Nhận diện các đường dẫn tải tệp tin chứa mã độc đính kèm

Một đường dẫn tải tệp chứa mã độc thường có ít nhất một trong các đặc điểm: tên miền không khớp với tổ chức gửi, link bị rút gọn hoặc che giấu, tệp tải về có đuôi thực thi hoặc đuôi kép, và lời nhắn đi kèm tạo áp lực phải mở ngay. Ngày nay kẻ tấn công ít đính kèm tệp trực tiếp vì bộ lọc email chặn tốt hơn, nên chúng chuyển sang gửi link tải từ dịch vụ lưu trữ đám mây, trang giả mạo hoặc website hợp pháp bị chiếm quyền.

Vì sao kẻ tấn công chuyển từ tệp đính kèm sang đường dẫn

Tệp đính kèm đi qua máy chủ email nên bị quét. Đường dẫn thì khác: nội dung chỉ được tải về khi người dùng bấm, và tệp nằm trên máy chủ khác, có thể được thay đổi sau khi email đã qua bộ lọc. Kẻ tấn công còn có thể chỉ phục vụ tệp độc cho địa chỉ IP thuộc khu vực mục tiêu, còn với công cụ quét thì trả về trang vô hại.

Đường dẫn cũng dễ lan qua nhiều kênh hơn: tin nhắn Zalo, Messenger, Telegram, bình luận mạng xã hội, mã QR in trên giấy. Vì vậy kỹ năng nhận diện link quan trọng ngang với kỹ năng nhận diện tệp.

Đọc đường dẫn: những điểm cần soi

Tên miền thật nằm ở đâu

Tên miền thật là phần ngay trước dấu gạch chéo đầu tiên sau "https://", đọc từ phải sang trái. Ví dụ dạng tenngan-hang.com.dangnhap-xacminh.net thực chất thuộc tên miền dangnhap-xacminh.net, không phải ngân hàng. Kẻ gian thường đặt tên thương hiệu ở đầu để đánh lừa mắt.

Tên miền na ná

• Thay chữ bằng số hoặc ký tự giống nhau: "o" thành "0", "l" thành "1", "rn" thay "m".
• Thêm từ: "-support", "-secure", "-verify".
• Đổi đuôi tên miền: .com thành .co, .net, hoặc đuôi lạ.
• Dùng ký tự từ bảng chữ cái khác trông giống chữ Latin.

Link rút gọn và chuyển hướng

Dịch vụ rút gọn link che mất đích đến. Nhiều dịch vụ cho phép xem trước bằng cách thêm ký tự vào cuối link hoặc dùng công cụ mở rộng link. Chuỗi chuyển hướng qua nhiều trang trung gian cũng là dấu hiệu đáng ngờ.

Dịch vụ chia sẻ tệp hợp pháp bị lạm dụng

Link tới dịch vụ lưu trữ đám mây quen thuộc không đồng nghĩa với an toàn. Kẻ tấn công tạo tài khoản miễn phí, tải mã độc lên và gửi link. Hãy tự hỏi: người gửi có lý do gì để chia sẻ tệp qua dịch vụ này? Bạn có đang chờ tệp đó không?

Nhận diện tệp sắp tải về

Cẩn thận với đuôi kép như "HoaDon.pdf.exe". Windows mặc định ẩn đuôi tệp đã biết, nên bạn chỉ thấy "HoaDon.pdf". Bật hiển thị phần mở rộng tệp trong File Explorer là thay đổi nhỏ nhưng rất hữu ích.

Ngữ cảnh: tín hiệu quan trọng nhất

Kỹ thuật kiểm tra link có giới hạn, còn ngữ cảnh thì luôn có giá trị. Những tín hiệu cần dừng lại:

• Tin nhắn gấp gáp: "hóa đơn quá hạn", "tài khoản sắp bị khóa", "giấy triệu tập".
• Người quen gửi link kèm lời nhắn chung chung, khác văn phong thường ngày.
• Tệp bạn không hề yêu cầu: hồ sơ ứng viên khi bạn không tuyển dụng, hóa đơn từ nhà cung cấp bạn không dùng.
• Yêu cầu tắt phần mềm diệt virus hoặc bật macro "để xem nội dung".
• Lời mời tải phần mềm miễn phí, bản crack, công cụ hack.

Cách kiểm tra trước khi tải

1. Di chuột lên link (trên máy tính) hoặc nhấn giữ (trên điện thoại) để xem địa chỉ thật mà không mở.
2. Xác minh với người gửi qua kênh khác, như gọi điện, nếu link đến từ người quen.
3. Dán link vào dịch vụ quét URL uy tín để xem đánh giá, nhớ rằng kết quả sạch chưa chắc an toàn tuyệt đối.
4. Nếu đã tải, quét tệp trước khi mở. Với tệp đáng ngờ có giá trị, mở trong môi trường cách ly theo bài sử dụng sandbox phân tích phần mềm lạ.

Trên điện thoại cần chú ý gì thêm

Màn hình nhỏ khiến việc đọc đường dẫn khó hơn, và trình duyệt di động thường rút gọn thanh địa chỉ chỉ còn tên miền. Đây vừa là điểm lợi vừa là điểm hại: bạn thấy tên miền rõ hơn, nhưng dễ bỏ qua vì đã quen bấm nhanh. Trên Android, cảnh báo "cho phép cài ứng dụng từ nguồn này" là tín hiệu đỏ rõ nhất: một trang web hay ứng dụng chat không có lý do gì để cài phần mềm cho bạn. Trên iPhone, hãy cảnh giác với yêu cầu cài "cấu hình" (profile) hoặc ứng dụng qua đường phân phối doanh nghiệp, vì đây là cách vượt qua App Store.

Tin nhắn SMS giả danh thương hiệu cũng ngày càng phổ biến, đôi khi xuất hiện ngay trong luồng tin nhắn thật của ngân hàng do kẻ gian dùng thiết bị phát sóng giả. Vì vậy, nguyên tắc an toàn nhất vẫn là không bấm link trong tin nhắn liên quan đến tài khoản, mà tự mở ứng dụng chính thức để kiểm tra.

Lỡ bấm vào thì làm gì

Bấm vào link chưa chắc đã nhiễm; nguy cơ lớn nằm ở bước mở tệp tải về hoặc nhập thông tin. Nếu chỉ mở trang mà không tải gì, hãy đóng tab, xóa tệp nếu trình duyệt đã tự tải. Nếu đã chạy tệp, ngắt mạng và làm theo quy trình trong bài cách ly và loại bỏ malware. Nếu đã nhập mật khẩu vào trang lạ, đổi mật khẩu ngay từ thiết bị khác và bật xác thực hai yếu tố.