Xuất hiện mã độc mới đang lây lan rất nhanh trên Facebook

Mã độc mới “đào tiền mã hóa chùa” đang lây lan rất nhanh qua Facebook Messenger từ chính những người bạn trong friend list, đang hoành hành ở Việt Nam từ ngày hôm qua 18/12/2017. 

Mã độc được phát tán lần này không quá tinh vi, nhưng lại đánh đúng vào tâm lý tò mò của người Việt Nam. Cụ thể mã độc sẽ tự động gửi một tập tin nén zip qua Facebook Messenger, bên trong có chứa một tập tin giả dạng video. Tên tập tin được gửi đi thường có dạng “video_” + 4 số ngẫu nhiên. Nếu ai đó gửi cho bạn tập tin có tên như vậy, hãy cẩn thận.

Nếu bạn có lỡ click và tải tập tin đính kèm được gửi qua tin nhắn Facebook thì đừng lo, tại thời điểm này bạn vẫn an toàn. Nhưng sau khi bạn vô tình mở tập tin đó, mã độc sẽ được thực thi. Chuyện gì sẽ xảy ra? Chúng ta hãy cùng phân tích tập tin này!

Theo phân tích sơ bộ của một chuyên gia phân tích mã độc, loại mã độc mới được viết bằng ngôn ngữ AutoIT, các hàm chính của mã độc đã được làm rối để người phân tích khó có thể biết được chức năng của mã độc:

Sau một thời gian giải mã các mã rối, chức năng chính của mã độc đã dần lộ ra. Đầu tiên mã độc sẽ gửi thông tin về máy bị lây nhiễm đến địa chỉ hxxp://ojoku.bigih.bid/api/cherry/login.php

Sau đó mã độc thực hiện tải và cài đặt một extension độc hại vào trình duyệt của người dùng, chức năng của extension này là phát tán tiếp các tập tin mã độc giả dạng video đến bạn bè của người bị lây nhiễm. Tiếp theo mã độc này thực hiện việc ghi file shortcut chrome để load extension kia vào các thư mục như desktop, taskbar, program…

Cuối cùng mã độc sẽ khởi động lại chrome để extension thực thi và tặng kèm bạn một loại mã độc khác là “coin minner” dùng để đào các loại tiền mã hoá, khiến cho máy bạn luôn trong tình trạng giật lag mà không hiểu tại sao.