Mục đích của các tin tặc là cài đặt mã độc vào hệ thống Windows thông qua việc gửi những email giả mạo khảo sát, tạo cảm giác an toàn và đáng tin cậy đối với người nhận.
Tập tin đính kèm trong các email này có dung lượng lớn lên đến 285 MB và chứa máy ảo Linux với mã độc đã được cài sẵn. Khi người dùng mở và giải nén tập tin ZIP, một lệnh PowerShell sẽ tự động kích hoạt, giải nén và cài đặt máy ảo Linux vào hệ thống Windows mà không bị phát hiện ngay lập tức. Điều đặc biệt là phần mềm này hoạt động thông qua công cụ QEMU, một phần mềm hợp pháp, do đó không gây ra bất kỳ cảnh báo bảo mật nào từ hệ thống.
Sau khi máy ảo được cài đặt, mã độc bắt đầu thực hiện các tác vụ ngầm, bao gồm việc duy trì liên lạc bảo mật với máy chủ của kẻ tấn công thông qua các giao thức HTTP và SSH. Điều này cho phép tin tặc truy cập hệ thống từ xa mà không bị phát hiện bởi các tường lửa bảo mật. Các lệnh như get-host-shell và get-host-user giúp tin tặc mở giao diện dòng lệnh và xác định quyền hạn của người dùng, qua đó gia tăng khả năng chiếm quyền kiểm soát và thực hiện các hành vi nguy hiểm như giám sát, lấy cắp dữ liệu, hoặc cài đặt thêm mã độc.
Một trong những điểm nguy hiểm của chiến dịch này là mã độc có khả năng tự động khởi động lại mỗi khi hệ thống được bật lên, và nó cũng tạo ra các khóa SSH mới, giúp bỏ qua quá trình xác thực mỗi lần đăng nhập lại. Điều này giúp mã độc duy trì quyền truy cập liên tục, qua đó kẻ tấn công có thể kiểm soát hệ thống trong thời gian dài mà không bị phát hiện.
Để phòng tránh mối đe dọa từ chiến dịch CRONTRAP, các chuyên gia bảo mật khuyến cáo các tổ chức và doanh nghiệp nên giám sát tiến trình qemu.exe trong các thư mục dễ truy cập của người dùng và đưa QEMU vào danh sách các phần mềm bị chặn. Đặc biệt, với những thiết bị quan trọng, các tổ chức nên vô hiệu hóa tính năng ảo hóa trong BIOS để ngăn chặn mã độc lợi dụng công cụ này để xâm nhập vào hệ thống.
Chiến dịch CRONTRAP chính là một ví dụ điển hình cho thấy tội phạm mạng ngày càng lợi dụng các công cụ ảo hóa hợp pháp để tấn công và duy trì quyền kiểm soát hệ thống mà không bị phát hiện. Các tổ chức cần phải nâng cao cảnh giác, áp dụng các biện pháp phòng ngừa và bảo mật nghiêm ngặt hơn để bảo vệ hệ thống mạng khỏi những cuộc tấn công tinh vi và giảm thiểu các nguy cơ về mất mát dữ liệu hoặc thậm chí là tê liệt hệ thống.