Tóm tắt nhanh
- Nhóm Threat Intelligence của NordVPN phát hiện kho GitHub mạo danh AnyPS5 và Kyttyps5 để phát tán mã độc qua tệp thực thi Windows.
- Chuỗi lây nhiễm kiểm tra môi trường chạy, thêm ngoại lệ Microsoft Defender rồi triển khai payload bị nghi là mã đánh cắp dữ liệu.
- Script dọn dẹp chạy sau khoảng hai phút; việc không còn thấy tệp tải về không chứng minh máy an toàn.
- Cần xác minh tài khoản sở hữu kho mã và đường dẫn phát hành, không coi tên dự án hay tên miền GitHub là bảo chứng.
Một chiến dịch mã độc đang lợi dụng nhu cầu chạy game PS5 trên PC bằng cách dựng các kho GitHub mạo danh AnyPS5 và Kyttyps5, dẫn người dùng tới tệp ZIP chứa chương trình Windows. Phát hiện của nhóm Threat Intelligence thuộc NordVPN được công bố ngày 28/10; hai mẫu bộ cài được phân tích có thời điểm biên dịch cách nhau một ngày, bắt đầu từ 10/10.
Điểm dễ mắc bẫy nằm ở thói quen tải phần mềm thử nghiệm rồi chấp nhận chạy tệp chưa có chữ ký đáng tin cậy. Một cảnh báo vốn đủ khiến người dùng dừng lại có thể bị bỏ qua khi họ nghĩ đó chỉ là trở ngại thường gặp với công cụ giả lập.
Tên dự án quen thuộc không xác nhận đúng người phát hành
Kẻ tấn công mượn tên và hình thức của dự án để làm cho trang tải xuống trông có vẻ hợp lệ, trong khi tệp thực thi lại phục vụ chuỗi lây nhiễm khác hẳn mục đích chơi game. AnyPS5 và Kyttyps5 là những tên bị mạo danh trong chiến dịch này; không nên suy diễn rằng dự án gốc chính là phần mềm độc hại.
Với người tải công cụ qua hướng dẫn tiếng Việt hoặc bài chia sẻ trong nhóm game, bước cần kiểm tra là đích đến cuối cùng của đường dẫn. Một liên kết mở được trên GitHub mới chỉ xác nhận nơi lưu trữ, còn danh tính người phát hành phải đối chiếu với kênh của chính dự án. Tên kho giống nhau hay phần giới thiệu chép lại đều chưa trả lời được câu hỏi đó.
Kho vừa tạo, ít hoạt động hoặc dẫn sang một nơi tải khác là những dấu hiệu cần xem xét thêm, chứ không phải phép thử kết luận sạch hay độc. Ngược lại, giao diện chỉn chu cũng không đủ để tin một tệp nhị phân: thứ người dùng sắp chạy cần được kiểm tra riêng với trang đang giới thiệu nó.
Mã độc né môi trường phân tích rồi tạo ngoại lệ Defender
Cơ chế kiểm tra môi trường khiến một lần chạy không có biểu hiện bất thường chưa đủ để kết luận tệp vô hại. Bộ cài dạng portable giải nén ứng dụng ẩn và khởi động chuỗi nạp nhiều giai đoạn, nhưng trước khi tiếp tục, nó tìm các dấu hiệu cho thấy mình đang bị phân tích.
IT Nerd ghi nhận từ phân tích của NordVPN rằng chương trình thoát âm thầm nếu máy có dưới 2 GB RAM, chạy trong máy ảo, trên máy chủ đám mây hoặc thiếu card đồ họa vật lý. Điều kiện cuối không nên diễn giải thành yêu cầu bắt buộc có GPU rời; mô tả được công bố chỉ nói tới phần cứng đồ họa vật lý.
Các điều kiện này giúp giải thích vì sao đem tệp chạy thử trong một máy ảo đơn giản có thể cho cảm giác an toàn giả. Khi nhận ra môi trường không giống máy người dùng mà nó muốn nhắm tới, mã độc có thể dừng trước khi bộc lộ hành vi nguy hiểm.
Nếu vượt qua khâu kiểm tra, mã độc thêm quy tắc loại trừ vào Microsoft Defender cho thư mục hoạt động của nó, rồi giải mã và chạy payload cuối. Đây là việc né quét ở phạm vi thư mục bị loại trừ, không đồng nghĩa toàn bộ Defender bị tắt. Payload được bảo vệ bằng công cụ đóng gói thương mại và bị nhóm phân tích nghi là infostealer, loại mã độc chuyên lấy mật khẩu cùng dữ liệu nhạy cảm; chưa có mô tả công khai đủ để khẳng định họ mã độc cụ thể.
Tệp tự xóa không làm mất nguy cơ lộ tài khoản
Dọn sạch tệp có thể che dấu vết mà không đảo ngược những gì đã xảy ra trước đó. Thông tin kỹ thuật trên IT Nerd cho biết script tự xóa chạy khoảng 2 phút sau khi lây nhiễm, còn cả hai mẫu được phân tích đều dùng chứng chỉ tự ký mang tên công ty giả, cấp cùng ngày biên dịch.
Chữ ký có tên công ty vì vậy không tự xác nhận danh tính nhà phát triển. Tương tự, thư mục tải về biến mất chỉ nói rằng tệp không còn ở chỗ cũ, chứ không chứng minh payload chưa chạy hoặc thông tin chưa bị lấy đi. Chưa có căn cứ trong các chi tiết công bố để kết luận mọi máy chạy tệp đều đã mất mật khẩu, nhưng cũng không nên lấy sự im lặng của chương trình làm dấu hiệu yên tâm.
Nếu đã chạy tệp đáng ngờ, hướng xử lý được khuyến nghị là ngắt kết nối mạng, đổi mật khẩu từ một thiết bị khác và quét toàn bộ máy bằng phần mềm chống mã độc. Đổi mật khẩu ngay trên chiếc PC đang bị nghi nhiễm không phải lựa chọn nên ưu tiên khi chưa xử lý nguy cơ đánh cắp dữ liệu.
Còn trước khi chạy, yêu cầu tắt bảo vệ hoặc thêm thư mục vào danh sách ngoại lệ cần được coi là lý do dừng lại để xác minh. Phần mềm thử nghiệm có thể thiếu độ hoàn thiện, nhưng điều đó không tạo ra cơ sở để giao cho một tệp không rõ nguồn quyền đứng ngoài cơ chế quét của máy.
