Nhận biết tệp tin đuôi kép lừa đảo ẩn giấu định dạng mã độc

Tệp đuôi kép là tệp có tên kiểu "hoadon.pdf.exe" hay "anh_cuoi.jpg.scr": phần ".pdf" hay ".jpg" chỉ là một phần của tên, còn đuôi thật quyết định cách Windows xử lý tệp là ".exe" hoặc ".scr", tức chương trình chạy được. Vì Windows mặc định ẩn phần mở rộng của các loại tệp đã biết, người dùng chỉ thấy "hoadon.pdf" và tưởng là tài liệu. Cách phòng đơn giản và hiệu quả nhất là bật hiển thị phần mở rộng tệp trong File Explorer, rồi tập thói quen nhìn phần đuôi cuối cùng trước khi mở bất kỳ tệp nào từ email, USB hay tải về.

Vì sao mánh khóe đơn giản này vẫn hiệu quả

Windows giữ thiết lập "Hide extensions for known file types" bật theo mặc định để giao diện gọn gàng. Kết hợp với việc kẻ gian đổi biểu tượng của tệp chương trình thành biểu tượng PDF, Word hay thư mục, người dùng gần như không có cách nào phân biệt bằng mắt nếu không bật hiển thị đuôi. Thêm vào đó, nhiều người đọc tên tệp từ trái sang phải và dừng lại ở phần quen thuộc.

Bật hiển thị phần mở rộng tệp

Windows 11

1. Mở File Explorer.
2. Chọn View trên thanh công cụ, sau đó Show.
3. Đánh dấu File name extensions.

Windows 10

1. Mở File Explorer, chọn tab View.
2. Đánh dấu File name extensions.

Muốn chắc chắn hơn, vào Options > Change folder and search options > View, bỏ chọn Hide extensions for known file types. Bộ phận IT có thể áp thiết lập này cho mọi máy qua Group Policy.

Các kiểu ngụy trang thường gặp

Kỹ thuật ký tự đảo chiều (Right-to-Left Override) đặc biệt khó nhận ra: tên hiển thị có thể là "Hoadon_fdp.exe" nhưng do ký tự điều khiển chèn giữa, người dùng thấy như "Hoadon_exe.pdf". Cột Type trong chế độ xem Details của File Explorer sẽ cho thấy loại tệp thật như "Application".

Những đuôi tệp cần đặc biệt cảnh giác

• Chương trình: .exe, .scr, .com, .pif, .msi
• Script: .bat, .cmd, .vbs, .vbe, .js, .jse, .wsf, .ps1, .hta
• Shortcut và liên kết: .lnk, .url
• Ảnh đĩa và vùng chứa: .iso, .img, .vhd
• Tài liệu có macro: .docm, .xlsm, .pptm
• Tệp nén: .zip, .rar, .7z không nguy hiểm tự thân, nhưng thường được dùng để giấu các tệp trên

Một hóa đơn, CV, báo giá thật hầu như không bao giờ có các đuôi này. Gặp chúng trong email hay USB không rõ nguồn gốc, hãy dừng lại.

Thói quen kiểm tra trước khi mở

1. Nhìn phần đuôi cuối cùng sau dấu chấm cuối cùng của tên tệp.
2. Chuyển sang chế độ Details trong File Explorer để xem cột Type và Size. Một "tệp PDF" nặng vài trăm KB nhưng Type là "Application" là dấu hiệu rõ.
3. Nhấp chuột phải, chọn Properties để xem loại tệp và, với tệp chương trình, xem tab Digital Signatures.
4. Đối chiếu với ngữ cảnh: bạn có đang chờ tệp này không, người gửi có thật sự là người quen không.
5. Kiểm tra thêm khi nghi ngờ bằng phần mềm diệt virus hoặc tra mã băm theo cách trong bài kiểm tra tệp qua VirusTotal.

Tệp đuôi kép trên USB

Một kiểu lây nhiễm qua USB cũ nhưng vẫn gặp: mã độc ẩn các thư mục thật trên USB, rồi tạo shortcut cùng tên mang biểu tượng thư mục. Người dùng bấm vào "thư mục" thì mã độc chạy, sau đó mở thư mục thật để không gây nghi ngờ. Bật hiển thị đuôi tệp và tệp ẩn sẽ thấy ngay các tệp .lnk lạ. Quy trình xử lý USB kiểu này có trong bài quét virus USB an toàn.

Biện pháp kỹ thuật cho văn phòng

• Áp chính sách hiển thị đuôi tệp trên mọi máy.
• Lọc email chặn tệp đính kèm có đuôi thực thi, script, ảnh đĩa.
• Đổi chương trình mặc định mở .js, .vbs, .hta thành Notepad để nhấp đúp không chạy script.
• Dùng quy tắc giảm bề mặt tấn công chặn script và tệp thực thi tải về chạy.
• Đào tạo nhân viên với ví dụ thực tế, đặc biệt bộ phận kế toán, nhân sự nhận nhiều tệp đính kèm.

Những biện pháp này đặc biệt quan trọng trước các chiến dịch phát tán ransomware qua email giả mạo, nơi tệp đuôi kép là công cụ quen thuộc.

Vì sao kẻ gian thích bọc tệp trong tệp nén và ảnh đĩa

Khi tải tệp từ internet hoặc nhận qua email, Windows gắn cho tệp một dấu hiệu nguồn gốc gọi là Mark of the Web. Nhờ dấu hiệu này, Office mở tài liệu ở chế độ xem an toàn, còn SmartScreen cảnh báo trước khi chạy chương trình lạ. Kẻ gian tìm cách né lớp bảo vệ đó bằng cách đặt tệp độc hại bên trong tệp nén có mật khẩu hoặc ảnh đĩa ISO. Một số công cụ giải nén và phiên bản Windows cũ không chuyển dấu hiệu nguồn gốc sang các tệp bên trong, khiến cảnh báo không xuất hiện.

Microsoft đã cập nhật để tệp trong ảnh đĩa cũng mang dấu hiệu này, và các phần mềm giải nén phổ biến cũng dần hỗ trợ. Tuy vậy, bài học vẫn giữ nguyên: một tệp nén có mật khẩu gửi kèm email từ người lạ, hay một ảnh đĩa thay cho tài liệu bình thường, đều đáng nghi ngờ ngay từ đầu, trước khi bạn kịp nhìn tới đuôi tệp bên trong.

Nếu đã lỡ mở tệp đuôi kép

Đóng mọi cửa sổ lạ, ngắt mạng, quét toàn bộ máy. Nếu không có gì hiện ra sau khi mở "tài liệu", đó không phải dấu hiệu an toàn mà thường là dấu hiệu mã độc đã chạy ngầm. Đổi mật khẩu quan trọng từ thiết bị khác và báo bộ phận IT nếu là máy công ty.