Cảnh giác với tiện ích NexShield trong trình duyệt Chrome

[trungthuc]

Một tiện ích (extension) chặn quảng cáo "giả mạo" trên Chrome đang bị lợi dụng để làm cho trình duyệt bị "treo, ngưng hoạt động", sau đó tìm cách lừa người sử dụng tự chạy lệnh, khiến cho máy tính bị nhiễm mã độc.

Việc cài đặt tiện ích mở rộng cho trình duyệt vốn được xem là thao tác quen thuộc và ít có rủi ro. Tuy nhiên, sự việc này có liên quan đến một tiện ích có tên NexShield cho thấy chính thói quen này đang trở thành điểm yếu dễ dàng bị bọn tin tặc cho khai thác. Tiện ích trên được quảng cáo là ngăn chặn quảng cáo nhẹ, ưu tiên quyền riêng tư và hiệu suất, thậm chí còn mạo danh từ uBlock Origin để tạo ra lòng tin với người nhẹ dạ.

Trên thực tế, tiện ích NexShield không hề thực hiện chức năng ngăn chặn quảng cáo. Theo phân tích của các chuyên gia bảo mật, tiện ích này âm thầm kích hoạt ra một cuộc tấn công từ chối dịch vụ ngay trong trình duyệt. Nó liên tục tạo ra các kết nối chrome.runtime trong vòng lặp đi lặp lại vô tận, khiến cho CPU và bộ nhớ bị chiếm dụng bất thường, dẫn đến tình trạng trình duyệt Chrome hoặc Edge bị treo cứng, không phản ứng và buộc người sử dụng phải cho khởi động lại máy tính.

Sau khi hệ thống được cho khởi động lại, kịch bản lừa đảo mới sẽ bắt đầu. Tiện ích NexShield này sẽ hiển thị ra các cửa sổ cảnh cáo giả mạo, thông báo rằng máy tính đang gặp lỗi nghiêm trọng và đề nghị cho quét hệ thống để khắc phục. Khi người dùng làm theo hướng dẫn, các thông báo tiếp theo yêu cầu sao chép một đoạn lệnh và dán vào cửa sổ PowerShell hoặc Command Prompt với mục đích "cho sửa lỗi".

Trên thực tế, thao tác này đã vô tình giúp cho bọn tin tặc kích hoạt một tập lệnh PowerShell ẩn, cho phép tải và thực thi mã độc từ xa. Các chuyên gia gọi đây là CrashFix, một biến thể tinh vi của kỹ thuật ClickFix, trong đó nạn nhân sẽ bị thao túng để tự thực hiện hành vi nguy hiểm thay cho kẻ tấn công.

Đáng chú ý hơn, NexShield sẽ không hoạt động ngay sau khi được cài đặt mà trì hoãn đến khoảng một giờ sau đó. Cách làm này khiến cho người sử dụng máy khó hình dung ra lỗi này với tiện ích vừa được cài đặt, đồng thời giúp mã độc này tránh bị phát hiện ra sớm. Theo đánh giá ban đầu, chiêu trò này có dấu hiệu đang nhắm vào khối cơ quan doanh nghiệp, nơi thường có quyền truy cập cao và dễ bị hoảng loạn khi hệ thống đang gặp trục trặc bất thường.

Hiện Google đã cho gỡ tiện ích độc hại NexShield này ra khỏi Chrome Web Store. Dù vậy, vụ này tiếp tục gióng lên hồi chuông cảnh cáo về rủi ro từ các tiện ích mở rộng, đặc biệt trong bối cảnh bọn tin tặc sẵn sàng mua quảng cáo để đẩy phần mềm giả mạo lên top tìm kiếm. Các chuyên gia khuyến cáo chỉ nên cho cài đặt tiện ích từ nơi có uy tín, cho kiểm tra kỹ thông tin về tác giả và tuyệt đối không chạy lệnh hệ thống theo hướng dẫn từ các pop-up trình duyệt.
​