Các chiến dịch tấn công mạng ngày càng trở nên phức tạp, với việc kẻ xấu liên tục phát triển các phương pháp mới để phát tán mã độc. Gần đây, một chiến thuật đáng báo động đã được phát hiện, trong đó các hacker xây dựng các trang web giả mạo tinh vi, mạo danh các ứng dụng Windows phổ biến. Mục đích chính là lừa người dùng tải xuống các tệp độc hại.
Chiến dịch này đã lan rộng, ảnh hưởng đến hơn 70 tiện ích Windows được nhiều người tin tưởng và tải xuống hàng ngày. Những trang web này ban đầu xuất hiện như các trang tải xuống hợp pháp, nhưng sau khi thu hút đủ lưu lượng truy cập, chúng sẽ thay thế các tệp hợp pháp bằng các biến thể độc hại.
Cơ Chế Hoạt Động Của Chiến Dịch Tấn Công Mạng Giả Mạo
Chiến Thuật Tạo Lập Ban Đầu
Kẻ tấn công đăng ký các tên miền rất giống với các ứng dụng chính hãng như PowerToys, WinUtil, EasyBCD, CrystalDiskMark và Wintoys. Sau đó, họ xây dựng các trang web với nội dung blog chung chung, sử dụng các tên ứng dụng, logo cũ và hướng dẫn thân thiện để nâng cao thứ hạng trong kết quả tìm kiếm.
Nhiều trang web ban đầu còn chuyển hướng người truy cập đến các liên kết cửa hàng ứng dụng thực tế. Điều này giúp giảm thiểu sự nghi ngờ trong khi các trang web giả mạo thu hút được lượng lớn người dùng tiềm năng. Các trang này thường chạy trên nền tảng phổ biến và có các tuyên bố từ chối trách nhiệm nhỏ, khẳng định chúng là hướng dẫn độc lập, ngay cả khi chúng tái sử dụng thương hiệu thuộc về các dự án thực tế.
Giai Đoạn Thu Hút Lưu Lượng Truy Cập
Sau khi các trang web được thiết lập và thu hút lưu lượng truy cập ban đầu, chúng bắt đầu tích lũy một lượng lớn người dùng. Các công cụ tìm kiếm có thể vẫn hiển thị những trang này ở gần đầu cho các truy vấn ứng dụng phổ biến, do sự tối ưu SEO và độ tin cậy giả mạo.
Theo một chiến dịch liên quan được các nhà nghiên cứu bảo mật mô tả, quá trình này diễn ra theo ba bước rõ ràng. Đầu tiên, những kẻ vận hành thu thập lưu lượng truy cập bằng các thuật ngữ mang phong cách thương hiệu. Tiếp theo, chúng hoạt động vô hại và cung cấp các bản tải xuống mà người dùng mong muốn.
Chuyển Đổi Sang Phân Phối Mã Độc
Khi đủ số lượt truy cập đã đạt được, kẻ tấn công sẽ thay thế các liên kết tải xuống đáng tin cậy bằng mã độc. Theo phát hiện của Check Point về cơ sở hạ tầng tương tự, các script điều hướng lưu lượng truy cập xuất hiện sau đó, với việc lạm dụng tăng lên từ đầu năm 2026. Sự thay đổi này được thực hiện một cách lặng lẽ, khiến người dùng không hề hay biết về mối nguy hiểm.
Một trường hợp đáng chú ý là nhà phát triển Wintoys Bogdan_X đã phát hiện ra một bản sao ứng dụng của mình khi kiểm tra kết quả tìm kiếm gần đây. Ông đã chia sẻ một báo cáo chi tiết, trong đó một địa chỉ email liên hệ ẩn danh đã liên kết hàng chục tên miền này lại với nhau, cho thấy một chiến dịch có tổ chức và quy mô lớn.
Các Biến Thể Mã Độc Và Tác Động Thực Tế
Mã Độc Remote Access Tools (RATs)
Người dùng truy cập vào các trang web sai lầm có nguy cơ bị cài đặt các công cụ truy cập từ xa (RATs). Điều này cho phép kẻ tấn công giành quyền kiểm soát hệ thống của nạn nhân từ xa, thực hiện các hành vi độc hại như đánh cắp dữ liệu, cài đặt thêm mã độc, hoặc sử dụng tài nguyên hệ thống cho các mục đích bất hợp pháp.
Các công cụ RATs thường được thiết kế để duy trì quyền truy cập lâu dài. Chúng có thể ẩn mình trong hệ thống, tránh bị phát hiện bởi phần mềm bảo mật thông thường, gây ra rủi ro bảo mật nghiêm trọng cho người dùng và tổ chức.
Phần Mềm Chia Sẻ Băng Thông Không Mong Muốn
Ngoài RATs, kẻ tấn công còn phát tán các phần mềm chia sẻ băng thông không mong muốn. Những phần mềm này âm thầm sử dụng băng thông internet của người dùng để thực hiện các hoạt động mạng khác, như phục vụ lưu lượng cho các dịch vụ botnet hoặc proxy.
Điều này không chỉ làm chậm kết nối internet của nạn nhân mà còn có thể khiến họ vô tình tham gia vào các hoạt động bất hợp pháp. Hơn nữa, việc này còn làm tăng nguy cơ bị lộ địa chỉ IP và các thông tin cá nhân khác.
Ví Dụ Điển Hình Về Các Cuộc Tấn Công Mới Đây
Ít nhất hai ứng dụng Windows nằm ngoài tập hợp tên miền này đã chịu các cuộc tấn công trực tiếp. Một bản mạo danh Lively Wallpaper đã phân phối một trình cài đặt bị trojan hóa. Trình cài đặt này đã cài đặt dịch vụ truy cập từ xa ScreenConnect cùng với phần mềm chia sẻ băng thông.
Những người quản lý SignalRGB cũng đã cảnh báo cộng đồng của họ về trang signalrgb.io phát tán mã độc. Các trường hợp này cho thấy cách các công cụ truy cập từ xa được vũ khí hóa. Chúng dễ dàng khớp với cùng một kịch bản tấn công sau khi niềm tin được thiết lập, dẫn đến hệ thống bị xâm nhập nghiêm trọng.
Để tìm hiểu thêm về cách các công cụ truy cập từ xa có thể bị vũ khí hóa, bạn có thể tham khảo bài viết về mối đe dọa của ScreenConnect tại Cyber Security News.
Phản Ứng Và Độ Bền Của Chiến Dịch
Khả Năng Chống Chọi Của Kẻ Tấn Công
Khi Bogdan_X báo cáo cụm tên miền giả mạo, nhà đăng ký đầu tiên đã yêu cầu kẻ vận hành chuyển đổi danh mục. Trong vòng vài tuần, toàn bộ các tên miền đã được chuyển sang một nhà đăng ký mới, giữ cho các trang web tiếp tục hoạt động. Điều này cho thấy sự linh hoạt và khả năng thích ứng của kẻ tấn công để duy trì chiến dịch.
Việc lưu trữ thường nằm sau các mạng proxy lớn. Điều này gây thêm độ trễ trước khi nội dung độc hại bị gỡ xuống. Các trang clone chưa hoàn thiện vẫn xuất hiện, một dấu hiệu cho thấy nhiều ứng dụng khác có thể là mục tiêu tiếp theo. Đây là một mối đe dọa mạng liên tục mà cộng đồng bảo mật cần cảnh giác.
Dấu Hiệu Nhận Biết Các Trang Giả Mạo
Người dùng cần cảnh giác với những thay đổi nhỏ trong tên miền và các trang web tái sử dụng logo cũ mà không có quyền sở hữu rõ ràng. Các cửa hàng ứng dụng chính thức và các gói phần mềm có chữ ký số vẫn là con đường an toàn nhất cho các tiện ích Windows.
Sự thận trọng hàng ngày vẫn là biện pháp quan trọng nhất để ngăn chặn hầu hết các rủi ro bảo mật này. Luôn tải xuống trình cài đặt chỉ từ các trang dự án chính thức, cửa hàng của nhà cung cấp, hoặc các bản phát hành GitHub đã biết.
Chiến Lược Phòng Ngừa Và Bảo Vệ Hệ Thống
Kiểm Tra Nguồn Tải Xuống Chính Thức
Để đảm bảo an ninh mạng cho hệ thống, luôn tải xuống phần mềm từ các nguồn chính thức. Điều này bao gồm trang web của nhà phát triển, các cửa hàng ứng dụng chính thức như Microsoft Store, hoặc các kho lưu trữ mã nguồn đáng tin cậy như GitHub với các bản phát hành đã được xác minh.
Người dùng cần cẩn trọng với các bản sao của bên thứ ba, ngay cả khi chúng trông chuyên nghiệp. Việc xác minh tính hợp lệ của trang web và nhà cung cấp là bước đầu tiên để tránh bị lừa đảo và tải xuống mã độc.
Báo Cáo Các Trang Web Đáng Ngờ
Nếu bạn phát hiện bất kỳ trang web giả mạo hoặc đáng ngờ nào, hãy báo cáo lạm dụng cho nhà đăng ký tên miền và nhà cung cấp dịch vụ lưu trữ. Đồng thời, gắn cờ các kết quả tìm kiếm không tốt để ít người dùng nhấp vào chúng hơn.
Nếu bạn đang sử dụng bất kỳ ứng dụng nào trong bộ ứng dụng bị mạo danh, hãy thông báo cho nhà phát triển để họ có thể cảnh báo người dùng và tiến hành các biện pháp gỡ bỏ. Sự hợp tác này giúp giảm thiểu mối đe dọa và bảo vệ cộng đồng rộng lớn hơn.
Tận Dụng Danh Sách Chặn Cộng Đồng
Nhiều danh sách chặn cộng đồng đã bắt đầu thêm các tên miền giả mạo này. Điều này giúp ích cho những người sử dụng bộ lọc DNS hiện đại. Việc triển khai các bộ lọc DNS hoặc IDS/IPS có thể hỗ trợ phát hiện xâm nhập và chặn truy cập vào các trang độc hại.
Việc chia sẻ cảnh báo rõ ràng trong cộng đồng người dùng rút ngắn thời gian kẻ tấn công cần. Tương tự như các trường hợp trước đây liên quan đến các bản tải xuống ứng dụng năng suất giả mạo đã lừa người dùng tò mò.
Nâng Cao Nhận Thức Người Dùng
Miền giá rẻ và các mẫu thiết kế tái chế có thể đe dọa hàng chục công cụ đáng tin cậy cùng một lúc. Các nhà phát triển theo dõi kết quả tìm kiếm cho tên ứng dụng của họ có thể phát hiện các bản sao sớm.
Người dùng xác minh nguồn gốc thực sự giúp máy tính của họ an toàn hơn mà không cần kỹ năng kỹ thuật sâu sắc. Việc tăng cường nhận thức về an toàn thông tin là chìa khóa để chống lại các tấn công mạng tinh vi như thế này.
Chỉ Số Nhận Diện Mã Độc (IOCs)
Trong các cuộc tấn công mạng phức tạp như chiến dịch mạo danh ứng dụng Windows, việc có các chỉ số nhận diện mã độc (IOCs) là cực kỳ quan trọng cho việc phát hiện xâm nhập và ứng phó sự cố. Các IOCs thường bao gồm các tên miền độc hại, địa chỉ IP của máy chủ điều khiển (C2), hàm băm (hash) của các tệp mã độc, hoặc các mẫu mạng đặc trưng.
Tuy nhiên, các địa chỉ IP và tên miền liên quan đến chiến dịch này đã được cố ý “làm mờ” (defanged) trong các báo cáo ban đầu. Điều này nhằm ngăn chặn việc phân giải hoặc tạo siêu liên kết ngẫu nhiên, có thể vô tình dẫn người dùng đến các nguồn độc hại hoặc kích hoạt các cuộc tấn công.
Để sử dụng các IOCs này trong môi trường bảo mật, chúng cần được “làm rõ” (re-fang) trong các nền tảng tình báo mối đe dọa được kiểm soát như MISP, VirusTotal, hoặc hệ thống SIEM của bạn. Tại đó, các chuyên gia bảo mật có thể phân tích và triển khai chúng một cách an toàn để bảo vệ hệ thống của mình khỏi các mối đe dọa mạng.
