Cảnh Báo Malware Giả Mạo Hợp Đồng Việc Làm: Tập Tin .EXE Nguy Hiểm Đội Lốt PDF/Word

Cảnh Báo: Malware Giả Mạo File Hợp Đồng Việc Làm

Một số đối tượng đang phát tán phần mềm độc hại (stealer malware) thông qua các file giả mạo dưới dạng hợp đồng việc làm. Mặc dù có icon Word hoặc PDF, thực chất đây là file thực thi (.exe). Nếu bạn vô tình mở file này, máy tính có thể bị kiểm soát từ xa và mất toàn bộ dữ liệu nhạy cảm.

1. Hình Thức Phát Tán

• File nén: JDjobRoyalbookstore2025.zip

• Bên trong có tệp: t.exe (icon Word/PDF để đánh lừa)

• Gửi qua Messenger/Email kèm nội dung mời gọi nhận việc

2. Hành Vi Của Malware

• Tự động chạy cùng Windows qua thư mục Startup: %AppData%RoamingMicrosoftWindowsStart MenuProgramsStartupSecurityHealthsService.exe

• Quét, giải mã và lưu mật khẩu từ Chrome, Edge, Firefox, Brave, Opera, Yandex vào passwords.txt

• Chụp ảnh màn hình (tạo moi.jpg) bằng script screenCapture_1.3.2.bat

• Thu thập cookies trình duyệt và thông tin hệ thống (IP, vị trí, OS, CPU...)

• Kết nối với Telegram API để gửi dữ liệu về kênh hacker

• Ẩn mình và xóa dấu vết bằng cách tắt trình duyệt, xóa file tạm

3. Dữ Liệu Bị Đánh Cắp

• passwords.txt: mật khẩu trình duyệt

• moi.jpg: ảnh chụp màn hình máy

• Cookie folder: thông tin đăng nhập, token

Tất cả dữ liệu này được gửi về Telegram và có thể bị lợi dụng để đánh cắp tài khoản, giám sát, hoặc biến máy bạn thành một phần của botnet.

4. Kỹ Thuật Ẩn Mình

• Đổi icon thành Word hoặc PDF

• Đổi tên tệp dạng HopDongJobRoyal.exe

• Nén ZIP có mật khẩu (ví dụ: royal2025) để vượt kiểm duyệt Gmail/Drive

5. Cách Phòng Tránh

• Tuyệt đối không mở file .exe nếu bạn chỉ mong đợi tài liệu (.doc/.pdf)

• Bật hiển thị phần đuôi tệp trong Windows

• Không cấp quyền ghi vào thư mục Startup hoặc Registry

• Luôn cập nhật Windows và không tắt Windows Defender

• Sử dụng phần mềm chống virus như Defender, Malwarebytes...

• Quét trước file đáng ngờ với VirusTotal trước khi mở

6. Nếu Lỡ Chạy File

• Ngắt kết nối internet ngay lập tức

• Đổi toàn bộ mật khẩu quan trọng

• Quét hệ thống với Windows Defender hoặc Malwarebytes

Malware giả dạng “hợp đồng việc làm”:

• File .exe được ngụy trang icon Word/PDF

• Gửi qua Messenger hoặc Email

• Khi mở: đánh cắp cookie, mật khẩu, chụp màn hình, gửi về Telegram

Hãy cảnh giác và bảo vệ bản thân trước các hình thức tấn công xã hội ngày càng tinh vi.