Mã độc cập nhật trình duyệt giả và captcha giả nhắm vào người dùng crypto

Tấn công captcha giả và cập nhật trình duyệt giả lừa bạn tự tay cài đặt mã độc: một trang web hiển thị ô “xác minh bạn là con người” trông rất thuyết phục hoặc cảnh báo “hãy cập nhật trình duyệt”, rồi hướng dẫn bạn tải một tệp hoặc dán một lệnh vào máy tính, từ đó cài đặt phần mềm đánh cắp dữ liệu ví crypto, mật khẩu và phiên trình duyệt. Captcha hay bản cập nhật trình duyệt thật không bao giờ yêu cầu bạn mở cửa sổ lệnh hoặc chạy tệp tải về từ một trang web bất kỳ.

Người dùng crypto là mục tiêu hàng đầu vì chỉ một máy tính bị nhiễm cũng có thể làm lộ tệp ví nóng, cụm từ seed lưu trong ghi chú, phiên đăng nhập sàn giao dịch và trình quản lý mật khẩu. Hướng dẫn này giải thích cách các cuộc tấn công này hoạt động, dấu hiệu cảnh báo và việc cần làm nếu bạn nghĩ mình đã chạy nó.

Thủ đoạn captcha giả hoạt động như thế nào

Kỹ thuật này, thường được các nhà nghiên cứu bảo mật gọi là “ClickFix”, biến nạn nhân thành người cài đặt.

1. 1Bạn truy cập một trang — có thể là blog bị hack, trình xem tài liệu giả, trang phần mềm lậu hoặc liên kết được gửi trong nhóm chat cộng đồng crypto.
2. 2Một bước kiểm tra trông quen thuộc xuất hiện, được thiết kế giống một dịch vụ captcha nổi tiếng, nói rằng bạn phải xác minh mình là con người.
3. 3Khi bạn nhấp vào ô, trang âm thầm sao chép một lệnh độc hại vào clipboard của bạn.
4. 4Chỉ dẫn mới xuất hiện: trên Windows, “nhấn Windows + R, rồi Ctrl + V, rồi Enter”; trên Mac, một biến thể có thể yêu cầu bạn mở Terminal và dán.
5. 5Bạn chạy lệnh mà không nhìn thấy toàn bộ nội dung. Lệnh tải về và khởi chạy mã độc ở chế độ nền.
6. 6Trang có thể báo “xác minh hoàn tất” và cho bạn tiếp tục, nên mọi thứ có vẻ bình thường.

Thủ đoạn này hiệu quả vì nó vượt qua nhiều lớp bảo vệ của trình duyệt: chính bạn, chứ không phải trang web, chạy chương trình.

Tấn công cập nhật trình duyệt giả hoạt động như thế nào

Người anh em lâu đời hơn của captcha giả là biểu ngữ cập nhật giả:

• Một trang bị xâm nhập hoặc độc hại phủ lên màn hình một thông báo toàn màn hình nói rằng trình duyệt của bạn đã lỗi thời hoặc trang không thể hiển thị nếu không cập nhật.
• Trang mô phỏng thương hiệu trình duyệt của bạn và đưa ra nút tải xuống.
• Tệp đó là mã độc, thường được ngụy trang thành trình cài đặt hoặc tệp nén chứa một đoạn script.

Trình duyệt thật cập nhật tự động hoặc qua bản cập nhật hệ thống. Bạn không bao giờ cần tải bản cập nhật trình duyệt từ một trang mà bạn tình cờ ghé qua.

Mã độc đánh cắp những gì

Hầu hết các chiến dịch này phát tán phần mềm đánh cắp thông tin — mã độc nhanh chóng thu thập dữ liệu có giá trị và gửi cho kẻ tấn công. Với người dùng crypto, dữ liệu đó có thể bao gồm:

Vì phần mềm đánh cắp hoạt động trong vài giây, thiệt hại có thể xảy ra trước khi bạn nhận thấy điều gì bất thường.

Một ví dụ giả định

Sau đây là một minh họa tổng hợp, không phải trường hợp có thật.

Hãy hình dung Alex, người tìm một công cụ biểu đồ miễn phí và mở một trang tải xuống. Một ô captcha xuất hiện. Sau khi nhấp vào, Alex được yêu cầu nhấn Windows + R và dán để “hoàn tất xác minh”. Cảm giác hơi lạ, nhưng trang trông chuyên nghiệp. Vài giờ sau, ví trình duyệt của Alex bị rút sạch và tài khoản sàn giao dịch xuất hiện một lần thử rút tiền. Phần mềm đánh cắp đã sao chép dữ liệu mã hóa của ví, mật khẩu đã lưu và cookie phiên chỉ trong vài phút sau khi chạy.

Danh sách dấu hiệu cảnh báo

• Một “captcha” yêu cầu bạn dùng phím tắt, mở Run, Terminal hoặc PowerShell, hoặc dán bất cứ thứ gì.
• Một trang web, chứ không phải trình duyệt của bạn, nói rằng bạn phải tải bản cập nhật.
• Tệp tải về là script, lối tắt hoặc loại tệp bất thường thay vì trình cài đặt thông thường từ nhà cung cấp chính thức.
• Trang xuất hiện sau khi bị chuyển hướng từ một trang bạn không ngờ tới, hoặc từ quảng cáo tìm kiếm.
• Một liên kết trong cuộc trò chuyện Discord, Telegram hoặc X dẫn tới bước “xác minh”.
• Trình duyệt hoặc phần mềm diệt virus cảnh báo về tệp và trang bảo bạn bỏ qua cảnh báo đó.

Cách tự bảo vệ

1. 1Không bao giờ dán lệnh mà bạn không hiểu, đặc biệt là từ một trang web.
2. 2Chỉ cập nhật phần mềm từ nguồn chính thức: menu cài đặt của trình duyệt, công cụ cập nhật của hệ điều hành hoặc trang web chính thức của nhà cung cấp.
3. 3Giữ cụm từ seed ngoại tuyến. Không bao giờ lưu chúng trong ứng dụng ghi chú, ảnh chụp màn hình hoặc tài liệu đám mây. Xem cách sao lưu cụm từ seed đúng cách.
4. 4Dùng ví cứng cho các khoản tiền đáng kể, để khóa riêng không bao giờ nằm trên máy tính của bạn.
5. 5Dùng trình quản lý mật khẩu với mật khẩu chính mạnh, và bật 2FA qua ứng dụng hoặc khóa phần cứng trên sàn giao dịch và email.
6. 6Tách biệt các hoạt động: cân nhắc dùng một thiết bị hoặc hồ sơ trình duyệt riêng cho crypto, không dùng để tải xuống hay duyệt các trang bất kỳ.
7. 7Cẩn trọng với quảng cáo tìm kiếm cho phần mềm và công cụ crypto; hướng dẫn của chúng tôi về lừa đảo qua quảng cáo tìm kiếm giải thích lý do.

Cần làm gì nếu bạn đã chạy nó

1. 1Ngắt kết nối thiết bị bị nhiễm khỏi internet.
2. 2Từ một thiết bị sạch, tạo ví mới với cụm từ seed mới và chuyển tiền từ mọi ví từng có trên máy tính bị nhiễm. Làm theo những việc cần làm ngay nếu ví của bạn bị xâm phạm.
3. 3Đổi mật khẩu email, sàn giao dịch và trình quản lý mật khẩu, bắt đầu từ email, và đăng xuất mọi phiên đang hoạt động.
4. 4Thu hồi các phê duyệt token từ mọi ví bị ảnh hưởng mà bạn vẫn tiếp tục sử dụng.
5. 5Xóa sạch và cài đặt lại máy tính bị nhiễm, hoặc nhờ chuyên gia làm; gỡ phần mềm đánh cắp thủ công là không đáng tin cậy.
6. 6Báo cáo trang độc hại qua công cụ báo cáo duyệt web an toàn của trình duyệt và cho chúng tôi qua biểu mẫu báo cáo.

Kết luận

Captcha giả và bản cập nhật giả thành công vì chúng khiến bạn tự chạy mã độc. Không có bước xác minh thật nào yêu cầu bạn dán lệnh, và không trình duyệt thật nào cần tải xuống từ một trang bất kỳ. Giữ khóa tránh xa máy tính dùng hằng ngày, chỉ cập nhật từ nguồn chính thức, và nếu lỡ sập bẫy, hãy hành động nhanh từ một thiết bị sạch.