Phân tích phần mềm độc hại Warden Stealer và phương thức tấn công mới

Warden Stealer đang nổi lên như một trong những mối đe dọa an ninh mạng đáng lo ngại, sử dụng mô hình cung cấp mã độc dạng dịch vụ (MaaS) cho phép kẻ tấn công dễ dàng tùy chỉnh máy chủ điều khiển và các bản dựng theo ý muốn.

Phương thức lây nhiễm qua ClickFix và Malvertising

Các chuyên gia bảo mật đã chỉ ra hai con đường phổ biến nhất mà Warden Stealer sử dụng để xâm nhập hệ thống nạn nhân. Đầu tiên là kỹ thuật ClickFix, nơi kẻ tấn công dựng lên các trang web giả mạo giao diện xác thực CAPTCHA hoặc thông báo từ Cloudflare. Chúng lừa người dùng thực hiện thao tác sao chép và dán một đoạn lệnh PowerShell độc hại trực tiếp vào hệ thống, qua đó tải về bộ nạp (loader) mà không cần tệp tin thực thi truyền thống để né tránh các bộ lọc bảo mật.

Bên cạnh đó, chiến dịch quảng cáo độc hại (malvertising) cũng được khai thác triệt để thông qua các công cụ tìm kiếm. Kẻ xấu chiêu dụ người dùng truy cập các trang web cung cấp phần mềm phổ biến giả mạo, bản bẻ khóa hoặc các bản mod trò chơi. Tại đây, nạn nhân bị thuyết phục tạm tắt phần mềm bảo mật để tiến hành cài đặt ứng dụng, vô tình kích hoạt chuỗi lây nhiễm phần mềm độc hại.

Đặc điểm kỹ thuật và khả năng né tránh

Warden Stealer được phát triển bằng ngôn ngữ lập trình Rust, giúp mã nguồn trở nên kiên cố trước các hình thức phân tích ngược và phát hiện tĩnh. Mã độc liên tục thay đổi cấu trúc kết hợp cùng kỹ thuật làm rối mã nguồn mạnh mẽ. Bộ nạp của nó chịu trách nhiệm giải mã payload trực tiếp trong bộ nhớ, sau đó tận dụng các hàm API của hệ điều hành Windows như VirtualAllocEx, WriteProcessMemory và CreateRemoteThread để tiêm mã độc vào các tiến trình hợp pháp như explorer.exe hoặc msiexec.exe.

Đáng chú ý, loại mã độc này sở hữu cơ chế nhận diện môi trường ảo hóa tiên tiến. Nó chủ động quét các dấu hiệu của những nền tảng ảo hóa phổ biến như VMware, VirtualBox hay KVM thông qua thông tin phần cứng, registry và firmware. Ngay khi phát hiện hệ thống phân tích hoặc môi trường sandbox, mã độc sẽ lập tức đình chỉ mọi hoạt động nhằm che giấu hành vi trước các nhà nghiên cứu bảo mật.

Phạm vi mục tiêu và biện pháp phòng ngừa

Không chỉ dừng lại ở việc đánh cắp thông tin xác thực, mật khẩu hay cookie lưu trên trình duyệt, Warden Stealer còn mở rộng phạm vi nhắm đến các tệp cấu hình cùng mã thông báo (token) của nhiều trợ lý trí tuệ nhân tạo hiện nay như Claude, Codex, Grok và Cursor. Việc đánh cắp các dữ liệu này tạo điều kiện cho kẻ tấn công kiểm soát phiên làm việc, khai thác lịch sử trò chuyện cũng như các khóa API nhạy cảm của nạn nhân.

Để giảm thiểu rủi ro từ mối đe dọa này, các cơ quan và tổ chức cần triển khai biện pháp thắt chặt an ninh hệ thống toàn diện. Công tác giám sát cần tập trung vào các tiến trình có dấu hiệu tiêm mã độc hoặc các lệnh thực thi bất thường từ công cụ hệ thống. Song song với đó, việc nâng cao nhận thức cho người dùng cuối về các thủ đoạn giả mạo CAPTCHA và tuyệt đối tránh chạy lệnh PowerShell từ nguồn không rõ độ tin cậy đóng vai trò vô cùng quan trọng trong chiến lược phòng thủ tổng thể.