Cách phát hiện máy tính đang bị khai thác đào coin trộm

Máy tính bị đào coin trộm (cryptojacking) thường có ba biểu hiện rõ: CPU hoặc card đồ họa luôn ở mức tải cao dù bạn không làm gì nặng, quạt chạy ầm ĩ và máy nóng bất thường, kèm theo đó là pin tụt nhanh hoặc hóa đơn điện, hóa đơn đám mây tăng. Kiểm tra Task Manager hay Activity Monitor để tìm tiến trình chiếm tài nguyên, rà soát tiện ích trình duyệt và các tác vụ khởi động là cách nhanh nhất để xác nhận.

Cryptojacking là gì

Đào tiền mã hóa cần rất nhiều sức tính toán, đồng nghĩa với tiền điện và phần cứng. Cryptojacking là việc kẻ xấu lén dùng máy của người khác để đào, hưởng phần thưởng mà không trả chi phí. Khác với mã độc tống tiền hay đánh cắp dữ liệu, mã đào coin muốn ở lại càng lâu càng tốt, nên nó cố gắng không gây sự chú ý quá mức.

Có hai hình thức chính:

• Dựa trên tệp: chương trình đào được cài vào máy qua phần mềm lậu, tệp đính kèm, lỗ hổng máy chủ.
• Dựa trên trình duyệt: đoạn script chạy khi bạn mở một trang web hoặc qua tiện ích trình duyệt, chỉ đào trong lúc trang còn mở.

Dấu hiệu trên máy tính cá nhân

• Quạt quay mạnh ngay cả khi máy đang rảnh hoặc chỉ mở trình soạn thảo.
• Máy nóng, laptop hết pin nhanh hơn hẳn trước.
• Hệ thống ì ạch, ứng dụng phản hồi chậm.
• Game giảm khung hình rõ rệt vì card đồ họa đang bị chia sẻ.
• Mức tải giảm ngay khi bạn mở Task Manager, rồi tăng lại khi đóng: một số mã đào tự tạm dừng khi phát hiện công cụ giám sát.

Những dấu hiệu này đôi khi trùng với phần mềm hợp lệ đang cập nhật hay lập chỉ mục. Điểm khác biệt là tình trạng kéo dài nhiều ngày và không gắn với hoạt động cụ thể nào.

Kiểm tra từng bước

Bước 1: Xem tiến trình tiêu tốn tài nguyên

Trên Windows, mở Task Manager, sắp xếp theo CPU và GPU. Trên macOS, dùng Activity Monitor. Trên Linux, dùng top hoặc htop. Chú ý tiến trình có tên lạ, tên giả mạo tiến trình hệ thống nhưng chạy từ thư mục người dùng hoặc thư mục tạm, hoặc tiến trình có mức CPU cao liên tục.

Bước 2: Kiểm tra vị trí tệp

Nhấp chuột phải vào tiến trình để mở vị trí tệp. Tiến trình hệ thống thật nằm trong thư mục hệ thống; một "svchost" chạy từ AppData là dấu hiệu đáng ngờ.

Bước 3: Rà soát khởi động và tác vụ định kỳ

Mã đào cần tự chạy lại sau khi khởi động. Kiểm tra danh sách ứng dụng khởi động, Task Scheduler, và trên Linux là crontab, dịch vụ systemd.

Bước 4: Xem kết nối mạng

Mã đào liên lạc với pool đào để nhận việc và gửi kết quả. Kết nối liên tục tới cổng lạ hoặc tên miền chứa từ "pool", "mine" là dấu hiệu. Tường lửa có ghi nhật ký giúp phát hiện điều này.

Bước 5: Kiểm tra trình duyệt

Mở trình quản lý tác vụ của trình duyệt (Chrome và Edge có sẵn) để xem tab hoặc tiện ích nào dùng CPU cao. Gỡ tiện ích không rõ nguồn gốc. Nếu máy chỉ nóng khi mở một trang web nhất định, trang đó có thể chứa script đào.

Dấu hiệu trên máy chủ và hạ tầng đám mây

Máy chủ là mục tiêu béo bở hơn máy cá nhân vì cấu hình mạnh và chạy liên tục. Dấu hiệu thường gặp:

Kẻ tấn công thường vào qua dịch vụ quản trị để lộ ra Internet, mật khẩu yếu, hoặc khóa truy cập đám mây vô tình đẩy lên kho mã công khai. Vấn đề khóa bị lộ được bàn kỹ trong bài bảo mật tệp cấu hình nhạy cảm. Nếu phát hiện mã đào trên máy chủ, hãy coi như máy đã bị xâm nhập toàn diện, vì kẻ đã cài được mã đào cũng có thể đã cài backdoor; xem thêm dấu hiệu hệ thống bị cài backdoor.

Phân biệt với nguyên nhân hợp lệ

Không phải lúc nào CPU cao cũng là đào coin. Windows Update, lập chỉ mục tìm kiếm, phần mềm diệt virus quét toàn bộ, đồng bộ ảnh lên đám mây hay trình duyệt mở quá nhiều tab đều có thể khiến máy nóng. Cách phân biệt đơn giản là quan sát tên tiến trình và thời gian: tác vụ hợp lệ thường có tên quen thuộc, kết thúc sau một khoảng thời gian, còn mã đào chạy liên tục ngày này qua ngày khác, đôi khi chỉ chạy khi máy rảnh để bạn không để ý. Nếu không chắc, tra tên tiến trình kèm đường dẫn tệp trên công cụ tìm kiếm hoặc quét riêng tệp đó.

Tác hại không chỉ là máy chậm

• Phần cứng xuống cấp nhanh do chạy nóng liên tục, pin laptop chai sớm.
• Tiền điện và chi phí đám mây tăng, có khi rất lớn với tài khoản doanh nghiệp.
• Lỗ hổng cho phép cài mã đào cũng cho phép cài mã độc khác.
• Hiệu suất dịch vụ giảm, ảnh hưởng người dùng thật.

Loại bỏ mã đào coin

1. Ngắt mạng nếu nghi là mã độc dựa trên tệp.
2. Kết thúc tiến trình đáng ngờ, xóa tệp thực thi và mục khởi động liên quan.
3. Quét toàn bộ bằng phần mềm chống mã độc đã cập nhật; nhiều sản phẩm phân loại mã đào là PUA hoặc mã độc.
4. Gỡ tiện ích trình duyệt đáng ngờ, xóa dữ liệu trang web.
5. Với máy chủ: thu hồi khóa truy cập, đổi mật khẩu, vá lỗ hổng, cân nhắc dựng lại máy từ ảnh sạch.

Phòng ngừa

• Không cài phần mềm crack, bản "mod" game: đây là nguồn mã đào phổ biến.
• Dùng trình chặn quảng cáo, chặn script uy tín trên trình duyệt.
• Cập nhật hệ điều hành và phần mềm máy chủ.
• Đặt cảnh báo ngân sách và cảnh báo CPU trên tài khoản đám mây.
• Thiết lập quét định kỳ theo hướng dẫn trong bài lịch quét virus định kỳ.