Mars Stealer – mã độc nguy hiểm âm thầm đánh cắp tiền điện tử
Mã độc Mars Stealer có kích thước chỉ 95kb, thế nhưng mức độ nguy hiểm đáng báo động khi có thể tấn công loạt mục tiêu như các trình duyệt phổ biến, ví tiền điện tử và các trình xác thực hai lớp.
Trong đầu tháng 2, nhà nghiên cứu bảo mật 3xp0rt đã công bố những phân tích chi tiết về mã độc này. Theo đó, Mars Stealer là một bản nâng cấp của trojan Oski (2019) và có thể cướp được tiền điện tử lưu trữ trong ví người dùng bằng cách tấn công các tiện ích mở rộng trình duyệt của ví.
“Mars Stealer được viết bằng ASM/C sử dụng WinApi, kích thước khoảng 95kb. Sử dụng các kỹ thuật đặc biệt để ẩn lệnh WinApi, mã hóa chuỗi, thu thập thông tin trong bộ nhớ, hỗ trợ kết nối SSL bảo mật với C&C, không sử dụng CRT, STD”, 3xp0rt mô tả.
Mars Stealer đáng quan ngại khi nhắm đến nhiều trình duyệt, trình bảo mật và ví tiền điện tử phổ biến
3xp0rt nhận định Mars Stealer có thể dễ dàng xâm nhập tiện ích mở rộng liên quan đến tiền điện tử, bao gồm các ví phổ biến như MetaMask, ví Nifty, ví Coinbase, ví Binance Chain và Tron Link. Mã độc này nhắm đến các tiện ích mở rộng nhân Chromium, vậy nên những trình duyệt như Google Chrome, Cốc Cốc hay Microsoft Edge (phiên bản chromium) sẽ bị ảnh hưởng.
Video đang HOT
Ngoài ra, Mars Stealer có thể trích xuất thông tin có giá trị liên quan đến máy tính như vi xử lý, tên máy tính, ID máy, GUID, phần mềm đã cài đặt và các phiên bản của chúng, tên người dùng và tên miền của máy tính.
Về cách thức hoạt động, mã độc này xâm nhập vào các tiện ích mở rộng của ví bằng cách lây lan qua nhiều nguồn khác nhau, bao gồm các trang web lưu trữ tệp, ứng dụng torrent và các trang web không tin cậy. Sau khi xâm nhập được vào tiện ích mở rộng ví tiền điện tử, mã độc sẽ phá khóa cá nhân cũng như bảo mật hai lớp (Google Authenticator, Authy, GAuth Authenticator hay Trezor Password Manager), sau đó sẽ xóa mọi dấu vết trộm cắp rồi thoát khỏi tiện ích mở rộng.
Bên cạnh đó, Mars Stealer có khả năng “trốn” các phần mềm bảo mật bằng phương pháp ẩn lệnh gọi API và kỹ thuật mã hóa chuỗi, trong khi đó những thông tin thu thập sẽ được bảo vệ trong bộ nhớ thiết bị và truyền tải qua phương thức SSL. Chính vì vậy, việc phát hiện, ngăn chặn và truy vết trở nên vô cùng khó khăn.
Tuy vậy, một điểm bất thường trên Mars Stealer là phần mềm này sẽ kiểm tra trước quốc gia xuất xứ của người dùng. Nếu người dùng sử dụng ngôn ngữ là tiếng Azerbaijan, Nga, Kazakhstan, Belarus, Azerbaijan hoặc Uzbekistan, chương trình này sẽ không thực hiện hành vi xấu và chỉ âm thầm rút lui.
Với một số cấu hình vùng, ngôn ngữ nhất định, mã độc sẽ “tha”
Đến hiện tại, vẫn chưa có bất kỳ thống kê về số nạn nhân của mã độc này. Tuy nhiên, các mục tiêu mã độc này nhắm tới lại có đến hàng chục triệu người dùng, dấy lên mối lo ngại rất lớn về vấn đề bảo mật.
Lộ diện malware có khả năng 'trộm' private key của ví Metamask, bán hẳn trên darkweb với giá chỉ 3,2 triệu đồng
Có tới 40 loại ví tiền điện tử dựa trên trình duyệt, cùng với các tiện ích mở rộng xác thực hai yếu tố (2FA) phổ biến, bị Mars Stealer đưa vào tầm ngắm"
Trái ngược với các ví lạnh, khả năng bảo mật chưa bao giờ là điểm mạnh của các loại ví tiền điện tử dựa trên trình duyệt để lưu trữ Bitcoin (BTC), Ether (ETH) và các loại tiền điện tử khác.
Đáng nói, sự xuất hiện của phần mềm độc hại (malware) sau đây đang khiến độ bảo mật của các các ví tiền điện tử hoạt động dưới dạng tiện ích mở rộng của trình duyệt thông dụng như MetaMask, Binance Chain Wallet hoặc Coinbase Wallet ngày càng trở nên mong manh hơn.
Được các nhà phát triển đặt tên là Mars Stealer, malware này là một bản nâng cấp mạnh mẽ của trojan Oski, vốn từng được sử dụng để ăn cắp thông tin của người dùng vào năm 2019, theo nhà nghiên cứu bảo mật 3xp0rt.
Theo đó, Mars Stealer sở hữu khả năng khá bá đạo khi có thể đánh cắp được khóa cá nhân (private key) của người dùng. Đáng chú ý, có tới 40 loại ví tiền điện tử dựa trên trình duyệt, cùng với các tiện ích mở rộng xác thực hai yếu tố (2FA) phổ biến, bị Mars Stealer đưa vào tầm ngắm". Trong số này có thể kể đến các cái tên như MetaMask, Nifty Wallet, Coinbase Wallet, MEW CX, Ronin Wallet, Binance Chain Wallet và TronLink..
Theo các chuyên gia bảo mật, phần mềm độc hại nói trên có thể nhắm mục tiêu là các tiện ích mở rộng trên các trình duyệt dựa trên nhân Chromium (ngoại trừ Opera). Điều này có nghĩa, một số trình duyệt phổ biến nhất như Google Chrome, Microsoft Edge và Brave đã lọt vào danh sách. Ngoài ra, trong khi an toàn trước các cuộc tấn công dành riêng cho tiện ích mở rộng, Firefox và Opera cũng dễ bị tấn công bằng phương thức chiếm đoạt thông tin xác thực.
Theo CoinTelegraph, Mars Stealer có thể được phát tán qua nhiều kênh khác nhau như các website chia sẻ dữ liệu, các trang torrent hay bất kỳ trình tải xuống mờ ám nào khác.
Một điểm rất đáng ngạc nhiên, là sau khi xâm nhập thành công vào hệ thống, điều đầu tiên Mars Stealer làm là kiểm tra ngôn ngữ của thiết bị. Theo đó, nếu nó khớp với ID ngôn ngữ của các quốc gia như Kazakhstan, Uzbekistan, Azerbaijan, Belarus hoặc Nga, phần mềm sẽ rời khỏi hệ thống mà không có bất kỳ hành động xấu nào.
Đối với phần còn lại của thế giới, Mars Stealer nhắm mục tiêu vào một tệp chứa thông tin nhạy cảm như thông tin địa chỉ và khóa cá nhân của ví tiền điện tử. Sau đó, nó rời khỏi hệ thống bằng cách xóa bất kỳ sự hiện diện nào sau khi hành vi trộm cắp hoàn tất. Tin tặc hiện đang bán Mars Stealer với giá cực rẻ, chỉ140 USD trên các diễn đàn darkweb. Điều này có nghĩa, bất kì kẻ có ý đồ xấu nào đều có thể tiếp cận và sử dụng malware này.
Được biết, người dùng giữ tài sản tiền điện tử của họ trên ví dựa trên trình duyệt hoặc sử dụng tiện ích mở rộng trình duyệt như Authy để sử dụng xác thực 2 lớp (2FA) được cảnh báo là nên thận trọng khi tải xuống hoặc nhấp vào các liên kết đáng ngờ.
Phần mềm nguy hiểm "lây nhiễm" nhiều smartphone, người dùng có thể mất sạch tiền trong tài khoản nếu không biết điều này! Một số biến thể của phần mềm độc hại này đang được kẻ xấu phát tán và nhắm mục tiêu đến người dùng smartphone tại nhiều quốc gia. ZDNet đưa tin, các nhà nghiên cứu bảo mật tại Cleafy gần đây đã phát hiện ra một mối nguy hiểm đe doạ đến người dùng các thiết bị Android. Được gọi là BRATA (viết...