CPU-Z, HWMonitor vừa bị hack để phát tán mã độc!

Người dùng đã cho kiểm tra file cài đặt nghi có mã độc lên VirusTotal và xác nhận file đã bị nhúng mã độc bởi ít nhất là 32 công cụ bảo mật khác nhau. Như vậy trang web của CPUID đã bị hack và hacker đã tráo hoặc chuyển hướng link tải file cài đặt nguyên bản của các công cụ CPU-Z, HWMonitor bằng các file chứa mã độc.

Các nhà phân tích tại vx-underground đã xác nhận vụ hack và lưu ý rằng malware đa giai đoạn này đang được phát tán từ một tên miền bị chiếm dụng (cpuid.com), được trojan hóa hạng nặng, hoạt động gần như hoàn toàn trong bộ nhớ hệ thống (RAM) và sử dụng các phương pháp khéo léo để tránh bị phát hiện. Tên miền điều khiển và ra lệnh cho malware được mã hóa cứng.

Vx-underground cho rằng hacker muốn chôm thông tin đăng nhập đã lưu trên trình duyệt. Nói trên X, Vx-underground đánh giá malware được thiết kế rất khéo léo và có mục đích cụ thể. Hacker đã host các payload mã độc tại supp0v3[.]com – một hạ tầng từng được sử dụng trong một chiến dịch tấn công bằng malware nhằm vào công cụ download FTP FileZilla vào đầu tháng 3 năm nay.

Hacker thật sự quan tâm đến việc “ẩn thân” của malware khi đặt tên một payload là CRYPTBASE.dll nhằm giả mạo một thư viện hợp lệ trên Windows được HWMonitor sử dụng. Mặc dù vậy, malware đã bị bắt tại trận bởi Windows Defender và nhiều công cụ bảo mật khác. Nếu được cài đặt thành công trên máy tính, nó sẽ sử dụng PowerShell để tải payload từ máy chủ của hacker. Vx-underground chấm điểm B- cho malware này.

Lời khuyên của các chuyên gia bảo mật hiện tại là không tải và cài đặt các file chưa được xác minh và nên kiểm tra hash của file. Trong tình huống đã cài phần mềm vào máy, người dùng nên giả định rằng hệ thống đã bị xâm phạm và có nguy cơ mất sạch dữ liệu nhạy cảm. Lúc này điều cần làm là kiểm ta hoạt động của các tài khoản quan trọng, kiểm tra xác thực đa yếu tố đã bật chưa, có thể phải thay đổi thông tin xác thực như mật khẩu và làm sạch thiết bị (format cài lại máy).

CPUID thông báo

Đại diện CPUID – Samuel Demeulemeester nói với Cybernews: “Trang web CPUID.com đã bị xâm phạm trong vài giờ để phát tán phần mềm độc hại. Sự cố vẫn đang được điều tra nhưng có vẻ như một API thứ cấp đã bị chiếm dụng trong khoảng 6 giờ giữa ngày 9 và 10 tháng 4, khiến trang web hiển thị ngẫu nhiên các liên kết độc hại (file cài đặt gốc không bị xâm phạm, hacker đã chuyển hướng để lừa người dùng tải file giả mạo). Vụ tấn công đã được phát hiện và khắc phục.”

Cybernews