Hàng trăm triệu người Trung Quốc đang tăng cường sử dụng smartphone để mua mọi thứ, từ túi xách thiết kế đến món ăn đường phố. “Trái tim” của cuộc bùng nổ thanh toán di động tại đây chính là mã QR, những hình ảnh hai chiều được tạo ra từ vô số ô vuông nhỏ đen trắng.

Tại Mỹ và châu Âu, mã QR (viết tắt của ‘quick response’ – phản ứng nhanh) chưa bao giờ thực sự cất cánh. Chúng chỉ dần phổ biến trong ứng dụng mạng xã hội như Snapchat, Facebook và Spotify khi yêu cầu người dùng quét mã vạch để mở khóa bộ lọc, kết bạn hay truy cập danh sách chơi nhạc.

Song, tại Trung Quốc, QR có mặt khắp nơi, chúng được dùng bởi đủ mọi thành phần, từ nhà bán lẻ lớn, chợ vỉa hè hay thậm chí cả ăn xin và hát rong. Theo Sen Wei, Phó Giám đốc một viện nghiên cứu về mã QR, thị trường QR ở đây vô cùng khổng lồ và vẫn đang tăng trưởng. Ông ước tính năm 2016 có hơn 1,65 nghìn tỷ USD giao dịch dùng mã QR, chiếm khoảng 1/3 tất cả thanh toán di động ở nước này.

WeChat Pay của Tencent và Alipay của Aibaba là các ứng dụng thanh toán di động thống trị. Mọi người dùng chúng để trả tiền mua hàng bằng cách quét mã QR hay trưng mã cá nhân cho thu ngân. Tiền được rút từ ví di động liên kết với tài khoản ngân hàng.

“Nếu không làm, bạn sẽ thua cuộc”

Talos xác nhận rằng mặc dù bản thực thi được tải xuống đã được ký bằng chữ ký số của Symantec nhưng CCleaner không phải là ứng dụng duy nhất có trong quá trình tải xuống. Trong quá trình cài đặt CCleaner v5.33 cũng đã tải xuống một payload độc hại có thể đánh cắp dữ liệu từ máy tính bị ảnh hưởng và gửi về cho máy chủ C&C. Bên cạnh đó, mã độc bao gồm chức năng Domain Generation Algorithm (DGA) để nếu máy chủ của kẻ tấn công bị sập, DGA có thể tạo ra các tên miền mới để nhận và gửi thông tin bị đánh cắp.

Theo xác nhận của Piriform: “Tất cả các thông tin thu thập được được mã hóa base64, sau đó được gửi đến một địa chỉ external IP 216.126.x.x (địa chỉ này đã được mã hóa cứng trong payload và chúng tôi đã cố tình che dấu hai octet cuối cùng ở đây) thông qua HTTPS POST request”.

Phần mềm sử dụng chứng thư số do Symantec cấp, do đó các máy tính sẽ tự động tin tưởng vào phần mềm này.

Cả Avast và Piriform đều xác nhận rằng phiên bản Windows 32-bit của CCleaner v5.33.6162 và CCleaner Cloud v1.07.3191 đã bị ảnh hưởng bởi mã độc.

Phiên bản bị ảnh hưởng (v5.33) đã được phát hành vào ngày 15/8/2017, chứng thư số hợp lệ đã được cấp cho Piriform Ltd bởi Symantec và có hiệu lực đến 10/10/2018. Phiên bản v5.34 đã được phát hành vào ngày 12/9/2017.