Keylogger: Khi gõ phím cũng có thể dẫn đến mất tiền

Keylogger là gì?

Keylogger (hay keystroke logger) là loại phần mềm hoặc phần cứng ghi lại mọi thao tác bàn phím của người dùng mà không cần sự cho phép. Công cụ này có thể được sử dụng cho cả mục đích hợp pháp và phi pháp. Nhưng trong lĩnh vực tiền mã hóa (crypto), keylogger thường bị hacker lợi dụng để đánh cắp thông tin quan trọng như mật khẩu, seed phrase, mã xác thực 2FA và private key.

Keylogger có thể ẩn mình hoàn toàn trong hệ thống và thu thập dữ liệu trong nhiều ngày, nhiều tháng mà nạn nhân không hề hay biết. Chỉ cần một lần nhập seed phrase trên thiết bị bị nhiễm keylogger, toàn bộ tài sản của bạn có thể bị rút sạch mà không thể khôi phục được.

Chính vì khả năng hoạt động bí mật và hiệu quả, keylogger trở thành một trong những công cụ phổ biến nhất trong các cuộc tấn công mạng nhắm vào người dùng crypto.

Phân loại Keylogger

Keylogger được chia thành hai loại chính: phần mềm và phần cứng, mỗi loại có cơ chế hoạt động khác nhau nhưng đều có chung mục tiêu là ghi lại thao tác bàn phím.

Keylogger phần mềm thường là một dạng phần mềm gián điệp (spyware) được hacker cài vào máy tính hoặc điện thoại của nạn nhân thông qua các trang web giả mạo, phần mềm lậu, hoặc file đính kèm email độc hại. Nếu tồn tại ở dạng phần mềm, keylogger cũng là một hình thức spyware (phần mềm gián điệp). Một số dạng keylogger phần mềm phổ biến gồm:

• API-based Keylogger: Lợi dụng API bàn phím của hệ điều hành để ghi lại các phím bấm mà người dùng nhập.
• Form Grabbing Keylogger: Đánh cắp dữ liệu khi người dùng nhập thông tin trên trình duyệt, đặc biệt là khi đăng nhập vào ví crypto hoặc sàn giao dịch.
• Keylogger Javascript: Đây là những đoạn mã máy tính nhỏ có thể được "tiêm" vào một trang web. Khi người dùng truy cập sử dụng trang web, những keylogger này có thể ghi lại mọi thứ mà nạn nhân nhập.

Keylogger phần cứng phức tạp hơn vì không thể bị phát hiện bằng phần mềm diệt virus. Hacker có thể cài thiết bị keylogger vào bàn phím hoặc cổng USB của máy tính để thu thập dữ liệu trực tiếp. Một số dạng phổ biến gồm:

• USB Keylogger: Một thiết bị nhỏ gắn vào cổng USB của máy tính, ghi lại toàn bộ thao tác bàn phím.
• Wireless Keylogger: Nghe lén tín hiệu từ bàn phím không dây để trích xuất thông tin.
• BIOS-Level Keylogger: Cài đặt mã độc trực tiếp vào firmware của bo mạch chủ, khó phát hiện và loại bỏ.

Keylogger có hoàn toàn tiêu cực?

Mặc dù keylogger chủ yếu bị hacker lợi dụng để đánh cắp thông tin, nó vẫn có một số ứng dụng hợp pháp, nhưng đa phần gây tranh cãi.

Về mặt tích cực, nhiều doanh nghiệp sử dụng keylogger để giám sát nhân viên, phát hiện rò rỉ dữ liệu, hoặc kiểm soát hoạt động trên máy tính trong môi trường có độ bảo mật cao. Hoặc một số phụ huynh cũng dùng keylogger để giám sát hoạt động trực tuyến của con cái, tránh rủi ro tiếp xúc với nội dung độc hại.

Nhìn chung, keylogger là hoàn toàn hợp pháp nếu tổ chức hay người dùng chủ động tự cài đặt keylogger vào thiết bị mà họ sở hữu. Thực tế, trên mạng internet có rất nhiều bên cung cấp như dịch vụ hoặc sản phẩm thương mại liên quan đến keylogger cho các mục đích sử dụng như trên.

Tuy nhiên, keylogger sẽ trở thành mối lo ngại lớn khi có kẻ xấu đứng đằng sau và được sử dụng cho các mục đích xấu. Trong lĩnh vực crypto, 99% trường hợp keylogger bị sử dụng với mục đích xấu. Hacker lợi dụng nó để đánh cắp seed phrase, mật khẩu ví và sàn giao dịch, mã 2FA, khiến nhà đầu tư mất toàn bộ tài sản.

Cách hoạt động của Keylogger

Quá trình hoạt động của keylogger thường trải qua 4 bước:

Bước 1. Lây nhiễm vào thiết bị: Hacker phát tán keylogger qua file đính kèm trong email, trang web, phần mềm giả mạo, quảng cáo… Khi người dùng tải các file và mở chúng, các phần mềm keylogger sẽ thành công xâm nhập vào thiết bị và bắt đầu âm thầm hoạt động âm thầm.

Bước 2. Ghi lại thao tác bàn phím: Khi người dùng nhập mật khẩu ví, seed phrase hoặc mã 2FA, keylogger sẽ lưu trữ lại mà họ không hề hay biết.

Bước 3. Gửi dữ liệu về hacker: Thông tin thu thập được tự động chuyển đến máy chủ hacker thông qua internet, thường dưới dạng dữ liệu mã hóa để tránh bị phát hiện.

Bước 4. Hacker thực hiện giao dịch: Sau khi có thông tin cần thiết, hacker có thể truy cập vào ví crypto, rút tài sản của nạn nhân.

Làm sao để phát hiện keylogger?

Keylogger là một dạng spyware, về cơ bản, dấu hiệu phát hiện keylogger cũng tương tự spyware. Và vì chúng hoạt động âm thầm trong nền, người dùng thường không nhận ra sự hiện diện của nó cho đến khi tài khoản bị xâm nhập hoặc tài sản crypto bị đánh cắp. Tuy nhiên, vẫn có một số dấu hiệu và phương pháp giúp phát hiện keylogger sớm trước khi nó gây ra thiệt hại nghiêm trọng.

Những dấu hiệu của keylogger nhưng dễ bị nhầm lẫn với việc thiết bị bị lag bao gồm: bàn phím bị chậm, gõ phím có độ trễ hoặc nhập sai ký tự, thiết bị chạy chậm hoặc nóng hơn bình thường dù không mở ứng dụng nặng, mạng bị sử dụng bất thường, băng thông tăng cao ngay cả khi không tải dữ liệu...

Mặt khác, nếu nhận thấy tài khoản sàn giao dịch hoặc ví crypto bị đăng nhập trái phép, hacker có thể đã đánh cắp mật khẩu hoặc seed phrase/private key qua các loại spyware, bao gồm cả keylogger.

Người dùng có thể kiểm tra thiết bị bằng Task Manager (Windows) hoặc Activity Monitor (MacOS) để tìm các tiến trình lạ, đặc biệt là những tiến trình không rõ nguồn gốc chạy ngầm. Sử dụng các phần mềm giúp phát hiện và loại bỏ keylogger hiệu quả như Malwarebytes, Zemana AntiLogger, SpyShelter...

Trong trường hợp phát hiện ra keylogger đang chạy, người dùng có thể gỡ cài đặt và xóa nó, hoặc tốt nhất là thiết lập lại toàn bộ thiết bị để đảm bảo loại bỏ triệt để phần mềm này.

Phòng tránh Keylogger để bảo vệ tài sản crypto như thế nào?

Để bảo vệ tài sản crypto khỏi keylogger, cần kết hợp nhiều biện pháp bảo mật khác nhau, từ thói quen sử dụng thiết bị đến các công cụ chuyên dụng.

Đầu tiên, tuyệt đối không nhập seed phrase hoặc private key trên thiết bị có kết nối internet. Nếu cần sao lưu, hãy viết ra giấy và lưu trữ an toàn, tránh lưu trong máy tính hoặc điện thoại vì keylogger có thể ghi lại thông tin này.

Luôn kiểm tra kỹ địa chỉ ví trước khi gửi tiền, đặc biệt là 4 ký tự đầu và cuối để tránh clipboard hacker thay đổi địa chỉ ví. Khuyến khích sử dụng các ứng dụng domain name service hoặc ID như OneID, Ethereum Name Service (ENS)... để đặt tên dễ nhớ cho ví của bạn.

Tiếp theo, ưu tiên sử dụng bàn phím ảo khi nhập mật khẩu để tránh bị keylogger ghi lại thao tác phím. Người dùng có thể sử dụng trình quản lý mật khẩu như Bitwarden, 1Password, LastPass… để tự động điền thông tin mà không cần nhập bằng tay.

Bật xác thực hai yếu tố (2FA) bằng Google Authenticator hoặc Authy, tránh dùng SMS 2FA vì có thể bị tấn công qua SIM-swapping. Nếu có thể, sử dụng khóa bảo mật vật lý (YubiKey) để bảo vệ tài khoản quan trọng.

Cài đặt phần mềm chống malware như Kaspersky, Bitdefender, Norton… hoặc các phần mềm phát hiện và chặn keylogger như Zemana AntiLogger, GhostPress... Hãy nhớ kiểm tra thiết bị định kỳ và cập nhật phần mềm bảo mật của hệ điều hành để ngăn chặn các lỗ hổng mà hacker có thể khai thác.

Đọc thêm: Revoke là gì? Hiểu về cơ chế thu hồi quyền trong Crypto