Các phiên bản trojan hóa của phần mềm cài đặt trình duyệt TOR phát tán mã độc đánh cắp tiền điện tử

Các phiên bản trojan hóa của phần mềm cài đặt trình duyệt ẩn danh TOR đang được sử dụng để nhắm mục tiêu người dùng ở Nga và Đông Âu bằng mã độc clipper được thiết kế để đánh cắp tiền điện tử kể từ tháng 9 năm 2022.

Kaspersky cho biết “các tác nhân đe dọa […] không có bất kỳ hoạt động mạng hoặc dấu hiệu hiện diện nào cho đến khi chúng thay thế địa chỉ ví tiền điện tử”.

Một khía cạnh đáng chú ý khác của mã độc clipper là các chức năng của nó không được kích hoạt trừ khi dữ liệu bộ nhớ tạm (clipboard) đáp ứng các tiêu chí cụ thể, điều này giúp tăng khả năng lẩn tránh của nó.

Hiện chưa rõ các trình cài đặt (installer) được phát tán như thế nào, nhưng bằng chứng cho thấy vấn đề do việc sử dụng các bản tải xuống từ torrent hoặc một số nguồn không xác định vì trang web của Dự án Tor đã bị chặn ở Nga trong những năm gần đây.

Bất kể phương pháp được sử dụng là gì, trình cài đặt sẽ khởi chạy tệp thực thi hợp pháp, đồng thời khởi chạy mã độc clipper được thiết kế để giám sát nội dung clipboard.

“Nếu clipboard được kiểm tra có chứa nội dung trùng khớp với một mẫu đã xác định, nó sẽ được thay thế bằng một địa chỉ được chọn ngẫu nhiên từ một danh sách có sẵn đã được hardcode".

Các nhà nghiên cứu còn phát hiện khả năng vô hiệu hóa phần mềm độc hại bằng tổ hợp phím đặc biệt (Ctrl+Alt+F10), tùy chọn này có thể được thêm vào trong giai đoạn thử nghiệm mã độc.

Công ty bảo mật của Nga cho biết họ đã ghi nhận khoảng 16.000 lượt phát hiện ở 52 quốc gia trên toàn thế giới, trong đó phần lớn được phát hiện ở Nga và Ukraine, tiếp theo là Mỹ, Đức, Uzbekistan, Belarus, Trung Quốc, Hà Lan, Anh và Pháp.

Chiến dịch này được ước tính đã mang về cho những kẻ khai thác gần 400.00 đô tiền lãi bất hợp pháp thông qua việc đánh cắp Bitcoin, Litecoin, Ether và Dogecoin. Ngoài ra, số lượng tài sản Monero bị đánh cắp không xác định được do các tính năng bảo mật được tích hợp trong dịch vụ.

Chiến dịch có thể có quy mô lớn hơn do có khả năng các tác nhân đe dọa có thể tận dụng các trình cài đặt phần mềm khác cũng như các phương thức chưa được biết đến để nhắm mục tiêu những người dùng không cẩn thận.

Để bảo vệ khỏi các mối đe dọa như vậy, bạn chỉ nên tải xuống phần mềm từ các nguồn chính thống và đáng tin cậy.

Nguồn: thehackernews.com.