Chuyên gia bảo mật phát ra cảnh báo về Mars Stealer - mã độc nguy hiểm âm thầm đánh cắp tiền điện tử

Chu Hiển Đạt

Học sinh ham ăn
Tham gia
1/1/15
Bài viết
1,711
Được thích
1,742
405 #1

Trong đầu tháng 2, nhà nghiên cứu bảo mật 3xp0rt đã công bố những phân tích chi tiết về mã độc này. Theo đó, Mars Stealer là một bản nâng cấp của trojan Oski (2019) và có thể cướp được tiền điện tử lưu trữ trong ví người dùng bằng cách tấn công các tiện ích mở rộng trình duyệt của ví.

Mã độc Mars Stealer có kích thước chỉ 95kb, thế nhưng mức độ nguy hiểm đáng báo động khi có thể tấn công loạt mục tiêu như các trình duyệt phổ biến, ví tiền điện tử và các trình xác thực hai lớp.

“Mars Stealer được viết bằng ASM/C sử dụng WinApi, trọng lượng là 95 kb. Sử dụng các kỹ thuật đặc biệt để ẩn lệnh WinApi, mã hóa chuỗi, thu thập thông tin trong bộ nhớ, hỗ trợ kết nối SSL bảo mật với C&C, không sử dụng CRT, STD” – 3xp0rt mô tả.

Nhận định bởi 3xp0rt, Mars Stealer có thể dễ dàng xâm nhập tiện ích mở rộng liên quan đến tiền điện tử, bao gồm các ví phổ biến như MetaMask, ví Nifty, ví Coinbase, ví Binance Chain và Tron Link. Mã độc này nhắm đến các tiện ích mở rộng nhân Chromium, vậy nên những trình duyệt như Google Chrome, Cốc Cốc hay Microsoft Edge (phiên bản chromium) sẽ bị ảnh hưởng.

Ngoài ra, Mars Stealer có thể trích xuất thông tin có giá trị liên quan đến máy tính như vi xử lý, tên máy tính, ID máy, GUID, phần mềm đã cài đặt và các phiên bản của chúng, tên người dùng và tên miền của máy tính.

Về cách thức hoạt động, mã độc này xâm nhập vào các tiện ích mở rộng của ví bằng cách lây lan qua nhiều nguồn khác nhau, bao gồm các trang web lưu trữ tệp, ứng dụng torrent và các trang web không tin cậy. Sau khi xâm nhập được vào tiện ích mở rộng ví tiền điện tử, mã độc sẽ phá khóa cá nhân cũng như bảo mật hai lớp (Google Authenticator, Authy, GAuth Authenticator hay Trezor Password Manager), sau đó sẽ xóa mọi dấu vết trộm cắp rồi thoát khỏi tiện ích mở rộng. Bên cạnh đó, Mars Stealer có khả năng ‘trốn’ các phần mềm bảo mật bằng phương pháp ẩn lệnh gọi API và kỹ thuật mã hóa chuỗi, trong khi đó những thông tin thu thập sẽ được bảo vệ trong bộ nhớ thiết bị và truyền tải qua phương thức SSL. Chính vì vậy, việc phát hiện, ngăn chặn và truy vết trở nên vô cùng khó khăn.

Tuy vậy, một điểm bất thường trên Mars Stealer là phần mềm này sẽ kiểm tra trước quốc gia xuất xứ của người dùng. Nếu người dùng sử dụng ngôn ngữ là tiếng Azerbaijan, Nga, Kazakhstan, Belarus, Azerbaijan hoặc Uzbekistan, chương trình này sẽ không thực hiện hành vi xấu và chỉ âm thầm rút lui.

  • Lạ ở chỗ, Mars Stealer sẽ 'tha' một số người dùng đến từ những quốc gia sau


Đến hiện tại, vẫn chưa có bất kỳ thống kê về số nạn nhân của mã độc này. Tuy nhiên, các mục tiêu mã độc này nhắm tới lại có đến hàng chục triệu người dùng, dấy lên mối lo ngại rất lớn về vấn đề bảo mật.

 

Theo dõi Youtube

MSI Pulsating Power

Quảng Cáo

Quảng Cáo

Có thể bạn quan tâm

Top Bottom