Infostealer là loại mã độc chuyên lấy dữ liệu đăng nhập trên máy nạn nhân: mật khẩu trình duyệt đã lưu, cookie phiên đăng nhập, thông tin thẻ, ví tiền mã hóa. Dữ liệu này được đóng gói thành các "log" rồi rao bán theo lô trên chợ ngầm, nên tài khoản của bạn có thể bị chiếm dù bạn chưa từng bấm vào trang đăng nhập giả nào. Nguy hiểm nhất là cookie phiên: kẻ gian dùng nó để vào thẳng tài khoản mà không cần mật khẩu hay mã xác thực hai lớp.
Bài viết giải thích cơ chế ở góc độ nhận thức và phòng thủ, không đi vào chi tiết kỹ thuật có thể bị lạm dụng.
Infostealer khác gì những mã độc khác
Phần lớn người dùng hình dung mã độc là thứ làm máy chậm, hiện quảng cáo hoặc khóa dữ liệu đòi tiền chuộc. Infostealer thì ngược lại: nó cố gắng im lặng nhất có thể. Nhiều mẫu chỉ chạy vài giây, quét các thư mục chứa dữ liệu trình duyệt và ứng dụng, gửi kết quả về máy chủ của kẻ điều khiển rồi tự xóa. Nạn nhân thường không nhận ra gì cho tới khi tài khoản mạng xã hội bị đổi mật khẩu, ví tiền mã hóa bị rút sạch hoặc công ty phát hiện có người lạ đăng nhập vào hệ thống.
Infostealer cũng là "khâu đầu vào" của nhiều loại tội phạm khác. Thông tin đăng nhập VPN công ty hay tài khoản quản trị đám mây lấy được từ máy một nhân viên có thể được bán lại cho các nhóm chuyên tấn công doanh nghiệp, trong đó có các băng nhóm ransomware cho thuê. Vì vậy các báo cáo điều tra sự cố lớn những năm gần đây thường nhắc tới infostealer ở bước đầu tiên của chuỗi tấn công.
Mã độc đến từ đâu
Infostealer hiếm khi "tự chui vào" máy. Nó đi theo những thứ chính người dùng tải về và chạy. Các con đường phổ biến được giới bảo mật cảnh báo nhiều lần gồm:
- Phần mềm bẻ khóa, bản crack, công cụ kích hoạt: người dùng chủ động tắt phần mềm diệt virus theo "hướng dẫn cài đặt", tạo điều kiện hoàn hảo cho mã độc.
- Quảng cáo giả trên kết quả tìm kiếm: kẻ gian mua quảng cáo mang tên phần mềm phổ biến, dẫn tới trang tải xuống trông giống hệt trang chính thức.
- Tệp đính kèm và lời mời hợp tác: tệp "hợp đồng", "báo giá", "tài liệu tài trợ" thực chất là chương trình chạy được, thường được gửi kèm câu chuyện thúc giục mở ngay. Đây là một dạng tấn công tâm lý quen thuộc.
- Bản mod game, công cụ gian lận, tiện ích mở rộng trình duyệt lạ: nhắm vào người chơi trẻ tuổi, vốn thường lưu sẵn đăng nhập ví điện tử và tài khoản game có giá trị.
- Trang "xác minh bạn không phải robot" giả: yêu cầu người dùng tự dán và chạy một lệnh lạ trên máy. Không có dịch vụ hợp pháp nào yêu cầu làm việc này.
Một "log" chứa những gì
Trong giới tội phạm mạng, "log" là gói dữ liệu lấy được từ một máy bị nhiễm. Nội dung cụ thể khác nhau theo từng họ mã độc, nhưng thường có các nhóm sau:
| Loại dữ liệu | Kẻ gian dùng để làm gì |
|---|---|
| Mật khẩu đã lưu trong trình duyệt | Đăng nhập email, mạng xã hội, tài khoản công ty; thử lại cùng mật khẩu ở dịch vụ khác |
| Cookie và mã phiên đăng nhập | Mở tài khoản đang đăng nhập sẵn mà không qua bước nhập mật khẩu hay mã OTP |
| Thông tin thẻ và địa chỉ tự điền | Mua hàng gian lận, lừa đảo có đủ thông tin cá nhân để tạo lòng tin |
| Ví tiền mã hóa và tệp khôi phục | Rút tài sản ngay lập tức, không thể hoàn tác |
| Thông tin máy: hệ điều hành, địa chỉ IP, phần mềm cài đặt | Giả lập thiết bị của nạn nhân để vượt qua cảnh báo "đăng nhập lạ" |
Các log được rao bán theo lô trên kênh nhắn tin và diễn đàn ngầm, thường kèm công cụ lọc theo tên miền: người mua chỉ cần tìm những log có tài khoản ngân hàng, sàn tiền mã hóa hay hệ thống của một công ty cụ thể. Bên bán mã độc cũng vận hành như dịch vụ thuê bao, có bảng điều khiển, cập nhật và hỗ trợ khách hàng, tương tự mô hình RaaS.
Vì sao cookie phiên vượt qua cả xác thực hai lớp
Khi bạn đăng nhập thành công, kể cả có nhập mã xác thực hai lớp, máy chủ sẽ cấp cho trình duyệt một "vé vào cửa" là cookie phiên để bạn không phải đăng nhập lại mỗi lần mở trang. Ai có được chiếc vé đó thì về cơ bản được hệ thống coi là bạn, cho tới khi phiên hết hạn hoặc bị thu hồi. Xác thực hai lớp bảo vệ bước đăng nhập, còn infostealer lấy thứ được tạo ra sau bước đó.
Một ví dụ được biết đến rộng rãi là vụ kênh YouTube của Linus Tech Tips bị chiếm vào tháng 3/2023: một nhân viên mở tệp giả dạng tài liệu hợp tác tài trợ, mã độc lấy mã phiên đăng nhập và kẻ gian dùng nó để vào kênh mà không cần mật khẩu. Ở quy mô doanh nghiệp, năm 2024 hãng Mandiant cho biết các vụ truy cập trái phép vào tài khoản khách hàng của nền tảng dữ liệu đám mây Snowflake phần lớn dùng thông tin đăng nhập bị infostealer đánh cắp từ trước, trên những tài khoản không bật xác thực đa yếu tố.
Các họ infostealer và những lần bị triệt phá
Thị trường infostealer có các "thương hiệu" thay nhau nổi lên. RedLine và META từng được bán rộng rãi theo dạng thuê bao; tháng 10/2024, cảnh sát Hà Lan phối hợp với FBI và nhiều cơ quan khác công bố chiến dịch triệt phá hạ tầng của hai họ mã độc này, đồng thời Mỹ truy tố một người bị cáo buộc là nhà phát triển RedLine. Tháng 5/2025, bộ phận chống tội phạm số của Microsoft cùng Bộ Tư pháp Mỹ, Europol và các đối tác thu giữ hàng nghìn tên miền điều khiển Lumma, họ infostealer phổ biến bậc nhất lúc đó; Microsoft cho biết đã phát hiện hàng trăm nghìn máy Windows bị nhiễm Lumma chỉ trong khoảng hai tháng trước chiến dịch.
Những chiến dịch này làm gián đoạn đáng kể, nhưng kinh nghiệm cho thấy các nhóm thường xây lại hạ tầng hoặc khách hàng chuyển sang "thương hiệu" khác. Với người dùng, điều quan trọng không phải là nhớ tên từng họ mã độc mà là hiểu chúng cùng đi theo một số con đường lây nhiễm quen thuộc.
Giảm rủi ro: những việc nên làm
- Không cài phần mềm crack, bản mod, công cụ không rõ nguồn gốc. Đây là nguồn lây phổ biến nhất. Tải phần mềm từ trang chủ nhà phát triển hoặc kho ứng dụng chính thức, và cẩn thận với kết quả tìm kiếm có nhãn quảng cáo.
- Chuyển sang passkey hoặc khóa bảo mật vật lý cho email và tài khoản quan trọng. Xác thực không mật khẩu loại bỏ mật khẩu để lấy cắp và chống được trang đăng nhập giả.
- Hạn chế lưu mật khẩu quan trọng ngay trong trình duyệt trên máy dùng chung hoặc máy có cài phần mềm lạ; dùng trình quản lý mật khẩu có mật khẩu chính và khóa tự động.
- Đăng xuất phiên từ xa khi nghi ngờ: hầu hết dịch vụ lớn có mục xem thiết bị đang đăng nhập và "đăng xuất khỏi mọi thiết bị". Đổi mật khẩu thôi chưa đủ nếu phiên cũ chưa bị thu hồi ở một số dịch vụ.
- Tách máy tính làm việc và máy giải trí nếu có thể. Ví tiền mã hóa giá trị lớn nên để trên ví phần cứng thay vì tiện ích trình duyệt.
- Khi máy đã nhiễm: ngắt mạng, dùng một thiết bị sạch khác để đổi mật khẩu và thu hồi phiên của các tài khoản quan trọng trước, rồi mới xử lý máy bị nhiễm (tốt nhất là cài lại hệ điều hành). Báo ngay cho ngân hàng và bộ phận IT nếu là máy công việc.
Thông tin bị đánh cắp có thể được rao bán và dùng lại nhiều tháng sau, vì vậy hãy coi những tài khoản từng đăng nhập trên máy nhiễm là đã lộ. Bài quản lý dấu vết số giúp bạn rà lại những nơi đang lưu thông tin của mình.
Câu hỏi thường gặp
Máy tôi có phần mềm diệt virus thì có bị infostealer không?
Vẫn có thể. Các họ infostealer thay đổi liên tục để né phát hiện, và nhiều vụ lây nhiễm xảy ra khi chính người dùng tắt phần mềm diệt virus để cài bản crack. Phần mềm bảo vệ giảm rủi ro chứ không thay được thói quen tải phần mềm từ nguồn chính thức.
Đã bật xác thực hai lớp sao tài khoản vẫn bị chiếm?
Rất có thể kẻ gian dùng cookie phiên đăng nhập lấy từ máy bạn. Cookie này được tạo sau khi bạn đã qua bước xác thực hai lớp, nên kẻ gian vào thẳng tài khoản. Hãy đăng xuất khỏi mọi thiết bị trong phần cài đặt bảo mật, đổi mật khẩu và kiểm tra máy.
Làm sao biết thông tin của mình có nằm trong các log bị rao bán?
Bạn không thể kiểm tra trực tiếp các chợ ngầm và không nên thử. Dấu hiệu thường gặp là cảnh báo đăng nhập lạ, email đổi mật khẩu bạn không yêu cầu, hoặc dịch vụ kiểm tra rò rỉ dữ liệu uy tín báo email của bạn xuất hiện trong một vụ lộ. Khi nghi ngờ, hãy xử lý như thể đã bị lộ.
Điện thoại có bị infostealer không?
Có các mã độc đánh cắp dữ liệu trên điện thoại, thường đi kèm ứng dụng cài ngoài kho chính thức hoặc ứng dụng giả mạo cơ quan, ngân hàng. Chỉ cài ứng dụng từ kho chính thức, không cấp quyền trợ năng cho ứng dụng lạ và cảnh giác với đường link gửi qua tin nhắn.
Lưu ý: Bài viết mang tính giáo dục, giúp bạn hiểu rủi ro và tự bảo vệ. Thế Giới Ngầm không hướng dẫn truy cập trái phép, mua bán hàng cấm hay bất kỳ hành vi vi phạm pháp luật nào.
