Triệt phá đường dây mã độc xuyên quốc gia khiến hơn 94.000 máy tính bị xâm nhập, 12 bị can bị khởi tố
Một đường dây tội phạm mạng có tổ chức, phát tán mã độc tới hàng chục quốc gia, đánh cắp dữ liệu của hơn 94.000 máy tính và thu lợi bất chính hàng chục tỷ đồng, vụ án vừa bị Công an tỉnh Thanh Hóa triệt phá.
Đầu năm 2026, trong quá trình theo dõi, giám sát không gian mạng, Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao Bộ Công an phối hợp với Phòng An ninh mạng Công an tỉnh Thanh Hóa phát hiện dấu hiệu bất thường của một đường dây phát tán mã độc quy mô lớn, nhắm vào người dùng internet tại nhiều quốc gia.
Quá trình xác minh, truy vết đã bóc gỡ cả một đường dây phạm tội, điều ít ai ngờ người lập trình và cung cấp những mã độc này là một học sinh lớp 12, chưa đầy 18 tuổi.
Theo thông tin từ Công an tỉnh Thanh Hoá, khoảng năm 2023, N.V.X., trú tại phường Hạc Thành, Thanh Hóa, bắt đầu tự học các ngôn ngữ lập trình Python và C++.
Xuất phát điểm hoàn toàn lành mạnh: viết chương trình đơn giản, nghiên cứu cấu trúc hệ điều hành, thỏa mãn trí tò mò của một cậu học trò có năng khiếu công nghệ.
Nhưng càng tìm hiểu sâu, N.V. X. càng nhận ra rằng những kiến thức mình tích lũy có thể được dùng theo cách khác.
Đến năm 2024, X. đã lập trình thành công một bộ mã nguồn có khả năng đánh cắp dữ liệu từ trình duyệt web, bao gồm cookies đăng nhập, mật khẩu đã lưu, dữ liệu tự động điền và nhiều thông tin nhạy cảm khác.
Đồng thời có thể vượt qua các lớp bảo vệ cơ bản của hệ điều hành. Các đoạn mã sau khi kích hoạt sẽ tự động quét thư mục lưu trữ, đóng gói dữ liệu và gửi về máy chủ do đối tượng kiểm soát.
Tháng 7.2024, qua Telegram, X. quen biết Lê Thành Công (sinh năm 1998, Hà Tĩnh). Công đặt vấn đề nhờ X. phát triển mã độc để thu thập cookies và thông tin đăng nhập Facebook — vì đây là loại dữ liệu dễ quy đổi thành tiền.
Hai bên thỏa thuận xong, X. lập trình file mã độc, nén thành ZIP và chuyển cho Công phát tán. Toàn bộ dữ liệu đánh cắp được tự động chuyển về các kênh Bot Telegram mang tên "STC New Logs", "STC Notification", "STC Reset Logs" để các đối tượng phân loại và khai thác.
Khi hợp tác với Công không đạt hiệu quả mong muốn, X. được giới thiệu với Phan Xuân Anh (sinh năm 2005, Nghệ An), người dùng tài khoản Telegram "Mr Bean".
Qua đó, Anh đặt hàng X. phát triển mã độc mới mang tên "PXA Stealers", mã độc này không chỉ đánh cắp dữ liệu mà còn chiếm quyền quản trị máy tính người sử dụng. X. được hứa hẹn hưởng 15% lợi nhuận từ việc khai thác dữ liệu.
Để tăng khả năng xâm nhập, đường dây còn mua thêm phần mềm điều khiển từ xa "Pure RAT" tích hợp vào mã độc, cho phép truy cập và điều khiển máy tính nạn nhân từ xa thông qua máy chủ ảo VPS.
Tháng 11.2024, X. tiếp tục nhận thêm một "đơn hàng" từ Nguyễn Thành Trường người dùng Telegram "Adonis", với yêu cầu xây dựng mã độc mới tên "Adonis" (AND), giá 500 USD, tính năng tương đương PXA Stealers. Thù lao chia thêm từ 50 đến 100 USDT cho mỗi lần khai thác dữ liệu thành công.
Để phát tán mã độc trên diện rộng, các đối tượng này sử dụng phần mềm gửi email hàng loạt, kết hợp với danh sách địa chỉ email mua từ các diễn đàn chợ đen trên mạng.
Các file mã độc được ngụy trang dưới dạng tài liệu PDF hoặc văn bản thông thường, nhưng thực chất là file thực thi đuôi ".exe". Khi nạn nhân tải về và mở file, mã độc lập tức âm thầm cài đặt vào hệ thống, hoạt động ngầm và liên tục gửi dữ liệu về cho kẻ tấn công.
Hậu quả là hơn 94.000 máy tính của người dùng tại nhiều quốc gia, chủ yếu ở châu Âu, châu Mỹ và một số nước châu Á bị nhiễm mã độc.
Dữ liệu đánh cắp được khai thác chủ yếu để chiếm quyền kiểm soát các tài khoản Facebook có chức năng chạy quảng cáo, sau đó dùng vào việc bán hàng trực tuyến trên nền tảng Betamax hoặc bán lại cho bên thứ ba. Bước đầu, cơ quan điều tra xác định đường dây này đã thu lợi bất chính hàng chục tỷ đồng.
Trong vụ án này, Cơ quan ANĐT Công an tỉnh Thanh Hóa đã khởi tố vụ án, khởi tố 12 bị can về hai tội danh: "Sản xuất, mua bán, trao đổi hoặc tặng cho công cụ, thiết bị, phần mềm để sử dụng vào mục đích trái pháp luật" theo Điều 285 và "Xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác" theo Điều 289, Bộ luật Hình sự.
Vụ án đang tiếp tục được mở rộng điều tra để làm rõ vai trò từng đối tượng và xử lý nghiêm theo quy định của pháp luật.
