Công an cảnh báo đến người dùng máy tính hệ điều hành Windows

Có thể giả dạng tiện ích Windows để gây nhầm lẫn

Theo thông tin từ Công an tỉnh Cà Mau, tài liệu phân tích kỹ thuật ghi nhận SecBox là mã độc điều khiển truy cập từ xa (RAT), có chức năng chuyển tiếp kết nối mạng. Sau khi được cài cắm và thực thi trên máy tính, mã độc này có thể cho phép kẻ tấn công thu thập thông tin hệ thống, quản lý tệp tin, tải lên hoặc tải xuống dữ liệu, thực thi lệnh và điều khiển các tiến trình.

Những chức năng này có thể bị lợi dụng để lấy cắp thông tin, triển khai thêm mã độc hoặc sử dụng máy tính đã bị kiểm soát làm bàn đạp tiếp cận những hệ thống khác. Nguy cơ đặc biệt đáng lưu ý với thiết bị dùng để truy cập thư điện tử công vụ, cơ sở dữ liệu, hệ thống thông tin nội bộ và các tài khoản có quyền quản trị.

Đáng chú ý, mẫu SecBox được phân tích có thể sử dụng tên tệp và thông tin mô tả giả dạng tiện ích hệ thống Windows nhằm gây nhầm lẫn. Vì vậy, người dùng không nên đánh giá mức độ an toàn của một chương trình chỉ dựa vào tên gọi, biểu tượng hoặc phần mô tả hiển thị.

Mã độc này cũng có thể liên lạc với máy chủ điều khiển qua nhiều giao thức kết nối. Một số dữ liệu cấu hình và trao đổi được mã hóa, khiến việc phát hiện, phân tích trở nên khó khăn hơn nếu chỉ dựa vào nội dung lưu lượng mạng.

Ngoài ra, SecBox có khả năng lấy thông tin địa chỉ máy chủ điều khiển từ nguồn trung gian như Pastebin hoặc GitHub. Cách thức này cho phép kẻ tấn công thay đổi điểm kết nối mà không nhất thiết phải thay thế tệp thực thi trên thiết bị đã bị xâm nhập.

Tuy nhiên, việc máy tính sử dụng kết nối mã hóa hoặc truy cập các dịch vụ nói trên không tự thân chứng minh thiết bị đã nhiễm mã độc. Kết luận cần dựa trên tổng hợp bằng chứng về tệp tin, tiến trình, kết nối mạng, nhật ký hệ thống và cảnh báo từ phần mềm bảo vệ.

Tài liệu cũng chưa xác nhận được cơ chế tự động duy trì hiện diện trong các phiên bản SecBox đã phân tích. Do đó, không nên đồng nhất khả năng điều khiển từ xa với khả năng tự khởi chạy lại sau khi máy tính khởi động.

Cảnh giác với yêu cầu tải ứng dụng, tắt phần mềm bảo vệ

Để giảm nguy cơ bị xâm nhập, Công an tỉnh Cà Mau khuyến cáo người sử dụng không mở tệp đính kèm, truy cập đường dẫn hoặc cài đặt phần mềm không rõ nguồn gốc.

Người dùng cần đặc biệt cảnh giác với tin nhắn, thư điện tử yêu cầu tải ứng dụng, chạy tệp hoặc tắt phần mềm bảo vệ để xác minh thông tin, hỗ trợ kỹ thuật hay nhận tài liệu. Khi nhận yêu cầu bất thường, cần xác minh với người gửi qua kênh liên lạc đã biết trước đó.

Đồng thời, không làm theo hướng dẫn vô hiệu hóa phần mềm bảo mật, tường lửa hoặc cơ chế bảo vệ của hệ điều hành từ người không có thẩm quyền.

Cơ quan Công an cũng khuyến cáo thường xuyên cập nhật hệ điều hành và ứng dụng, sử dụng phần mềm có nguồn gốc tin cậy, đặt mật khẩu riêng cho từng tài khoản và bật xác thực đa yếu tố đối với các dịch vụ quan trọng. Dữ liệu cần được sao lưu định kỳ, có bản sao tách biệt để phục vụ khôi phục khi xảy ra sự cố.

Đối với cơ quan, doanh nghiệp, cần rà soát việc phân quyền trên máy trạm, hạn chế sử dụng tài khoản quản trị cho công việc hằng ngày và kiểm soát hoạt động cài đặt phần mềm.

Bộ phận chuyên trách cần tăng cường giám sát kết nối ra Internet, đối chiếu nhật ký kỹ thuật và cảnh báo từ hệ thống bảo vệ thiết bị để phát hiện bất thường. Quá trình rà soát cần chú ý các tiến trình lạ, dịch vụ không rõ nguồn gốc, chương trình khởi động cùng hệ điều hành và hành vi tải, thực thi tệp trái phép.

Các chỉ dấu kỹ thuật phải được kiểm chứng, cập nhật và đối chiếu với bối cảnh thực tế. Không kết luận thiết bị nhiễm mã độc hoặc chặn toàn bộ một nền tảng hợp pháp chỉ vì xuất hiện một tên miền hay địa chỉ kết nối đơn lẻ.

Cần làm gì khi nghi máy tính bị điều khiển từ xa?

Khi phát hiện dấu hiệu nghi bị điều khiển từ xa, cảnh báo mã độc hoặc hoạt động truyền dữ liệu bất thường, người sử dụng cần ngừng các thao tác nhạy cảm và thông báo ngay cho bộ phận phụ trách an toàn thông tin.

Việc cô lập thiết bị, ngắt kết nối mạng cần thực hiện phù hợp với quy trình ứng phó của đơn vị. Người dùng không tự ý xóa tệp, cài lại hệ điều hành hoặc sử dụng công cụ diệt mã độc không rõ nguồn gốc, tránh làm mất bằng chứng hoặc khiến sự cố phức tạp hơn.

Các thông báo cảnh báo, tin nhắn, tệp liên quan và nhật ký kỹ thuật cần được bảo toàn để phục vụ kiểm tra, xử lý. Trường hợp có dấu hiệu đánh cắp dữ liệu, chiếm đoạt tài khoản hoặc hành vi vi phạm pháp luật, cần thông báo cho cơ quan Công an để được hướng dẫn.

Công an tỉnh Cà Mau nhấn mạnh người sử dụng cần thực hiện ba nguyên tắc: không mở tệp lạ, không cài phần mềm không rõ nguồn gốc và không tắt cơ chế bảo vệ theo yêu cầu của người lạ.