Đâu tiên buộc phải nói tới Nguyên nhân người dùng bị lây nhiễm mã độc một cách thức hàng loạt. Mã độc lần này vô cùng khôn khéo, nó hầu như chỉ lấy đa số các bạn bè có trong danh sách của của bạn mà chẳng hề người ko kể, khiến cho mức độ cảnh giác của bạn đã giảm đi đáng nhắc khi click vào thông báo.
Chúng tôi sẽ viết yếu tố các bước phân tích mã độc này dưới góc độ của một lập trình viên. Còn trường hợp bạn không phải là một lập trình viên, bài viết này tổng kết được 3 vấn đề sau:
- Mã độc này sẽ đánh cắp quyền tài khoản của bạn (thông qua token của người dùng).
- Mã độc này lây lan qua tính năng "nhắc đến" (mention) của Facebook.
- hiện nay số các bạn dự tính bị dính mã độc này là không thể đếm được, chỉ riêng trong đoạn thời gian thực chúng tôi kiểm tra, đã có đến hơn 23 nghìn người bị ảnh hưởng.
- Activity Logs ko ghi lại hoạt động nhắc tới này bởi vậy bạn không thể theo dõi được mình có vừa bị dính mã độc hay ko.
phương thức gỡ bỏ vô cùng đơn giản: Bạn chỉ nên vào Chrome và:
+ Xóa/remove Extension mà bạn vừa cài
+ Vào Cài đặt (Setting) đưa về cài đặt gốc (default)
Tại thời điểm kiểm tra của chúng tôi, có đến 23.241 người trực tuyến bị dính mã độc này. Con số bị lây nhiễm thực tế có thể cao hơn đầy đủ.
Còn ví như bạn là lập trình viên, hãy đọc tiếp các đoạn phân tích dưới đây (chúng tôi đã dòng bỏ cầu nối để tạo ra mã độc này nhằm đảm bảo an toàn cho độc giả).
Vì là bạn trong Friend List cần bạn mới có thể chấp nhận cài 1 extension không rõ xuất phát. đặc biệt không phải có logs trong activity logs.
Bắt tay vào công việc phân tích mã độc: kiểu dáng độc này có đông đảo phiên bản, ngay cả lúc phân tích chúng tôi cũng gặp trên dưới 3 mẫu. Về cơ bản chúng đều có nguyên lý giống nhau chúng ta cộng tham khảo nhé
Phần 1. Extension chrome
Hãy giới thiệu từ chính extension mà chúng ta down về
https://chrome.google.com/webstore/detail/buz/cefjoledagalengbpcmgncgfnambhfpi
Tiến hành mổ xẻ cái extension, mở file manifest.json chúng ta thấy ngay chiếc "scripts":["nevyjkcoidzi"]. Mở file nevyjkcoidzi đập vào mắt là một đống mã lệnh được Obfuscated (Làm rối mã). Điều mà tôi sử dụng rộng rãi đó là người viết ra mã độc này khá hài hước: ở mỗi ngoại hình độc khác nhau anh ta đều cho khởi chạy sau 1 thời gian nhất định. Ví dụ ở ngoại hình độc này 1:57:26 sáng ngày 16/11
giả dụ bạn là một lập trình viên tôi dám chắc bạn không mấy cạnh tranh để Deobfuscated đoạn mã trên
khi này trình duyệt Chrome sẽ lắng nghe mọi những hoạt động ở những tabs của bạn. Bất cứ tabs nào được reload hoặc truy cập mới đều được ghi nhận. Extension gửi đi 1 lời yêu cầu để lấy nội ở trang xxx.xyz (chúng tôi đã ẩn để giảm thiểu nguy hiểm cho độc giả)... Sau lúc đoạn lấy được nội dung sẽ được thực thi bởi hàm
window.chrome.tabs.executeScript();
Phần 2. Phân tích đoạn mã được lấy về ở trang xxx.xyz
đầu tiên Extension sẽ kiểm tra đường dẫn ở Tabs mà người dùng đang truy cập giả dụ đúng là Facebook thì tiếp tục thực thi.
Trong đoạn mã này nó đã tìm được hàng loạt các giá trị nhu yếu của facebook bao gồm như Userid, fb_dtsg, __rev.
ngoại trừ ra nó còn gọi tới hàm blockRemove và hàm start
Hàm blockremove sẽ xóa đoạn mã html để vào trang cài đặt của Facebook.
Hàm Start sẽ khai báo những thiết lập và gọi những hàm bao gồm như arkadas, privacySetting, tokencek
Hàm arkadas lấy danh sách bạn bè của bạn
Hàm này lấy gần như bạn bè của bạn để tạo thành danh sách để "Nhắc đến" ( Mentions )
Hàm privacySetting
Hàm privacySetting sẽ loại bỏ chế độ hiển thị bài viết ( Công Khai, Bạn bè, Chỉ mình tôi) trên tường của bạn.
Hàm tokencek
Đoạn bôi vàng cực kỳ quan trọng, nó sẽ được lưu lại trên máy chủ của người tạo ra mã độc. Một lúc Token của bạn bị đánh cắp đồng nghĩ với việc đa dạng nguy cơ tiềm ẩn có thể hoạt động mà bạn chẳng hề biết.
ngoài ra còn có hàm quan trọng như hàm Comment, Like và một vài hàm hỗ trợ khác mà chúng tôi chỉ nêu ra.
Hàm comment để "nhắc đến" ( MenTions )
Hàm Like
Tại thời điểm kiểm tra của chúng tôi, có đến 23.241 người trực tuyến bị dính mã độc này. Con số bị lây nhiễm thực tế có thể cao hơn toàn bộ.
Tại thời điểm kiểm tra của chúng tôi, có tới 23.241 người trực tuyến bị dính mã độc này. Con số bị lây nhiễm thực tế có thể cao hơn gần như.
Hàm arkadas lấy danh sách bạn bè của bạn
Hàm arkadas lấy danh sách bạn bè của bạn
Hàm privacySetting
Hàm privacySetting
Hàm tokencek
Hàm tokencek
Hàm comment để "nhắc đến" ( MenTions )
Hàm comment để "nhắc đến" ( MenTions )
Hàm Like
Hàm Like
Cảnh báo: Virus fake mạo thông báo cực nguy hiểm vừa xuất hiện trên Facebook
0 nhận xét:
Đăng nhận xét