Phân tích kỹ thuật: Chiến lược phân phối mã độc tinh vi qua quảng cáo trực tuyến

Cơ chế phân loại nạn nhân: Các chiến dịch mã độc hiện đại sử dụng module JavaScript để kiểm tra thiết bị, phiên bản hệ điều hành và hành vi người dùng trước khi kích hoạt exploit.
Hạ tầng phân phối: Kẻ tấn công sử dụng các hệ thống điều phối lưu lượng (TDS) và hạ tầng tin cậy (CDN) để che giấu dấu vết trong nhiều tuần trước khi thực hiện tấn công.
Thay đổi tư duy phòng thủ: Chuyển dịch từ việc chỉ tập trung vào phân tích payload sang việc tái cấu trúc chuỗi chuyển hướng (redirect chain) và hành vi phân phối.

Tổng quan về hệ thống phân phối mã độc hiện đại

Trong tháng 3 năm 2026, Google Threat Intelligence Group (GTIG) đã công bố chi tiết về Coruna, một bộ công cụ khai thác (exploit kit) nhắm vào iOS với 5 chuỗi khai thác và 23 lỗ hổng riêng biệt, ảnh hưởng từ iOS 13.0 đến 17.2.1. Điểm đáng chú ý nhất không nằm ở mã khai thác, mà ở quy trình kiểm soát nạn nhân cực kỳ khắt khe trước khi payload được thực thi.

Các nhà nghiên cứu bảo mật nhận thấy rằng, thay vì tấn công đại trà, kẻ tấn công sử dụng các module JavaScript để thực hiện fingerprinting (lấy dấu vân tay thiết bị). Chỉ khi xác định chính xác thiết bị là mục tiêu thực sự, hệ thống mới kích hoạt exploit tương ứng. Các trình quét tự động, thiết bị ở chế độ Lockdown Mode hoặc các phiên duyệt web riêng tư đều bị loại bỏ ngay lập tức.

Cấu trúc của một chiến dịch tấn công qua quảng cáo

Một chiến dịch mã độc hiện đại không chỉ là một tệp tin độc hại, mà là một hệ thống phân phối phức tạp bao gồm 5 giai đoạn chính:

Acquisition (Thu thập): Sử dụng quảng cáo trả phí, kết quả tìm kiếm hoặc các liên kết trong ứng dụng nhắn tin.
Routing (Điều phối): Sử dụng các hệ thống TDS (Traffic Distribution Systems) để quyết định luồng đi của nạn nhân.
Trusted Infrastructure (Hạ tầng tin cậy): Tận dụng CDN, kho lưu trữ mã nguồn và dịch vụ chia sẻ tệp để vượt qua các bộ lọc bảo mật.
Visitor Qualification (Phân loại nạn nhân): Sử dụng kỹ thuật fingerprinting để lọc bỏ các nhà nghiên cứu bảo mật.
Persuasion (Thuyết phục): Sử dụng các trang tải xuống giả mạo, cảnh báo virus giả hoặc các cuộc hội thoại lừa đảo qua Telegram/WhatsApp.

Các nhà nghiên cứu từ Check Point đã chỉ ra rằng, các trang web tải xuống mã nguồn mở giả mạo thường tải script từ Amazon CloudFront. Đáng chú ý, hạ tầng TDS thường được thiết lập nhiều tuần trước khi chiến dịch tấn công chính thức bắt đầu, giúp kẻ tấn công "làm nóng" hạ tầng và tránh bị phát hiện bởi các hệ thống giám sát dựa trên độ tuổi của domain.

Phân tích hành vi và phát hiện mối đe dọa

Việc theo dõi các chiến dịch này đòi hỏi sự thay đổi trong tư duy của các đội ngũ SOC. Thay vì chỉ tập trung vào việc phân tích payload sau khi sự cố xảy ra, các chuyên gia cần tập trung vào việc tái cấu trúc chuỗi chuyển hướng. Dưới đây là bảng so sánh các cấp độ phân tích:

Cấp độ	Hoạt động chính	Mục tiêu	Điểm mù
Payload-centric	Phân tích hash, IOC, blocklist	Xác định mã độc	Không biết cách nạn nhân bị dẫn dụ
Path reconstruction	Tái cấu trúc chuỗi redirect	Truy vết nguồn gốc	Phản ứng chậm, đơn lẻ
Delivery-aware	Phân cụm theo hành vi phân phối	Phát hiện chiến dịch	Thiếu dữ liệu nguồn lưu lượng
Upstream-connected	Chia sẻ tín hiệu với nền tảng quảng cáo	Chặn từ gốc	Không có

⚠️ Cảnh báo quan trọng: Việc kiểm tra một đường dẫn duy nhất là không đủ. Kẻ tấn công thường sử dụng các kỹ thuật che giấu (cloaking) tinh vi, nơi trang đích chỉ hiển thị nội dung độc hại cho các cấu hình thiết bị cụ thể. Các đội ngũ phòng thủ cần thực hiện quét lại các đường dẫn nghi vấn từ nhiều hồ sơ thiết bị và mạng khác nhau.

Khuyến nghị phòng thủ và Hardening

Để đối phó với các chiến dịch phân phối mã độc tinh vi, các tổ chức cần áp dụng các biện pháp sau:

Ghi lại toàn bộ chuỗi chuyển hướng: Không chỉ lưu trữ tệp tin cuối cùng, hãy lưu lại toàn bộ lịch sử các bước chuyển hướng (redirect chain).
Phân cụm theo hành vi: Tập trung vào các đặc điểm như hành vi của iframe, hash của các script .min.js và cấu trúc của TDS thay vì chỉ dựa vào nội dung trang web.
Cập nhật thiết bị cũ: Mặc dù Apple đã vá các lỗ hổng liên quan đến Coruna trong iOS 15.8.7, các thiết bị không được cập nhật vẫn là mục tiêu hàng đầu.
Chia sẻ tín hiệu: Phối hợp với các nền tảng quảng cáo để chặn các tài khoản quảng cáo có hành vi phân phối tương đồng, ngay cả khi nội dung quảng cáo thay đổi.

Việc hiểu rõ "nạn nhân đã đến đó như thế nào" thay vì chỉ hỏi "cái gì đã chạy" là chìa khóa để phát hiện sớm các chiến dịch tấn công trước khi chúng gây ra thiệt hại thực tế. Các tổ chức cần xây dựng quy trình Threat Hunting dựa trên các đặc điểm phân phối thay vì chỉ dựa vào các chỉ số IOC tĩnh.