Microsoft công bố mối đe dọa mới từ phần mềm mã độc Trojan: có thể lây lan ẩn danh qua Tor và chiếm đoạt địa chỉ ví.

Odaily đưa tin: Nhóm tình báo về mối đe dọa của Microsoft chính thức công bố về một mối đe dọa mã độc tống tiền sử dụng Windows, đã hoạt động từ tháng 2 năm 2026. Phần mềm độc hại này kết hợp phương thức "lây lan dạng sâu + chiếm quyền clipboard + giao tiếp ẩn danh qua Tor", nhằm tấn công người dùng tài sản số.

Theo phân tích của Microsoft, chương trình độc hại này phát tán qua các tệp lối tắt (.lnk) được nguỵ trang trên các thiết bị lưu trữ di động, sử dụng WScript và ActiveX để thực thi logic mã, tự động triển khai Tor client cục bộ và kết nối proxy qua 127.0.0.1:9050. Dịch vụ ẩn onion C2 server được sử dụng để kiểm soát ẩn danh và trả về dữ liệu. Chuỗi tấn công bao gồm nhiều khả năng độc hại: liên tục giám sát nội dung clipboard, đánh cắp cụm từ ghi nhớ và khoá riêng tư, chụp màn hình và tải lên, đồng thời thực hiện "thay thế địa chỉ" khi người dùng sao chép địa chỉ tiền mã hoá, thay thế bằng địa chỉ ví do kẻ tấn công điều khiển để chiếm đoạt tài sản.

Ngoài ra, trojan này còn có khả năng tự lây lan như sâu máy tính, tự động sao chép chính nó vào thiết bị như USB và tạo tác vụ định kỳ để đảm bảo duy trì hoạt động, đồng thời sở hữu tính năng chống phân tích cơ bản (phát hiện Task Manager để tránh bị gỡ lỗi).

Về mặt phát hiện, Microsoft đã nhận diện mối đe dọa này là dòng Trojan:Win32/CryptoBandits và ngăn chặn thông qua đặc điểm hành vi (chẳng hạn như gọi WScript bất thường, lưu lượng proxy localhost:9050 và hành động chụp màn hình bằng PowerShell). Các nhà nghiên cứu an ninh khuyến nghị cần chú trọng bảo vệ đường dẫn thực thi script và giám sát lưu lượng proxy cục bộ bất thường.