Cách bảo vệ máy tính từ xa của bạn khỏi phần mềm độc hại RDStealer
Quá trình xác định các mối đe dọa an ninh mạng mới và đang nổi lên không bao giờ kết thúc—và vào tháng 6 năm 2023, BitDefender Labs đã phát hiện ra một phần mềm độc hại nhắm mục tiêu vào các hệ thống sử dụng kết nối máy tính từ xa kể từ năm 2022.
Nếu bạn sử dụng Giao thức Máy tính Từ xa (RDP), việc xác định xem bạn có phải là mục tiêu hay không và liệu dữ liệu của bạn có bị đánh cắp hay không là rất quan trọng. May mắn thay, có một số phương pháp bạn có thể sử dụng để ngăn ngừa lây nhiễm và xóa RDStealer khỏi PC của mình.
Mục Lục
RDStealer là gì? Tôi đã được nhắm mục tiêu?
RDStealer là phần mềm độc hại cố gắng đánh cắp thông tin đăng nhập và dữ liệu bằng cách lây nhiễm máy chủ RDP và giám sát các kết nối từ xa của nó. Nó triển khai cùng với Logutil, một cửa hậu được sử dụng để lây nhiễm máy tính từ xa và cho phép truy cập liên tục thông qua cài đặt RDStealer phía máy khách.
Nếu phần mềm độc hại phát hiện thấy một máy từ xa đã kết nối với máy chủ và Ánh xạ ổ đĩa máy khách (CDM) được bật, thì phần mềm độc hại sẽ quét nội dung trên máy và tìm kiếm các tệp như cơ sở dữ liệu mật khẩu KeePass, mật khẩu đã lưu trên trình duyệt và khóa riêng SSH. Nó cũng thu thập các lần gõ phím và dữ liệu clipboard.
RDStealer có thể nhắm mục tiêu vào hệ thống của bạn bất kể đó là phía máy chủ hay phía máy khách. Khi RDStealer lây nhiễm vào mạng, nó sẽ tạo các tệp độc hại trong các thư mục như “%WinDir%System32” và “%PROGRAM-FILES%” thường bị loại trừ trong quá trình quét phần mềm độc hại toàn hệ thống.
Theo Bitdefender, phần mềm độc hại lây lan qua một số vectơ. Ngoài véc tơ tấn công CDM, lây nhiễm RDStealer có thể bắt nguồn từ các quảng cáo web bị nhiễm, tệp đính kèm email độc hại và các chiến dịch kỹ thuật xã hội. Nhóm chịu trách nhiệm về RDStealer có vẻ đặc biệt tinh vi, vì vậy các hướng tấn công mới—hoặc các dạng cải tiến của RDStealer—có thể sẽ xuất hiện trong tương lai.
Nếu bạn sử dụng máy tính để bàn từ xa thông qua RDP, cách an toàn nhất của bạn là cho rằng RDStealer có thể đã lây nhiễm hệ thống của bạn. Mặc dù vi-rút quá thông minh để dễ dàng xác định theo cách thủ công, nhưng bạn có thể ngăn chặn RDStealer bằng cách cải thiện các giao thức bảo mật trên hệ thống máy chủ và máy khách của mình, đồng thời bằng cách thực hiện quét vi-rút toàn bộ hệ thống mà không có các loại trừ không cần thiết.
Bạn đặc biệt dễ bị nhiễm RDStealer nếu bạn sử dụng hệ thống Dell, vì nó dường như nhắm mục tiêu cụ thể đến các máy tính do Dell sản xuất. Phần mềm độc hại được thiết kế có chủ ý để ngụy trang trong các thư mục như “Program FilesDellCommandUpdate” và sử dụng các miền lệnh và kiểm soát như “dell-a[.]cập nhật ntp[.]com”.
Bảo vệ máy tính từ xa của bạn chống lại RDStealer
Điều quan trọng nhất bạn có thể làm để tự bảo vệ mình trước RDStealer là thận trọng trên web. Mặc dù không có nhiều chi tiết cụ thể về cách RDStealer lây lan ngoài các kết nối RDP, nhưng cần thận trọng để tránh hầu hết các vectơ lây nhiễm.
Sử dụng xác thực đa yếu tố
Bạn có thể cải thiện tính bảo mật của các kết nối RDP bằng cách triển khai các phương pháp hay nhất như xác thực đa yếu tố (MFA). Bằng cách yêu cầu phương thức xác thực phụ cho mỗi lần đăng nhập, bạn có thể ngăn chặn nhiều loại tấn công RDP. Các phương pháp hay nhất khác, như triển khai xác thực cấp độ mạng (NLA) và sử dụng VPN, cũng có thể khiến hệ thống của bạn kém hấp dẫn và dễ bị vi phạm.
Mã hóa và sao lưu dữ liệu của bạn
RDStealer đánh cắp dữ liệu một cách hiệu quả—và ngoài văn bản thuần túy được tìm thấy trong khay nhớ tạm và có được từ quá trình ghi bàn phím, nó còn tìm kiếm các tệp như Cơ sở dữ liệu mật khẩu KeePass. Mặc dù dữ liệu bị đánh cắp không có mặt tích cực nào, nhưng bạn có thể yên tâm rằng rất khó xử lý bất kỳ dữ liệu bị đánh cắp nào nếu bạn siêng năng mã hóa các tệp của mình.
Mã hóa tệp là một việc tương đối đơn giản nếu có hướng dẫn phù hợp. Nó cũng cực kỳ hiệu quả trong việc bảo vệ các tệp, vì tin tặc sẽ cần thực hiện một quy trình khó khăn để giải mã các tệp được mã hóa. Mặc dù có thể giải mã các tệp, nhưng tin tặc có nhiều khả năng chuyển sang các mục tiêu dễ dàng hơn—và kết quả là bạn hoàn toàn không bị vi phạm. Ngoài mã hóa, bạn cũng nên thường xuyên sao lưu dữ liệu của mình để tránh mất quyền truy cập sau này.
Cấu hình Antivirus của bạn một cách chính xác
Định cấu hình phần mềm chống vi-rút của bạn một cách chính xác cũng rất quan trọng nếu bạn muốn bảo vệ hệ thống của mình. RDStealer lợi dụng thực tế là nhiều người dùng sẽ loại trừ toàn bộ thư mục thay vì các tệp được đề xuất cụ thể bằng cách tạo các tệp độc hại trong các thư mục này. Nếu bạn muốn phần mềm chống vi-rút của mình tìm và xóa RDStealer, bạn cần thay đổi các loại trừ máy quét của mình để chỉ bao gồm các tệp được đề xuất cụ thể.
Để tham khảo, RDStealer tạo các tệp độc hại trong các thư mục (và các thư mục con tương ứng của chúng) bao gồm:
- %WinDir%System32
- %WinDir%System32wbem
- %WinDir%securitydatabase
- %PROGRAM_FILES%f-securepsbdiagnostics
- %PROGRAM_FILES_x86%dellcommandupdate
- %PROGRAM_FILES%dellmd phần mềm lưu trữmd tiện ích cấu hình
Bạn nên điều chỉnh các loại trừ quét vi-rút của mình theo các nguyên tắc do Microsoft khuyến nghị. Chỉ loại trừ các loại tệp và thư mục cụ thể đã nêu và không loại trừ các thư mục mẹ. Xác minh rằng phần mềm chống vi-rút của bạn được cập nhật và hoàn tất quá trình quét toàn bộ hệ thống.
Cập nhật tin tức bảo mật mới nhất
Mặc dù nhóm làm việc chăm chỉ tại Bitdefender đã cho phép người dùng bảo vệ hệ thống của họ khỏi RDStealer, nhưng đó không phải là phần mềm độc hại duy nhất mà bạn phải lo lắng—và luôn có khả năng nó sẽ phát triển theo những cách mới và bất ngờ. Một trong những bước quan trọng nhất bạn có thể thực hiện để bảo vệ hệ thống của mình là cập nhật tin tức mới nhất về các mối đe dọa an ninh mạng mới nổi.
Bảo vệ máy tính từ xa của bạn
Trong khi các mối đe dọa mới xuất hiện hàng ngày, bạn không cần phải cam chịu trở thành nạn nhân của loại vi-rút tiếp theo. Bạn có thể bảo vệ máy tính từ xa của mình bằng cách tìm hiểu thêm về các vectơ tấn công tiềm ẩn, cải thiện các giao thức bảo mật trên hệ thống của bạn và tương tác với nội dung trên web từ góc độ tập trung vào bảo mật.
