Botnet ẩn sau chiến dịch virus "H1N1"

Một chiến dịch thư rác rầm rộ mạo danh thông điệp gửi đi từ Trung tâm Kiểm soát Bệnh (CDC) Mỹ, yêu cầu người nhận đăng ký nhận văcxin phòng H1N1 đang khiến cho giới bảo mật đau đầu nhức óc.

Bức thư rác nói trên dẫn người dùng tới một website trông có vẻ rất đáng tin. Tại đây, các nhạn nhân được yêu cầu lập một hồ sơ cá nhân để có thể nhận được văcxin. Người dùng cũng được thúc giục download cơ sở dữ liệu về văcxin từ một đường link có sẵn trong mail.

Tuy nhiên khi click vào đường link, thứ thật sự "chui vào máy" và cài đặt lại là một biến thể mới của trojan có tên Zbot. Được một số hãng bảo mật đặt cho tên khác là Zeus, malware này chuyên tấn công máy tính Windows để phục vụ cho các ý đồ đen tối, chẳng hạn như phát tán thư rác, tấn công từ chối dịch vụ.

Ngày hôm qua, khi các thông điệp mạo danh bắt đầu cập bến hòm thư, nhiều hãng bảo mật cho biết bộ lọc của họ đã phải đụng độ với dòng thư rác khổng lồ. Lấy thí dụ, hãng AppRiver ghi nhận trung bình 18000 thư rác CDC mỗi phút, tức là khoảng 1,1 triệu thư mỗi giờ.

"Tốc độ phát tán có chậm lại đôi chút hai hôm nay, tuy nhiên, chúng tôi vận chặn được xấp xỉ 13 triệu thư rác trong vòng 24 giờ qua. Đây đang là chiến dịch virus/phishing áp đảo tại thời điểm này", đại diện của AppRiver cho biết thêm.

Website giả mạo CDC còn có một kế hoạch tấn công dự phòng, trong trường hợp người nhận đủ thận trọng để không click chuột vào đường link. Trên site có sự góp mặt của IFRAME, một thành tố rất nhỏ, vô hình có chứa mã độc, chuyên khoan sâu vào lỗ hổng của Adobe Software và Flash.

Adobe đã vá lại Reader và Flash Player vài lần từ đầu năm, do những ứng dụng này ngày càng trở thành mục tiêu ưa thích của giới hacker. Lấy thí dụ, bản update gần đây nhất đã vá tới 29 lỗ hổng trong PDF Viewer.

Trojan Zbot đặc biệt tích cực trong việc thu thập các máy tính bị hạ gục và thiết lập nên mạng botnet. Tháng trước, hai người Anh đã bị cảnh sát bắt giữ và cáo buộc sử dụng Zbot để đánh cắp tên chủ tài khoản cũng như mật khẩu ngân hàng trực tuyến của nhiều người. Nguy hiểm hơn, hacker có thể chỉnh sửa trojan này thành một bộ công cụ để rao bán trên chợ đen.

Còn theo hãng bảo mật McAfee, website CDC giả mạo được lưu ký trên nhiều máy chủ khác nhau, đặt tại Argentina, Chile, Colombia, Brazil, Ấn Độ và Malaysia. Các thông điệp có nhiều tiêu đề khác nhau, nhưng phổ biến nhất vẫn là "Chương trình văcxin H1N1 Quốc gia", "Chương trình đăng ký nhận văcxin H1N1 của Chính phủ" và "Hãy tự lập hồ sơ Văcxin cá nhân".