CPU-Z, HWMonitor vừa bị hack để phát tán mã độc

CPU-Z và HWMonitor - 2 công cụ chẩn đoán và xem cấu hình máy phổ biến trên Windows, đã bị hack và đang được hacker sử dụng để phát tán mã độc. CPUID vẫn đang điều tra sự cố và hiện đã khắc phục.

Chuyên gì xảy ra?

CPUID là công ty đứng đằng sau 2 công cụ nổi tiếng CPU-Z và HWMonitor, với nhiều người thì đây dường như là 2 công cụ luôn có trên máy tính để nắm bắt các thông số như xung, nhiệt, điện của CPU, GPU; chẩn đoán trạng thái hệ thống và chạy benchmark. Cả 2 công cụ đều được phát hành miễn phí trên CPUID.com.

Hacker có thể đã bắt đầu tấn công vào khoảng 4 giờ sáng thứ 6 (10/4), một số người dùng báo cáo đã tải về file cài đặt từ trang chủ CPUID.com có chứa mã độc. Một người dùng Reddit cho biết "Nhận được thông báo cập nhật phần mềm lên phiên bản 1.36. Nhấn cập nhật thì được hướng dẫn vào trang CPUID.com để tải bản mới nhất về cài đè, file tải về có tên HWiNFO_Monitor_Setup.exe và Windows Defender lập tức phát hiện đây là malware."

Người dùng đã cho kiểm tra file cài đặt nghi có mã độc lên VirusTotal và xác nhận file đã bị nhúng mã độc bởi ít nhất là 32 công cụ bảo mật khác nhau. Như vậy trang web của CPUID đã bị hack và hacker đã tráo hoặc chuyển hướng link tải file cài đặt nguyên bản của các công cụ CPU-Z, HWMonitor bằng các file chứa mã độc.

Các nhà phân tích tại vx-underground đã xác nhận vụ hack và lưu ý rằng malware đa giai đoạn này đang được phát tán từ một tên miền bị chiếm dụng (cpuid.com), được trojan hóa hạng nặng, hoạt động gần như hoàn toàn trong bộ nhớ hệ thống (RAM) và sử dụng các phương pháp khéo léo để tránh bị phát hiện. Tên miền điều khiển và ra lệnh cho malware được mã hóa cứng.

Vx-underground cho rằng hacker muốn chôm thông tin đăng nhập đã lưu trên trình duyệt. Nói trên X, Vx-underground đánh giá malware được thiết kế rất khéo léo và có mục đích cụ thể. Hacker đã host các payload mã độc tại supp0v3[.]com - một hạ tầng từng được sử dụng trong một chiến dịch tấn công bằng malware nhằm vào công cụ download FTP FileZilla vào đầu tháng 3 năm nay.

Hacker thật sự quan tâm đến việc "ẩn thân" của malware khi đặt tên một payload là CRYPTBASE.dll nhằm giả mạo một thư viện hợp lệ trên Windows được HWMonitor sử dụng. Mặc dù vậy, malware đã bị bắt tại trận bởi Windows Defender và nhiều công cụ bảo mật khác. Nếu được cài đặt thành công trên máy tính, nó sẽ sử dụng PowerShell để tải payload từ máy chủ của hacker. Vx-underground chấm điểm B- cho malware này.

Lời khuyên của các chuyên gia bảo mật hiện tại là không tải và cài đặt các file chưa được xác minh và nên kiểm tra hash của file. Trong tình huống đã cài phần mềm vào máy, người dùng nên giả định rằng hệ thống đã bị xâm phạm và có nguy cơ mất sạch dữ liệu nhạy cảm. Lúc này điều cần làm là kiểm ta hoạt động của các tài khoản quan trọng, kiểm tra xác thực đa yếu tố đã bật chưa, có thể phải thay đổi thông tin xác thực như mật khẩu và làm sạch thiết bị (format cài lại máy).

CPUID thông báo

Đại diện CPUID - Samuel Demeulemeester nói với Cybernews: "Trang web CPUID.com đã bị xâm phạm trong vài giờ để phát tán phần mềm độc hại. Sự cố vẫn đang được điều tra nhưng có vẻ như một API thứ cấp đã bị chiếm dụng trong khoảng 6 giờ giữa ngày 9 và 10 tháng 4, khiến trang web hiển thị ngẫu nhiên các liên kết độc hại (file cài đặt gốc không bị xâm phạm, hacker đã chuyển hướng để lừa người dùng tải file giả mạo). Vụ tấn công đã được phát hiện và khắc phục."

Nguồn: Tinh Tế