Triệt phá đường dây phát tán mã độc xuyên quốc gia

Ngày 24/3, Công an tỉnh Thanh Hóa cho biết, vừa phối hợp với đơn vị nghiệp vụ thuộc Bộ Công an triệt phá đường dây phát tán mã độc toàn cầu.

Cơ quan công an khám xét tại nhà N.V. X (Ảnh: CATH).

Từ học sinh trở thành tội phạm

Đầu năm 2026, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) phối hợp Công an tỉnh Thanh Hóa phát hiện một đường dây phát tán mã độc nhằm đánh cắp dữ liệu người dùng Internet tại nhiều quốc gia.

Theo tài liệu điều tra ban đầu, khoảng năm 2023, N.V.X (tên đã được thay đổi), trú tại phường Hạc Thành, tỉnh Thanh Hóa, khi đó là học sinh lớp 12, đã tự học các ngôn ngữ lập trình như Python, C++ để viết chương trình chạy trên máy tính. Ban đầu, việc lập trình chỉ nhằm mục đích học hỏi, nghiên cứu và thử nghiệm các chương trình tin học đơn giản.

Đối tượng Phan Xuân Anh bị bắt giữ để điều tra (Ảnh: CATH).

Trong quá trình tìm hiểu sâu về cấu trúc hệ điều hành và cách lưu trữ dữ liệu trên máy tính, N.V.X nảy sinh ý định xây dựng các đoạn mã có khả năng truy cập dữ liệu lưu trong trình duyệt web của người dùng.

Đến năm 2024, đối tượng đã lập trình thành công bộ mã nguồn có chức năng đánh cắp dữ liệu từ máy tính và tìm cách vượt qua các lớp bảo vệ cơ bản của hệ điều hành. Bằng việc sử dụng các ngôn ngữ lập trình như Python và C++, X tạo ra các tệp mã nguồn có khả năng thu thập dữ liệu lưu trên trình duyệt như cookies đăng nhập, mật khẩu đã lưu, dữ liệu tự động điền và nhiều thông tin nhạy cảm khác.

Các đoạn mã sau khi hoàn thiện sẽ tự động quét thư mục lưu trữ dữ liệu của trình duyệt, đóng gói dữ liệu thu thập được thành tệp tin và gửi về máy chủ do đối tượng thiết lập.

Tháng 7/2024, thông qua mạng xã hội Telegram, X quen biết Lê Thành Công (SN 1998, trú tại Hà Tĩnh) và được người này đặt vấn đề nhờ phát triển mã độc để phát tán nhằm thu thập thông tin nhạy cảm lưu trên trình duyệt máy tính người dùng, chủ yếu là cookies và thông tin đăng nhập Facebook để bán kiếm tiền.

Sau khi thống nhất, X lập trình các file mã độc, nén thành file ZIP rồi chuyển cho Công phát tán. Dữ liệu đánh cắp từ máy tính nạn nhân sau đó tự động gửi về các hệ thống bot Telegram do các đối tượng thiết lập và quản lý.

Theo tài liệu điều tra, dữ liệu từ các máy tính nhiễm mã độc được chuyển tới các kênh Telegram như “STC New Logs”, “STC Notification”, “STC Reset Logs”, để các đối tượng theo dõi, tải xuống, phân loại và tiếp tục khai thác.

Lãnh đạo giám đốc Công an tỉnh Thanh Hóa làm việc với một trong số các đối tượng. (Ảnh: CATH).

Sau một thời gian hợp tác nhưng hiệu quả không cao, Lê Thành Công đã giới thiệu N.V.X cho Phan Xuân Anh (SN 2005, trú tại tỉnh Nghệ An), sử dụng tài khoản Telegram "Mr Bean", để hai bên tiếp tục hợp tác trong việc phát triển và phát tán mã độc.

Sau khi tiếp cận với N.V.X, đối tượng Phan Xuân Anh đặt vấn đề nhờ lập trình một loại mã độc mới có tên "PXA Stealers" với chức năng đánh cắp thông tin trên máy tính và chiếm quyền quản trị máy tính của nạn nhân. Hai bên thỏa thuận, X sẽ hưởng 15% trên tổng số lợi nhuận thu được từ việc khai thác dữ liệu đánh cắp.

Để tăng hiệu quả xâm nhập và kiểm soát máy tính của nạn nhân, các đối tượng còn mua thêm mã nguồn của một phần mềm điều khiển từ xa có tên Pure RAT để tích hợp vào chương trình mã độc do X phát triển. Khi người dùng mở tệp chứa mã độc, chương trình sẽ tự động cài đặt vào máy tính và đồng thời cài đặt cả phần mềm điều khiển từ xa, cho phép các đối tượng truy cập và điều khiển máy tính của nạn nhân từ xa.

Khoảng tháng 11/2024, thông qua sự giới thiệu của Phan Xuân Anh, Nguyễn Thành Trường (sử dụng tài khoản Telegram "Adonis") đã liên hệ, trao đổi và "đặt hàng" với X xây dựng một mã độc đặt tên là Adonis (viết tắt là AND) với giá 500 USD, có cùng tính năng như mã độc PXA Stealers.

Trường thống nhất sẽ chia lợi nhuận từ việc khai thác dữ liệu thu thập được cho X từ 50 - 100 USDT/mỗi lần kiếm được tiền từ việc khai thác dữ liệu thu được. Sau khi tạo lập xong mã độc X đã chuyển cho Trường để sử dụng vào mục đích vi phạm pháp luật.

Tang vật liên quan đến vụ án được cơ quan chức năng thu giữ được. (Ảnh: CATH).

Phát tán mã độc xuyên quốc gia

Theo cơ quan điều tra, phần lớn các máy tính bị nhiễm mã độc thuộc về người dùng Internet tại nhiều quốc gia trên thế giới, chủ yếu tại các nước ở châu Âu, châu Mỹ và một số quốc gia châu Á.

Để phát tán mã độc trên diện rộng, các đối tượng sử dụng máy tính cá nhân kết hợp với các phần mềm hỗ trợ gửi thư điện tử hàng loạt để phát tán các email có đính kèm tệp chứa mã độc. Các email này được gửi đến nhiều địa chỉ thư điện tử của người dùng Internet tại các quốc gia khác nhau trên thế giới.

Ngoài ra, các đối tượng còn thu thập và mua lại danh sách địa chỉ email của người dùng trên các diễn đàn mua bán dữ liệu trên mạng, sau đó sử dụng các công cụ tự động để gửi hàng loạt email chứa mã độc tới các địa chỉ này. Khi người nhận tải tệp đính kèm về máy tính và mở tệp, mã độc sẽ được kích hoạt và tự động cài đặt vào hệ thống.

Đáng chú ý, các tệp chứa mã độc thường được thiết kế có biểu tượng giống các tệp tài liệu thông thường như file PDF hoặc văn bản nhằm đánh lừa người sử dụng. Tuy nhiên thực chất đây là các tệp thực thi có đuôi ".exe".

Ngoài ra, thông qua phần mềm điều khiển từ xa đã được cài đặt sẵn, các đối tượng còn sử dụng máy chủ ảo (VPS) để truy cập trực tiếp vào các máy tính bị nhiễm mã độc, từ đó chiếm quyền điều khiển máy tính của nạn nhân và tiếp tục khai thác dữ liệu.

Theo cơ quan điều tra, đã có hơn 94.000 máy tính của người dùng tại nhiều quốc gia trên thế giới bị nhiễm các loại mã độc do nhóm đối tượng này phát tán. Từ các dữ liệu đánh cắp được, các đối tượng chủ yếu khai thác các tài khoản mạng xã hội, đặc biệt là các tài khoản Facebook có chức năng chạy quảng cáo.

Sau khi chiếm quyền kiểm soát các tài khoản này, các đối tượng sử dụng chúng để chạy quảng cáo bán hàng trực tuyến trên gian hàng Betamax và hưởng hoa hồng hoặc có thể bán thông tin tài khoản Facebook của nạn nhân cho bên thứ 3 để thu lợi bất chính. Bước đầu cơ quan điều tra xác định, các đối tượng trong đường dây đã thu lợi bất chính hàng chục tỷ đồng từ việc lập trình và chỉnh sửa mã độc.

Cơ quan An ninh điều tra Công an tỉnh Thanh Hóa đã khởi tố vụ án, khởi tố 12 bị can về tội "Sản xuất, mua bán, trao đổi hoặc tặng cho công cụ, máy tính, phần mềm để sử dụng vào mục đích trái pháp luật" và tội "Xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác".

Hiện vụ án đang tiếp tục được điều tra mở rộng.

Phúc Tuấn