Phát hiện phần mềm gián điệp laptop và xóa sạch tại nhà

Laptop học tập chứa đủ thứ nhạy cảm: tài khoản thư viện, bài luận chưa nộp, ứng dụng ngân hàng để đóng học phí. Một phần mềm gián điệp, tức loại mã độc núp kín để thu thập thông tin rồi gửi về cho kẻ tấn công, đọc được tất cả những thứ ấy.

Tin tốt là người dùng không nhất thiết phải mang máy ra tiệm. Trình tự gồm ba việc: chuẩn bị máy, quét và loại bỏ, rồi kiểm tra lại để mã độc không quay lại. Cả ba bước đều phục vụ một mục tiêu: phát hiện phần mềm gián điệp laptop và loại bỏ hẳn khỏi máy.

Chuẩn bị trước khi quét máy

Trước khi quét, cần biết máy mình đang chạy hệ điều hành nào và có những tài khoản gì. Nhấn tổ hợp phím mở menu Start, gõ “Thông tin về PC” là thấy ngay phiên bản Windows và loại tài khoản đang dùng. Bước này quan trọng vì cách vào chế độ quét sâu khác nhau giữa các phiên bản.

Việc đầu tiên là sao lưu. Mọi thao tác dọn mã độc đều có rủi ro làm hỏng tệp. Cách làm là chép thư mục Documents, thư mục bài tập và các tệp quan trọng ra ổ cứng ngoài hoặc ổ flash trước khi cài bất kỳ công cụ diệt nào. Chỉ mất một lần làm, nhưng nếu quét sai thì còn đường lui.

Tiếp theo là tách quyền. Windows mặc định có tài khoản Administrator không mật khẩu với đầy đủ quyền quản trị, và virus có thể lợi dụng quyền này để điều khiển máy từ xa.^{11 Tự bảo vệ trước virus, spyware... (aptech.fpt.edu.vn)} Cách làm là đặt mật khẩu cho tài khoản đó, đồng thời tạo thêm một tài khoản thường để dùng hằng ngày, không có quyền cài phần mềm. Tài khoản quản trị nên có mật khẩu dài trên 8 ký tự gồm cả chữ và số, chỉ mở ra khi cần cài đặt hay bảo trì máy.^{22 Phần mềm gián điệp (Wikipedia)} Với sinh viên, cách này còn có tác dụng phụ đáng quý: khi mượn bạn cài tạm một phần mềm nào đó, tài khoản hạn chế buộc mọi thao tác phải qua sự đồng ý của người chủ máy.

Một thói quen nên hình thành ngay từ khâu tải phần mềm: đọc kỹ thỏa thuận cấp phép trước khi bấm đồng ý. Đôi khi nhà phát hành ghi rõ ngay trong đó việc cài kèm spyware, nhưng chữ nằm trong đoạn nhỏ khó thấy mà hầu hết người dùng lướt qua.^{22 Phần mềm gián điệp (Wikipedia)}

Muốn phát hiện phần mềm gián điệp trên laptop, trước hết cần biết nó đi vào máy qua đường nào. Ba cửa chính đã được ghi nhận. Thứ nhất là lỗ hổng bảo mật trong tệp tải xuống, liên kết hoặc tệp đính kèm lạ trong email. Thứ hai là công cụ hữu ích giả, như chương trình chỉnh sửa video hay phần mềm diệt virus miễn phí. Thứ ba là các tiện ích bổ sung cài kèm theo phần mềm người dùng tải về. Spyware thường được cài bí mật kèm phần mềm miễn phí và phần mềm chia sẻ tải từ mạng, và thu thập được cả địa chỉ email, mật khẩu, số thẻ tín dụng.^{22 Phần mềm gián điệp (Wikipedia)} Trojan gián điệp còn ngụy trang thành chương trình hợp pháp, hữu ích để lừa người dùng cài đặt, sau đó bí mật cài thêm spyware hoặc mã độc khác. Vì thế, đừng vội tin một phần mềm “tiện ích” trông chính đáng.

Vào được máy rồi, spyware chia thành mấy nhóm với mục tiêu khác nhau. Password Stealers đánh cắp mật khẩu email, trình duyệt, Facebook; Banking Trojans nhắm thẳng vào ngân hàng và tài chính; Infostealers thu thập tên đăng nhập cùng lịch sử trình duyệt. Đáng lo nhất là Keylogger, loại ghi lại mọi phím người dùng gõ, nên mật khẩu, tin nhắn, thông tin thẻ tín dụng nhập vào đều có thể bị ghi lại và gửi cho kẻ xấu. Sinh viên gõ mật khẩu tài khoản học bổng hay thông tin thẻ để đóng học phí mỗi tuần mấy lần, nên đây không phải chuyện xa vời.

Một điều ít ai ngờ: spyware có thể có sẵn trong thiết bị ngay từ lúc mua. Công ty G Data từng phát hiện trojan gián điệp Usupay.D cài sẵn trên smartphone, lần đầu tiên họ thấy trojan trên sản phẩm di động. Con trojan này điều khiển từ xa nhiều tính năng, kích hoạt camera, lại nằm trong firmware nên rất khó xóa khỏi máy. Nghĩa là với những thiết bị giá rẻ không rõ nguồn gốc, nguy cơ không nằm ở tệp người dùng tải về mà nằm ngay trong máy. Khi mua laptop hay điện thoại, nên chọn nơi bán uy tín và kiểm tra máy ngay những ngày đầu, vì phần mềm lạ cài sẵn thường lộ dấu hiệu sớm.

Phát hiện phần mềm gián điệp laptop và xóa sạch

Cách loại bỏ spyware trên máy tính bắt đầu từ việc nhận ra máy có vấn đề. Dấu hiệu phổ biến nhất là máy chạy chậm, hay treo, hoạt động bất ổn định. Ngoài ra còn một loạt tín hiệu dễ bỏ qua: quảng cáo tự hiện cả khi chưa nối mạng, trang chủ trình duyệt tự đổi, phần mềm lạ tự cài mà không nhớ đã đồng ý. Lưu lượng mạng tăng đột ngột hay thanh công cụ lạ không xóa được cũng là dấu hiệu đáng ngờ.

Để phát hiện phần mềm gián điệp laptop đang ẩn, mở Trình quản lý tác vụ rồi xem mục các tiến trình đang chạy. Một chương trình không quen biết mà chiếm gần trọn thời lượng bộ xử lý là dấu hiệu điển hình. Thấy ứng dụng đáng ngờ thì quét ngay, đừng đợi đến khi máy hỏng hẳn.

Sao lưu xong, trình tự dọn máy như sau. Trước hết ngắt internet, vì nhiều spyware cần đường mạng để gửi dữ liệu đi hoặc nhận lệnh. Rồi gỡ các phần mềm đáng ngờ trong phần cài đặt của máy, dùng phần mềm diệt spyware quét toàn bộ, cuối cùng khôi phục trình duyệt về trạng thái ban đầu. Nếu nhớ chính xác thời điểm máy bắt đầu có vấn đề, chức năng System Restore đưa máy về thời điểm trước đó cũng là một lựa chọn.

Nhưng quét thường trực vẫn có thể bỏ sót những mã độc trùm kín trong hệ thống, đặc biệt là rootkit, loại truy cập sâu tới cấp root của hệ điều hành để che giấu spyware. Lúc này công cụ đáng tin nhất lại có sẵn trong Windows: Windows Defender Offline. Cách làm là mở ứng dụng Windows Security, chọn mục bảo vệ khỏi virus và mối đe dọa, nhấp vào phần tùy chọn quét, chọn dòng Windows Defender Offline rồi bấm quét. Máy sẽ tự khởi động lại và quét ngay từ lúc bật, trước khi mã độc kịp núp. Đây là cách phát hiện phần mềm gián điệp ẩn sâu mà các chương trình quét khi Windows đang chạy thường bỏ lỡ.

Sau lần quét đầu, nên khởi động lại máy rồi quét thêm một lần ở chế độ Safe Mode with Networking, chế độ chỉ tải các chương trình và trình điều khiển tối thiểu khiến mã độc dễ lộ diện hơn. Kinh nghiệm của những người xử lý mã độc cho thấy Malwarebytes và Spybot thường tìm ra những thứ các công cụ khác bỏ lỡ. Ngoài hai cái này, Avast, ESET với bản quét trực tuyến miễn phí, và Kaspersky cũng đáng cân nhắc khi quét lần hai. Tuy nhiên, đừng cài nhiều chương trình chống virus chạy thường trực trên cùng một laptop; cách đúng là quét máy bằng nhiều tiện ích khác nhau.

Cần phân biệt spyware thật với phần mềm học tập đang dùng. SUPERAntiSpyware có chế độ Custom Scan cho phép chọn quét riêng ổ flash, ổ cứng hay thư mục nghi ngờ thay vì toàn bộ máy. Dr.Web CureIt!, bản không cần cài đặt để được trên ổ flash, quét được từng nơi cụ thể như thư mục hệ thống, tệp tạm hay bộ nhớ. Trước khi gỡ tệp cài đặt của phần mềm học tập nào, nên tải tệp đó lên VirusTotal. Dịch vụ này thuộc Google Cloud, tổng hợp kết quả quét của hàng chục công cụ chống virus cho một tệp tin và chấm mức độ nguy hiểm. Nhờ vậy mà không lỡ tay xóa nhầm trình soạn thảo hay phần mềm học ngoại ngữ.

Còn nếu mọi cách đều bó tay thì sao? Khi mã độc đặc biệt khó gỡ, cách loại bỏ spyware trên máy tính chỉ còn hai phương án miễn phí. Một là chạy chương trình chống phần mềm độc hại để tìm và loại bỏ. Hai là đưa máy về tình trạng ban đầu của nhà sản xuất. Nếu không thật cần thiết, phương án chạy chương trình diệt phù hợp hơn, vì giữ nguyên được các phần mềm đã cài. Đưa máy về trạng thái xuất xưởng đồng nghĩa với mất hết phần mềm học tập và cài đặt cá nhân, nên chỉ chọn đường này khi quét mãi không sạch.

1. Sao lưu thư mục bài tập và dữ liệu quan trọng ra ổ ngoài
2. Ngắt kết nối internet trước khi quét
3. Gỡ các phần mềm đáng ngờ trong phần cài đặt của máy
4. Chạy quét toàn bộ bằng phần mềm diệt spyware như Malwarebytes
5. Khởi động lại máy và quét lần hai ở chế độ Safe Mode with Networking
6. Chạy Windows Defender Offline để quét rootkit ngay từ lúc bật máy
7. Khôi phục trình duyệt về trạng thái ban đầu
8. Dùng System Restore nếu nhớ chính xác thời điểm máy bắt đầu gặp vấn đề

Kiểm tra lại sau khi dọn máy

Dọn xong chưa phải là xong.

Kiểm tra lại là khâu cuối của việc phát hiện phần mềm gián điệp laptop, vì chỉ một mảnh mã độc cứng đầu còn sót cũng đủ gây lại mọi sự cố. Việc cần làm là khởi động lại máy và chạy kiểm tra thêm một lần nữa để tránh bị nhiễm lại.^{22 Phần mềm gián điệp (Wikipedia)}

Cách kiểm tra kỹ nhất là theo dõi mạng. Dấu hiệu điển hình của spyware là lưu lượng mạng tăng đột ngột không rõ lý do. Dọn máy xong, hãy để ý tốc độ mạng và quét lại vùng nghi ngờ nếu lưu lượng vẫn bất thường. Một máy vừa dọn xong mà vẫn “nói chuyện” liên tục khi không ai dùng là lý do rõ ràng để quét lại.

Về lâu dài, kiểm tra an toàn laptop sinh viên nằm ở vài thói quen nhỏ. Bật chức năng tự động cập nhật của Windows để hệ điều hành nhận các bản vá bảo mật.^{22 Phần mềm gián điệp (Wikipedia)} Chỉ tải phần mềm từ nguồn chính thống như trang chủ nhà phát triển hay cửa hàng ứng dụng, tránh các trang phần mềm lậu vì chúng thường chứa spyware. Không bấm vào liên kết hay tệp đính kèm trong email khi chưa được chương trình bảo mật kiểm tra, kể cả khi người gửi là bạn bè.^{11 Tự bảo vệ trước virus, spyware... (aptech.fpt.edu.vn)} Nên rà soát danh sách tiện ích mở rộng của trình duyệt, gỡ những cái không nhớ đã thêm vào, vì nhiều spyware cài ngầm dưới dạng này.

Tuy nhiên, đừng nghĩ cửa hàng ứng dụng lớn là an toàn tuyệt đối. Tháng 7/2023, hai ứng dụng quản lý tệp trên Google Play là File Recovery & Data Recovery và File Manager bị phát hiện là spyware với hơn 1,5 triệu lượt cài. Spyware lọt được cả vào kho ứng dụng chính thống, nên ngay cả khi tải từ nguồn uy tín, người dùng vẫn nên đọc phần quyền yêu cầu trước khi cài.

Những vụ lừa gần đây cho thấy mối đe dọa không dừng ở tệp tải về. Kẻ xấu giả danh cơ quan pháp luật, làm giả giấy triệu tập, gọi bằng số ảo có đầu số như +0096 hay +884 để dụ nạn nhân cài phần mềm. Ứng dụng giả mạo đòi hỏi nhiều quyền: gửi SMS, mở khóa thiết bị, bật tắt mạng, đọc danh bạ, đọc lịch sử cuộc gọi, gọi điện mà chủ máy không biết. Cài xong, tin nhắn và cuộc gọi đến máy nạn nhân bị chuyển ngầm về máy chủ kẻ xấu, không hiển thị trên điện thoại. Từ đó kẻ xấu khôi phục được mật khẩu ngân hàng, đăng ký Internet Banking, thay đổi hạn mức giao dịch, thậm chí chuyển tiền ra nước ngoài.

Hậu quả không phải chuyện giả định. Tháng 10, một người dùng Vietcombank bị kích hoạt VCB Digibank trên thiết bị khác và mất 406 triệu đồng, nghi do phần mềm gián điệp. Vụ cô giáo ở Nghệ An mất 1 tỷ đồng đã nói ở đầu bài cũng bắt nguồn từ một ứng dụng cài theo yêu cầu của kẻ mạo danh. Bộ Công an khẳng định chưa xây dựng ứng dụng trên điện thoại; tên miền chính thức chỉ là mps.gov.vn cùng bocongan.gov.vn, tên miền khác đều giả mạo. Ai lỡ cài nhầm cần nhanh chóng báo ngân hàng qua tổng đài hỗ trợ liên tục và trình báo cơ quan công an gần nhất.

Nếu mã độc cứng đầu đến mức các công cụ đều bó tay, vẫn còn đường nhờ người có kinh nghiệm trên các diễn đàn an ninh mạng như Bleeping Computer hay MajorGeeks, nơi nhiều người dùng được hướng dẫn từng bước xử lý. Kiểm tra an toàn laptop sinh viên không cần phần mềm đắt tiền: một chiếc máy sạch, một tài khoản hạn chế và thói quen đọc kỹ quyền yêu cầu trước khi cài. Ba thứ đó giữ cho những năm đại học không có buổi tối nào phải dựng lại toàn bộ dữ liệu.

Bài viết thuộc Góc đọc Xuân của Chúc Mừng Năm Mới.

Nguồn tham khảo

• Tự bảo vệ trước virus, spyware... (aptech.fpt.edu.vn) ↩^a ↩^b
• Phần mềm gián điệp (Wikipedia) ↩^a ↩^b ↩^c ↩^d ↩^e
• VirusTotal là gì? Khám phá công cụ phân tích mã độc và mối đe dọa mạng (iems.edu.vn)