Mối đe dọa

Phân tích kỹ thuật chiến dịch phát tán mã độc Marsalek qua công cụ gian lận game

Các nhà nghiên cứu bảo mật vừa phát hiện chiến dịch phát tán mã độc Marsalek thông qua các công cụ gian lận game giả mạo, nhằm đánh cắp thông tin nhạy cảm và dữ liệu ví tiền điện tử.

RSS Source
RSS SourceAI Rewrite
~1 phút đọc•26 lượt xem
Hackers Hide Marsalek Malware in Fake Roblox and Fortnite Cheats to Steal Passwords and Crypto Wallet Data
  • Mối đe dọa: Chiến dịch phát tán mã độc Marsalek ẩn mình trong các công cụ gian lận (cheats) giả mạo cho Roblox, Fortnite và Counter-Strike 2.
  • Cơ chế tấn công: Sử dụng mô hình Malware-as-a-Service (MaaS) để đánh cắp mật khẩu, cookie trình duyệt, token Discord và dữ liệu ví tiền điện tử.
  • Kỹ thuật né tránh: Lợi dụng công cụ CMSTP để leo thang đặc quyền, thêm các tiến trình vào danh sách loại trừ của Windows Defender và sử dụng thiết kế 'dual-hook' để chiếm đoạt dữ liệu từ chính khách hàng của chúng.
  • Khuyến nghị: Người dùng tuyệt đối không tải công cụ từ nguồn không chính thống, không tắt phần mềm diệt virus và không thực thi các lệnh lạ từ trang web.

Tổng quan về chiến dịch phát tán mã độc Marsalek

Các chuyên gia an ninh mạng vừa công bố báo cáo chi tiết về một chiến dịch phát tán mã độc tinh vi mang tên Marsalek. Mã độc này được ngụy trang dưới dạng các công cụ hỗ trợ và gian lận (cheats) cho các tựa game phổ biến như Roblox, Fortnite và Counter-Strike 2. Thay vì cung cấp tính năng như quảng cáo, các tệp tin này thực hiện hành vi đánh cắp dữ liệu người dùng trên hệ điều hành Windows.

Marsalek hoạt động theo mô hình Malware-as-a-Service (MaaS) từ tháng 12/2025 đến tháng 5/2026. Với mô hình này, bất kỳ cá nhân nào cũng có thể đăng ký trên một nền tảng công khai, tạo ra các tệp tin độc hại và theo dõi nạn nhân thông qua bảng điều khiển (dashboard) trực quan. Theo dữ liệu từ McAfee Labs, chiến dịch này đã ghi nhận hơn 1.560 tài khoản đăng ký, hơn 400 tệp tin độc hại và ít nhất 29 URL phân phối khác nhau.

Attack Vector (Source - McAfee)
Hình 1: Sơ đồ vector tấn công cho thấy cách thức mã độc Marsalek lây nhiễm thông qua các trang web giả mạo và tệp tin thực thi.

Phân tích chuỗi lây nhiễm và kỹ thuật khai thác

Quy trình lây nhiễm của Marsalek thường bắt đầu bằng việc người dùng tải xuống các tệp tin giả mạo từ các trang web look-alike, Discord hoặc GitHub. Các tệp tin này có thể là script PowerShell, tệp Python hoặc tệp thực thi (.exe). Một kỹ thuật phổ biến được sử dụng là trang ClickFix, giả mạo thông báo kiểm tra Cloudflare để lừa người dùng sao chép và dán các lệnh độc hại vào Windows.

Sau khi được thực thi, mã độc sẽ tải xuống một gói Python di động và tệp python_setup.py. Tệp này thực hiện các bước sau:

  • Leo thang đặc quyền: Sử dụng công cụ CMSTP của Windows để giành quyền quản trị, đồng thời ẩn cửa sổ nhắc nhở xác nhận quyền (UAC).
  • Né tránh phòng thủ: Tự động thêm 8 đường dẫn tệp và 15 tiến trình vào danh sách loại trừ (exclusion list) của Microsoft Defender để tránh bị quét và phát hiện.

Đoạn mã chính thực hiện hành vi đánh cắp nằm trong tệp svc.py với hơn 1.400 dòng code. Nó nhắm mục tiêu vào 32 trình duyệt dựa trên Chromium và Firefox. Đặc biệt, mã độc sử dụng kỹ thuật tiêm DLL (DLL injection) vào các tiến trình trình duyệt đang bị tạm dừng để vượt qua cơ chế App-Bound Encryption của Chrome, từ đó giải mã và đánh cắp khóa bảo mật.

Thiết kế Dual-Hook và mô hình kinh doanh độc hại

Một điểm đáng chú ý là thiết kế 'dual-hook' của Marsalek. Giai đoạn cuối của quá trình lây nhiễm là việc triển khai PureLog, một trình đánh cắp thông tin giá rẻ. PureLog được bảo vệ bằng .NET Reactor, giải mã bằng thuật toán Triple DES và chỉ chạy trong bộ nhớ (fileless) để tránh để lại dấu vết trên ổ cứng.

Marsalek’s EXE Builder (Source - McAfee)
Hình 2: Giao diện của trình tạo tệp tin (EXE Builder) cho phép kẻ tấn công tùy chỉnh các tệp tin độc hại trước khi phát tán.

Mặc dù khách hàng nghĩ rằng họ sở hữu toàn bộ dữ liệu đánh cắp được, nhưng tác giả của Marsalek cũng nhận được một bản sao dữ liệu đó. Điều này cho phép kẻ đứng sau chiến dịch có thể chiếm đoạt các tài khoản có giá trị cao trước cả khi khách hàng của chúng kịp thực hiện. Ngoài ra, hệ thống còn cung cấp tài liệu hướng dẫn cách sử dụng cookie, token và cách rửa tiền điện tử thông qua Monero.

Marsalek’s Dashboard (Source - McAfee)
Hình 3: Bảng điều khiển (Dashboard) nơi kẻ tấn công theo dõi các nạn nhân bị nhiễm mã độc và quản lý dữ liệu đánh cắp.

Chỉ số thỏa hiệp (IoCs) và Khuyến nghị phòng thủ

Dưới đây là bảng tổng hợp các chỉ số IoCs quan trọng liên quan đến chiến dịch Marsalek:

Loại thực thểGiá trị / Chỉ sốMô tả tác động
SHA256 (Stage 1)c70728c7e1bb1369152817d732ae068c0cd6e3356343ca5ea3a916acdf6f3b97Tệp tin giả mạo CAPTCHA
SHA256 (Stage 2)4067e5f3dea8180dc47ea8c737b0cd2b11d4dfd5ef65f9e5ff30049eb8762f3eTệp setup Python độc hại
SHA256 (Stage 3)3281e77e96bbd073ec8287928eadb2e47ba5337909800268bc9af0ee985def42Tệp thực thi chính (svc.py)
Domain C2marsalek.cyMáy chủ điều khiển chính
IP C2130.12.180.43Địa chỉ IP máy chủ phân phối

⚠️ Cảnh báo quan trọng: Nếu bạn đã từng thực thi bất kỳ tệp tin nghi vấn nào, hãy ngay lập tức ngắt kết nối mạng, thay đổi toàn bộ mật khẩu từ một thiết bị sạch, đăng xuất khỏi tất cả các phiên làm việc và cân nhắc việc cài đặt lại hệ điều hành Windows để đảm bảo an toàn tuyệt đối.

Tổng hợp, và phân tích kỹ thuật từ:Cyber Security News
Xem bài gốc

Mạng Lưới An Ninh Mạng & Cộng Đồng

24/7 Alerts

Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.

RSS Source

Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.

Bài Viết Liên Quan

Cùng chuyên mục & chủ đề