Ngăn chặn khẩn cấp mã độc “đào” tiền ảo bất hợp pháp

VNCERT vừa gửi công văn thông báo tới các đơn vị chuyên trách về CNTT, an toàn thông tin (ATTT) của các cơ quan Đảng, Chính phủ, Bộ ngành, Thành viên mạng lưới ứng cứu sự cố, Các Tổng công ty,Tập đoàn Kinh tế, các Tổ chức Tài chính, Ngân hàng và các Doanh nghiệp hạ tầng Internet, Viễn thông, Điện lực, Hàng không, Giao thông Vận tải về việc phát hiện, ngăn chặn mã độc “đào” tiền ảo bất hợp pháp.

Thực hiện công tác theo dõi sự cố trên không gian mạng Việt Nam, Trung tâm VNCERT đã ghi nhận được rất nhiều sự cố ATTT về mã độc khai thác tiền ảo Coinhive ẩn mình trên các website. Khi người dùng  truy cập vào trang web, thư viện mã Coinhive được tự động chạy trên máy tính người dùng dưới dạng tiện ích mở rộng hoặc trực tiếp trong trình duyệt nhằm mục đích “đào” tiền ảo Bitcoin, Monero… bằng cách sử dụng trái phép tài nguyên người dùng (CPU, ổ cứng, bộ nhớ…) và gửi về ví điện tử của tin tặc.

Căn cứ Quyết định số 05/2017/QĐ-TTg ngày 16/03/2017 của Thủ tướng Chính phủ và thực hiện Thông tư số 20/2011/TT-BTTTT ban hành ngày 12/9/2017 của Bộ TTTT quy định về điều phối, ứng cứu sự cố ATTT mạng toàn quốc, Trung tâm VNCERT yêu cầu Lãnh đạo đơn vị chỉ đạo các đơn vị thuộc phạm vi quản lý thực hiện khẩn cấp các công việc sau:

Đối với quản trị website: Kiểm tra, rà soát mã nguồn để phát hiện các mã được chèn vào. Dấu hiệu nhận biết gồm các từ khóa trong mã nguồn website “coinhive.com”, “coinhive”, “coin-hive”, “coinhive.min.js”, “authedmine.com”, authedmine.min.js.

Nếu phát hiện website bị chèn các mã khai thác như đã nêu trên, cần rà soát và kiểm tra lại lỗ hổng trên máy chủ, lỗ hổng trên website, kiểm tra các tài khoản bị lộ lọt có quyền thay đổi mã nguồn, nhằm khắc phục lỗ hổng bị lợi dụng.

Đối với quản trị mạng: Triển khai các biện pháp nhằm ngăn chặn việc chạy các đoạn mã trái phép "Coinhive" trên máy tính như sau:

Thực hiện giám sát và bóc gỡ xử lý trên các máy tính trong mạng có xuất hiện các kết nối đến các địa chỉ tên miền sau: afminer.com, coin-have.com, coinerra.com, coinhive.com, coinnebula.com, crypto-loot.com, hashforcash.us, jescoin.com, ppoi.org, authedmine.com;

Sử dụng tường lửa để chặn các kết nối ra các địa chỉ sau:afminer.com, coin-have.com, coinerra.com, coinhive.com, coinnebula.com, crypto-loot.com, hashforcash.us, jescoin.com, ppoi.org, authedmine.com;

Rà quét, kiểm tra hệ thống để tìm ra và loại bỏ các đoạn mã có trong các phần mềm mở rộng "Add-on" của trình duyệt web;

Khuyến nghị người dùng cài đặt các tiện ích mở rộng: “No Coin Chrome” hay “minerBlock” đối với Chrome; cài đặt “NoScripts” cho Firefox.

VNCERT cũng đề nghị các đơn vị chuyên trách CNTT, ATTT hướng dẫn người dùng kiểm tra hiệu suất sử dụng CPU của máy tính bằng các ứng dụng như Windows Task Manager và Resource Monitor. Nếu máy tính có dấu hiệu chậm chạp và kiểm tra thấy hiệu suất sử dụng CPU của các trình duyệt hoặc tiện ích mở rộng cao thì có thể máy tính đó đã bị nhiễm Coinhive. Cần thông báo gấp cho quản trị mạng để xử lý.

Các đơn vị cũng cần thường xuyên kiểm tra và quét các lỗ hổng tồn tại trên hệ thống để phát hiện kịp thời sự xuất hiện của các đoạn mã độc hại. Trong trường hợp phát hiện ra các lỗ hổng, lập tức triển khai biện pháp khắc phục, cập nhật các bản vá bổ sung và loại bỏ các chương trình độc hại đã bị tin tặc chèn vào.

Theo VNCERT, đây là loại mã độc nguy hiểm, vì vậy, VNCERT đề nghị lãnh đạo các đơn vị nghiêm túc thực hiện lệnh điều phối. Sau khi thực hiện, đề nghị các đơn vị báo cáo tình hình lây nhiễm và kết quả xử lý (nếu có) về Cơ quan Điều phối Quốc gia (Trung tâm VNCERT) trước ngày 30/11/2017.