Phân Tích Malware Trộm Thông Tin Mới Được Viết Bằng Rust
Một loại malware trộm thông tin (infostealer) mới được phát triển bằng ngôn ngữ lập trình Rust đã xuất hiện, gây ra mối đe dọa đáng kể trong lĩnh vực an ninh mạng. Bài viết này sẽ tập trung vào các chi tiết kỹ thuật liên quan đến đặc điểm, kỹ thuật né tránh và cơ chế hoạt động của malware này, nhằm cung cấp thông tin hữu ích cho các chuyên gia bảo mật và quản trị hệ thống.
1. Mô Tả Malware
Malware này được thiết kế để đánh cắp thông tin nhạy cảm từ các hệ thống bị xâm nhập. Các mục tiêu của nó bao gồm:
- Ví tiền điện tử (cryptocurrency wallets)
- Trình duyệt (browsers)
- Trình quản lý mật khẩu (password managers)
- Ứng dụng giao thức truyền tệp (FTP clients)
- Ứng dụng nhắn tin Telegram
2. Phương Thức Lây Lan
Mặc dù phương thức lây lan chính xác của malware này chưa được công bố chi tiết, nhưng các loại malware tương tự, chẳng hạn như EDDIESTEALER, đã được ghi nhận sử dụng các trang CAPTCHA giả mạo để lừa người dùng thực thi mã độc hại.
3. Chi Tiết Kỹ Thuật
Malware được phát triển bằng ngôn ngữ Rust, một yếu tố khiến việc phân tích trở nên phức tạp hơn so với các malware dựa trên C. Những đặc điểm nổi bật của Rust góp phần vào sự khó khăn này bao gồm:
- Zero-cost abstractions (trừu tượng hóa không tốn chi phí)
- Hệ thống kiểu dữ liệu (type system) của Rust
- Tối ưu hóa trình biên dịch (compiler optimizations)
- Khó khăn trong việc phân tích các tệp nhị phân an toàn bộ nhớ (memory-safe binaries)
4. Kỹ Thuật Né Tránh Phát Hiện
Malware này áp dụng nhiều kỹ thuật né tránh (evasion techniques) nhằm qua mặt các công cụ phát hiện và phân tích bảo mật. Cụ thể như sau:
- Mã Hóa (Encryption): Các chuỗi quan trọng bên trong mã độc được mã hóa bằng thuật toán XOR đơn giản. Quá trình giải mã đòi hỏi một hàm tạo khóa chuyên dụng (key derivation function) và giải mã tại thời điểm thực thi (inline decryption).
-
Xóa Biểu Tượng (Symbol Stripping): Malware loại bỏ các biểu tượng hàm (function symbols) để gây khó khăn cho phân tích tĩnh (static analysis). Có thể sử dụng các công cụ như
rustbinsignđể khôi phục các biểu tượng bị loại bỏ. - Né Tránh Sandbox (Sandbox Evasion): Malware thực hiện kiểm tra chống sandbox cơ bản bằng cách đánh giá dung lượng bộ nhớ vật lý (physical memory). Nếu dung lượng bộ nhớ nhỏ hơn 4 GB, malware sẽ tự xóa bằng cách sử dụng tính năng đổi tên NTFS Alternate Data Streams để bỏ qua khóa tệp (file locks).
5. Cơ Chế Tương Tác C2 Động (Dynamic C2 Tasking)
Không giống các loại malware truyền thống với danh sách tác vụ được mã hóa cứng (hardcoded tasks), EDDIESTEALER hoạt động dựa trên dữ liệu cấu hình được lấy từ máy chủ Command and Control (C2) của kẻ tấn công. Cơ chế tác vụ động này cho phép kẻ tấn công cập nhật danh sách các ứng dụng mục tiêu theo nhu cầu, mang lại sự linh hoạt và khả năng thích nghi cao.
6. Kết Luận
Malware trộm thông tin được phát triển bằng Rust là một mối đe dọa tinh vi, được thiết kế để né tránh các quy trình phân tích truyền thống và các công cụ phát hiện mối đe dọa. Việc sử dụng các tính năng ngôn ngữ hiện đại như Rust không chỉ giúp tăng cường khả năng ẩn náu (stealth) mà còn cải thiện độ bền (resilience) của mã độc, khiến nó trở thành một thách thức đáng kể đối với các chuyên gia an ninh mạng.
