VNCERT cảnh báo mã độc từ trang web "đào" tiền ảo Coinhive

Dấu hiệu nhận biết mã độc được VNCERT thông báo gồm các từ khóa trong mã nguồn website “coinhive.com”, “coinhive”, “coin-hive”, “coinhive.min.js”, “authedmine.com”, authedmine.min.js.

Trong quá trình theo dõi sự cố trên mạng ở Việt Nam, VNCERT đã ghi nhận rất nhiều sự cố an toàn thông tin (ATTT) về mã độc khai thác tiền ảo Coinhive ẩn mình trên các website. Theo cơ quan này, khi người dùng  truy cập vào trang web, thư viện mã Coinhive được tự động chạy trên máy tính người dùng dưới dạng tiện ích mở rộng hoặc trực tiếp trong trình duyệt nhằm mục đích “đào” tiền ảo Bitcoin, Monero... bằng cách sử dụng trái phép tài nguyên người dùng như CPU, ổ cứng, bộ nhớ... và gửi về ví điện tử của tin tặc.

VNCERT đã yêu cầu các đơn vị chuyên trách về CNTT, ATTT của nhiều cơ quan, Bộ, ngành... khẩn trương thực hiện kiểm tra, rà soát mã nguồn để phát hiện các mã được chèn vào. Dấu hiệu nhận biết được thông báo gồm các từ khóa trong mã nguồn website “coinhive.com”, “coinhive”, “coin-hive”, “coinhive.min.js”, “authedmine.com”, authedmine.min.js. Nếu phát hiện website bị chèn các mã này, cần rà soát và kiểm tra lại lỗ hổng trên máy chủ, lỗ hổng trên website, kiểm tra các tài khoản bị lộ quyền thay đổi mã nguồn để khắc phục lỗ hổng.

VNCERT cũng yêu cầu các nhà quản trị mạng triển khai các biện pháp ngăn chặn việc chạy các đoạn mã trái phép "Coinhive" trên máy tính; thực hiện giám sát và bóc gỡ xử lý trên các máy tính trong mạng có xuất hiện các kết nối đến các địa chỉ tên miền afminer.com, coin-have.com, coinerra.com, coinhive.com, coinnebula.com, crypto-loot.com, hashforcash.us, jescoin.com, ppoi.org, authedmine.com.

Các nhà quản trị mạng cũng cần sử dụng tường lửa để chặn các kết nối ra các địa chỉ afminer.com, coin-have.com, coinerra.com, coinhive.com, coinnebula.com, crypto-loot.com, hashforcash.us, jescoin.com, ppoi.org, authedmine.com; Rà quét, kiểm tra hệ thống để tìm ra và loại bỏ các đoạn mã có trong các phần mềm mở rộng (Add-on) của trình duyệt web; Khuyến nghị người dùng cài đặt các tiện ích mở rộng “No Coin Chrome” hay “minerBlock” đối với trình duyệt Chrome hay “NoScripts” cho Firefox.

Quản trị mạng cũng cần hướng dẫn người dùng kiểm tra hiệu suất sử dụng CPU của máy tính bằng các ứng dụng như Windows Task Manager và Resource Monitor. Nếu máy tính có dấu hiệu chậm chạp và kiểm tra thấy hiệu suất sử dụng CPU của các trình duyệt hoặc tiện ích mở rộng cao thì có thể máy tính đó đã bị nhiễm Coinhive, cần thông báo gấp cho quản trị mạng để xử lý.

VNCERT cũng khuyến cáo thường xuyên kiểm tra và quét các lỗ hổng tồn tại trên hệ thống để phát hiện kịp thời sự xuất hiện của các đoạn mã độc hại. Trong trường hợp phát hiện ra các lỗ hổng, cần lập tức triển khai biện pháp khắc phục, cập nhật các bản vá bổ sung và loại bỏ các chương trình độc hại đã bị tin tặc chèn vào.

VNCERT đề nghị các đơn vị báo cáo tình hình lây nhiễm và kết quả xử lý (nếu có) về Cơ quan Điều phối Quốc gia của Trung tâm VNCERT trước ngày 30/11/2017.

Theo Xã hội Thông tin (ảnh: PCrisk, Bleepingcomputer)

Nội dung liên quan:

>> Tấn công máy tính toàn cầu: Gần 100 quốc gia dính mã độc tống tiền

>> Cấm sử dụng Bitcoin và các loại tiền ảo trong nước, giao dịch "chui" vẫn diễn ra bình thường?

>> "Đào" Bitcoin kiếm 6 tỷ đồng một ngày có phải là việc nhẹ lương cao?