Microsoft tiết lộ một làn sóng tấn công khai thác tiền điện tử mới đang nhắm vào người dùng máy tính hiệu năng cao, đặc biệt là những người đam mê phần cứng và người chơi game PC. Khác với các cuộc tấn công trước đây nhằm vào quy mô lây nhiễm lớn, đợt tấn công này chú trọng vào sản lượng tính toán của từng thiết bị, với mục đích chiếm dụng tài nguyên GPU cao cấp để khai thác trái phép.
Dẫn lưu lượng bằng chatbot AI và kết quả tìm kiếm
Các chuyên gia của Microsoft Defender cho biết, kẻ tấn công đang tận dụng độc hại SEO và nhúng liên kết độc hại vào câu trả lời của các chatbot mô hình ngôn ngữ lớn. Người dùng vốn chỉ muốn tải các công cụ hệ thống phổ biến hoặc phần mềm kiểm tra phần cứng, nhưng lại bị hướng dẫn đến các trang web giả mạo có giao diện tương tự.
Các phần mềm bị lợi dụng giả mạo bao gồm CrystalDiskInfo, HWMonitor, FurMark, v.v. Người dùng sau khi tải về không nhận được gói cài đặt bình thường, mà là một gói ZIP chứa tệp độc hại.
Ẩn chương trình khai thác thông qua công cụ hệ thống
Sau khi tệp độc hại được thực thi, nó sẽ sử dụng DLL side-loading để khởi động âm thầm trong hệ thống. Sau đó, chuỗi tấn công sẽ triển khai các công cụ quản lý từ xa hợp pháp như ScreenConnect để kẻ tấn công kiểm soát liên tục thiết bị bị hại.
Microsoft cho biết, kẻ tấn công còn sử dụng các kỹ thuật như “process hollowing”. Một tải trọng .NET tùy chỉnh sẽ khởi động các công cụ của Windows có chữ ký của Microsoft, sau đó chèn mã khai thác vào không gian bộ nhớ của nó để giảm khả năng bị phát hiện.
Giám sát mức độ sử dụng GPU để tránh bị phát hiện
Loại mã độc này sẽ liên tục giám sát trạng thái máy chủ, bao gồm tình trạng sử dụng GPU và thời gian người dùng không hoạt động. Khi tải hệ thống tăng cao hoặc người dùng đang sử dụng máy tính, chương trình khai thác sẽ tự động dừng lại để tránh khiến nạn nhân phát hiện sự sụt giảm hiệu suất đột ngột.
Đồng thời, phần mềm độc hại còn liên tục gọi Windows PowerShell để cố gắng thêm các đường dẫn liên quan vào danh sách loại trừ của phần mềm diệt virus, nhằm kéo dài thời gian tồn tại.
Microsoft cho biết Microsoft Defender Antivirus và Microsoft Defender for Endpoint đã có thể nhận diện và chặn các mối đe dọa liên quan đến đợt tấn công này.