án. Tự gõ địa chỉ hoặc sử dụng dấu trang bạn đã tạo từ một nguồn đáng tin cậy, thay vì dựa vào kết quả tìm kiếm hoặc quảng cáo.
  2. Xác minh trước khi chạy. Khi dự án công bố mã kiểm tra hoặc chữ ký, hãy so sánh chúng với tệp bạn đã tải xuống.
  3. Cân nhắc một trình quản lý gói. Các công cụ như winget có thể cài đặt phần mềm từ các kho được tuyển chọn, giúp giảm phơi nhiễm với các trang web giả mạo.
  4. Giữ bảo vệ điểm cuối hoạt động và cập nhật. Quét theo thời gian thực có thể bắt các bộ cài đặt độc hại đã biết trước khi chúng thực thi.
  5. Sử dụng tài khoản tiêu chuẩn cho công việc hàng ngày. Các bộ cài đặt cần sự phê duyệt của quản trị viên cho bạn một khoảnh khắc để hỏi liệu yêu cầu đó có hợp lý không.
  6. Quét các tệp không quen thuộc trước. Nếu bạn không chắc chắn, hãy kiểm tra bộ cài đặt bằng một trình quét đa công cụ có uy tín trước khi mở nó.

Điều này có ý nghĩa gì đối với bạn

Nếu bạn sử dụng 7-Zip, bạn không cần phải hoảng loạn, nhưng bạn nên xác nhận cách bạn có được bản sao của mình. Nếu bạn đã tải xuống nó từ bất kỳ nơi nào khác ngoài trang web chính thức của dự án, hãy cân nhắc xóa nó, chạy quét bảo mật đầy đủ, và cài đặt lại từ nguồn hợp pháp. Nếu bạn nhận thấy hoạt động mạng bất thường, các tiến trình không quen thuộc, hoặc cảnh báo bảo mật sau khi cài đặt, hãy coi thiết bị là có khả năng bị xâm phạm và cân nhắc thay đổi mật khẩu quan trọng từ một thiết bị sạch.

Đối với các tổ chức, đây là thời điểm tốt để nhắc nhở nhân viên yêu cầu phần mềm thông qua các kênh được phê duyệt thay vì tự tải xuống các tiện ích.

Những điểm chính cần ghi nhớ

  • Chiến dịch mã độc bộ cài đặt 7-Zip bị cài trojan được báo cáo giấu OpenSUpdater trong các bộ cài đặt giả mạo với các trình tải liên hệ với máy chủ từ xa trong quá trình thiết lập.
  • Chỉ tải phần mềm từ các trang web chính thức của dự án, và xác minh các bộ cài đặt khi có mã kiểm tra hoặc chữ ký.
  • VPN bảo vệ lưu lượng và địa chỉ IP của bạn, nhưng nó sẽ không ngăn một bộ cài đặt độc hại chạy.
  • Giữ các công cụ bảo mật được cập nhật, và điều tra bất kỳ cảnh báo nào thay vì bỏ qua nó.

Để hiểu thêm về cách phần mềm độc hại lạm dụng sự tin tưởng, hãy đọc bài viết của vpn.social về các chiến dịch mã độc có liên hệ với nhà nước, bắt đầu với cảnh báo chung về phần mềm gián điệp Telegram của Iran. Bài học vẫn giữ nguyên: xác minh nguồn trước tiên, và coi mọi lớp bảo vệ, bao gồm VPN, chỉ là một phần của câu trả lời.