Một người dùng tự dựng hệ thống tải phim tự động trên NAS vừa phát hiện tập mới của South Park bị kẹt trong hàng đợi. Thủ phạm là một file đuôi .exe được đăng lên các trang torrent công cộng, có tới 2.392 người chia sẻ. Phần mềm quản lý Sonarr vẫn tự động tải về vì cho rằng đó là tập phim thật.

Phần mềm 118 KB giấu trong 886 MB rác

Phần chương trình thật chỉ nặng 118 KB. Phần còn lại là dữ liệu ngẫu nhiên được gắn thêm vào đuôi, vì nhiều phần mềm diệt virus bỏ qua những file quá lớn. Bên trong còn có hàng trăm đoạn mã vô nghĩa để gây khó cho người phân tích, cùng cơ chế tự thoát nếu phát hiện đang bị gỡ lỗi hoặc chạy trong môi trường thử nghiệm (sandbox).

Mã hóa nhiều lớp nhưng khóa nằm ngay trong file

Mã độc dùng thuật toán ChaCha20 để giấu payload, rồi nạp thẳng vào bộ nhớ mà không ghi gì xuống ổ đĩa. Tuy nhiên, khóa giải mã lại nằm ngay trong 64 byte cuối của file, nên chỉ cần vài dòng Python là bóc được lớp thứ hai nặng 929 KB. Các chuỗi ký tự bên trong tiếp tục được mã hóa bằng AES-128-CTR với 672 vị trí gọi.

Bài học cho người dùng

Nếu bạn dùng hệ thống tải tự động, hãy chặn các file thực thi như .exe, .scr, .bat trong cấu hình. Một tập phim chuẩn không bao giờ là chương trình cài đặt. Đây là lời nhắc rằng ngay cả trong lĩnh vực công nghệ đời thường, kẻ xấu vẫn luôn tìm cách lợi dụng sự tự động hóa.