Cảnh báo malware Winos 4.0: Bảo vệ máy tính khỏi trình cài đặt NSIS giả mạo!

Điểm cốt lõi cần nắm về Cảnh báo malware Winos 4.0: Bảo vệ máy tính khỏi trình cài đặt NSIS giả mạo!

Biến thể malware Winos 4.0 lén lút đang sử dụng trình cài đặt NSIS lừa đảo để phát động các cuộc tấn công nhiều giai đoạn. Nó thậm chí có thể điều chỉnh bảo mật dựa trên Windows Defender để tạo ra một ngoại lệ, tạo không gian cho nó hoạt động. Kết quả cuối cùng là đánh cắp dữ liệu, giả mạo registry và giám sát PC. Hãy xem các giải pháp đã được xác minh sau đây sẽ ngăn chặn malware dai dẳng này ngay từ đầu!

Để tiết kiệm thời gian và tránh thao tác sai lệch, bạn hãy làm theo trình tự từng bước đã được chuẩn hóa dưới đây.

---

Hướng dẫn thực hiện chi tiết từng bước

Bước 1: Tại sao malware Winos 4.0 lại nguy hiểm?

• Winos 4.0 là một họ malware tinh vi, ban đầu có nguồn gốc từ Gh0st RAT. ‘4.0’ chỉ là một cái tên chứ không phải bất kỳ phiên bản cụ thể nào của malware. Nó đã tồn tại trong hơn một năm. Vào ngày 22 tháng 5 năm 2025, Rapid 7 đã công bố một biến thể Winos 4.0 đang sử dụng trình cài đặt VPN và trình duyệt để đưa malware vào.
• Chi tiết thực hiện: Malware được phát hành dưới dạng phản ứng dây chuyền, bắt đầu bằng một ứng dụng NSIS giả mạo, là một file EXE bị hỏng. Tên trình cài đặt không gây nghi ngờ, chẳng hạn như QQBrowser_Setup_x64.exe hoặc Lets.15.0.exe. Điều khiến malware này trở nên nguy hiểm là những chiến thuật lừa dối chuyên nghiệp mà nhiều người dùng sẽ không nghi ngờ.
• Chi tiết thực hiện: Trong khi bạn cài đặt ứng dụng mong muốn, nó sẽ thả các file bổ sung như VBScript launcher, PowerShell loader, DLL độc hại và những file cấu hình. Rapid7 đã đặt tên cho payload nhiều giai đoạn – Catena loader. Để duy trì, lệnh PowerShell im lặng sẽ thêm các loại trừ để bảo vệ payload. Đáng chú ý, malware Winos 4.0 có thể nằm im trong nhiều tuần, sau đó mới hành động.

Bước 2: Xác minh chữ ký số của tất cả trình cài đặt

• Kiểm tra chữ ký số của bất kỳ ứng dụng nào bạn định cài đặt sẽ giúp PC an toàn. Để thực hiện việc này, hãy nhấp chuột phải vào ứng dụng, đi đến Properties -> Digital Signatures. Nhấp vào Details -> View Certificate để kiểm tra tính xác thực của trình cài đặt.
• Chi tiết thực hiện: Ở đây, chúng ta đang kiểm tra chữ ký số của QQBrowser, có các biến thể malware với trình cài đặt NSIS giả mạo. Tuy nhiên, chữ ký này có chữ ký hợp lệ thực sự của Tencent Technology., công ty đứng sau QQBrowser.

Bước 3: Bật tính năng bảo vệ ứng dụng Windows Security

• Mặc dù malware Winos 4.0 đánh lừa Windows Defender, nhưng có một số bước bảo mật nhất định mà bạn có thể thực hiện bên trong ứng dụng Windows Security.
• Chi tiết thực hiện: Bạn có thể ngăn trình cài đặt NSIS thực thi. Để thực hiện việc này, hãy mở PowerShell với quyền admin và chạy lệnh sau để giảm Attack Surface Area (ASR). Đây là lệnh tuyệt vời không áp đặt lệnh cấm toàn diện mà chỉ loại bỏ các trình cài đặt độc hại.
• Chi tiết thực hiện: Set-MpPreference -AttackSurfaceReductionRules_Ids 3B576869-A4EC-4529-8536-B80A7769E899 -AttackSurfaceReductionRules_Actions Enabled Sử dụng PowerShell để giảm “Attack Surface Area (ASR)” của trình cài đặt NSIS giả mạo. Tiếp theo, hãy mở ứng dụng Windows Security. Đi tới Virus & Threat Protection -> Virus & Threat Protection Settings -> Manage Settings. Kiểm tra để đảm bảo rằng Real-time Protection được bật.
• Chi tiết thực hiện: Ngoài ra, trong mục Virus & Threat Protection, hãy cuộn xuống để chọn Manage Ransomware Protection. Nếu Controlled Folder access bị tắt, hãy bật lại. Bạn có thể nhấp thêm vào Allow an App Through Controlled Folder Access để đưa các ứng dụng đáng tin cậy vào danh sách trắng.

Set-MpPreference -AttackSurfaceReductionRules_Ids 3B576869-A4EC-4529-8536-B80A7769E899 -AttackSurfaceReductionRules_Actions Enabled

Bước 4: Ngăn malware Winos 4.0 thêm loại trừ vào Windows Defender

• Một cách lén lút mà malware Winos 4.0 phát triển trong hệ thống là thêm loại trừ khỏi quá trình quét của Windows Defender. Bạn có thể ngăn chặn trước.
• Mẹo thao tác nhanh: Quan sát kỹ biểu tượng trạng thái ở góc cửa sổ trước khi chuyển sang bước kế tiếp.

Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy Restricted

Remove-MpPreference -ExclusionPath C:\,D:\,E:\,F:\,G:\,H:\,I:\,J:\,K:\,L:\,M:\,N:\,O:\,P:\,Q:\,R:\,S:\,T:\,U:\,V:\,W:\,X:\,Y:\,Z:\

Bước 5: Sử dụng Autoruns để phát hiện mục nhập NSIS giả mạo

• Tải xuống file ZIP Autoruns từ trang web Sysinternals. Không cần cài đặt. Chỉ cần giải nén file và nhấp đúp vào file Autoruns64 (dành cho hệ thống Windows 64). Tại đây, bạn sẽ có chế độ xem toàn cảnh về tất cả các lần đăng nhập đang hoạt động, tác vụ đã lên lịch và tiến trình. Bạn có thể phát hiện các mục nhập được đánh dấu màu đỏ. Hãy chú ý đến bất kỳ mục nhập nào liên quan đến NSIS, chúng sẽ được đánh dấu đúng cách.
• Chi tiết thực hiện: Chúng ta hiếm khi nghi ngờ các trình cài đặt ứng dụng Windows hợp pháp. Sau khi chúng vượt qua SmartScreen (mà bạn không nên tắt) và kiểm tra Windows Security, chúng ta thường cho rằng ứng dụng đó an toàn, cho dù đó là VPN hay trình duyệt. Đây là nơi tác giả malware Winos 4.0 tìm thấy quyền truy cập dễ dàng.
• Chi tiết thực hiện: Đó là lý do tại sao bài viết khuyên bạn nên xác minh độ tin cậy của trình cài đặt bằng các phương pháp trên. Bảo vệ cửa sổ PowerShell của bạn khỏi các lệnh thực thi script đảm bảo an toàn tuyệt đối. Bạn có thể sử dụng VirusTotal và các trang web khác để quét malware trong những gói cài đặt.

---

Lưu ý thực tế dành cho người dùng tại Việt Nam

• Xung đột bộ gõ tiếng Việt: Khi nhập lệnh, đường dẫn thư mục hoặc công thức hàm, hãy chuyển bộ gõ Unikey / EVKey sang chế độ tiếng Anh (E) để tránh lỗi nhảy dấu hoặc mất ký tự.
• Kiểm tra phân quyền: Nếu hệ thống yêu cầu xác nhận quyền quản trị (Run as Administrator) hoặc mã PIN thiết bị, hãy cấp quyền để thay đổi được lưu vĩnh viễn.

---

📊 Bảng thông số DNS tốc độ cao & Địa chỉ quản trị Modem tại Việt Nam

Hạng mục cấu hình	Thông số chuẩn khuyến nghị	Tác dụng thực tế
Cloudflare DNS (Nhanh nhất)	1.1.1.1 / 1.0.0.1 (IPv4)	Tăng tốc độ phản hồi tên miền, giảm lag khi đứt cáp quang biển
Google Public DNS	8.8.8.8 / 8.8.4.4 (IPv4)	Độ ổn định cao, khắc phục lỗi không tải được trang web quốc tế
IP Modem Viettel / VNPT / FPT	192.168.1.1 hoặc 192.168.100.1	Đăng nhập đổi mật khẩu Wi-Fi (Xem mật khẩu Admin ở mặt đáy Modem)
Kênh sóng Wi-Fi tối ưu	Băng tần 5GHz (Khoảng cách gần) / 2.4GHz (Xuyên tường)	Giảm nhiễu sóng tại chung cư, văn phòng nhiều thiết bị

---

[!TIP] Mẹo thực chiến nhanh: Khi thao tác với cảnh báo malware winos 4.0: bảo vệ máy tính khỏi trình cài đặt nsis giả mạo!, nếu cần nhập công thức hoặc phím tắt trên máy tính, hãy kiểm tra nhanh chế độ gõ Unikey / EVKey ở góc phải thanh Taskbar để tránh lỗi gõ nhầm ký tự.

---

🔗 Tiện ích & Công cụ thực chiến liên quan

• Tính lương & thuế TNCN tự động: Bảng tính lương Gross Net chuẩn cập nhật mới nhất.
• Kho tài nguyên đồ họa & font chữ Việt hóa: Tải mẫu PSD chuẩn chất lượng cao.
• Tạo mã QR WiFi & VietQR không giới hạn: Tạo mã QR miễn phí không hết hạn.
• Xem lịch âm dương & ngày hoàng đạo: Tra cứu lịch vạn niên & ngày hoàng đạo.