Coldroot có khả năng duy trì hệ thống bị nhiễm độc bằng cách liên tục tự cài đặt, có nghĩa là mã độc sẽ tự động khởi chạy mỗi khi hệ thống bị xâm nhập được khởi động lại.
Mặc dù đã được tải lên GitHub cách đây gần hai năm, nhưng mã độc Coldroot chuyên tấn công các hệ điều hành MacOS, Windows và Linux, nhưng nhắm mục tiêu chính là Mac gần đây mới được các chuyên gia bảo mật phát hiện.
Coldroot vốn đã được cung cấp dùng thử miễn phí trên GitHub kể từ 30/3/2016 nhưng vẫn chưa bị phát hiện bởi bất cứ phần mềm chống virus nào cho đến nay, chỉ được cảnh báo "nguy hiểm" trên 18 trong số 60 công cụ chống virus mà thôi.
Mặc dù đã được tải lên GitHub cách đây gần hai năm, nhưng mã độc Coldroot chuyên tấn công người dùng Mac gần đây mới được các chuyên gia bảo mật phát hiện. Ảnh minh họa |
Patrick Wardle- Giám đốc nghiên cứu tại Digital Security, cho biết: "Từ ngày 1/1/2017, mã độc này đã được bày bán chính thức bởi tác giả có mật danh "Coldzer0" trên các thị trường ngầm, được quảng cáo là có khả năng tấn công các hệ điều hành MacOS, Windows và Linux, nhưng nhắm mục tiêu chính là Mac.
Coldroot được giả mạo dưới dạng trình điều khiển âm thanh của Apple có tiêu đề "com.apple.audio.driver2.app". Khi nhấp chuột vào, người dùng sẽ được yêu cầu xác thực các thông tin quan trọng về MacOS.
Sau khi thông tin được đăng nhập, mã độc này sẽ được kích hoạt, ghi âm, ăn cắp mật khẩu, sửa đổi cơ sở dữ liệu riêng tư TCC.db, đổi tên và xóa các tập tin, thực hiện các quy trình tải dữ liệu, cho phép các quyền truy cập máy tính từ xa để thực hiện xâm nhập hệ thống.
Wardle khẳng định, Coldroot hiện không thể tấn công trên các hệ điều hành mới hơn như MacOS High Sierra vì Apple bây giờ bảo vệ TCC.db thông qua System Integrity Protection (SIP). Tuy nhiên, nếu muốn giữ an toàn, người dùng Mac vẫn nên cập nhật và chạy phiên bản mới nhất của MacOS.
Vũ Đậu (T/h)
