Virus đào coin là gì? Cách kiểm tra máy bị cryptojacking

Virus đào coin, hay cryptojacking, là mã độc lén dùng sức xử lý (CPU, GPU) của máy tính, điện thoại người khác để đào tiền mã hóa cho kẻ gian. Chủ máy chịu máy chậm, nóng, hao pin, tốn điện; kẻ gian nhận coin đào được, thường là Monero. Cách kiểm tra nhanh nhất: lúc không chạy gì nặng, mở Task Manager (Windows) hoặc Activity Monitor (macOS) xem có tiến trình lạ nào ăn CPU, GPU cao kéo dài không.

Bài này đi theo thứ tự việc bạn cần làm: dấu hiệu, cách kiểm tra máy tính, trình duyệt, điện thoại theo từng bước, cách xử lý khi nhiễm, rồi các đường lây đã được ghi nhận (kể cả các đợt ở Việt Nam), cách phòng và pháp luật xử lý người phát tán. Vietnambit không giới thiệu phần mềm diệt virus trả phí; các bước dưới đây dùng công cụ có sẵn trong hệ điều hành.

Cryptojacking là gì?

Là việc kẻ gian bí mật dùng sức tính toán của thiết bị nạn nhân để tạo ra tiền mã hóa. Đó là định nghĩa của INTERPOL (9/2020). Tài liệu này ghi nhận Monero là loại tiền mã hóa chủ yếu bị đào trên máy tính cá nhân, và tác hại chính là hiệu năng: máy chậm, nóng, tốn điện.

Microsoft lưu ý phần mềm đào coin tự nó không phải mã độc: nhiều người đầu tư máy móc, tiền điện để đào hợp pháp. Nó thành mã độc khi bị cài lén vào máy người khác. Ví dụ Microsoft mô tả: một tệp Word chứa mã khai thác lỗ hổng tải về bản sửa đổi của phần mềm đào XMRig để đào Monero. Loại mã độc nhắm thẳng vào ví, như đổi địa chỉ khi dán hay lấy ảnh cụm từ khôi phục, có ở bài mã độc đánh cắp ví crypto.

Kẻ gian không cần một máy mạnh. Họ cần thật nhiều máy: mỗi máy góp một chút, cộng lại thành khoản đáng kể, còn tiền điện do nạn nhân trả.

Dấu hiệu máy bị nhiễm virus đào coin

Dấu hiệu chính là tài nguyên máy bị dùng cao bất thường khi bạn không làm gì nặng. INTERPOL liệt kê:

• Thiết bị chậm đi rõ rệt.
• Pin nóng quá mức.
• Thiết bị tự tắt vì cạn sức xử lý.
• Hiệu suất thiết bị hoặc bộ định tuyến (router) giảm.
• Tiền điện tăng bất ngờ.

Một dấu hiệu nữa, rất đáng chú ý: công cụ bảo mật tự tắt. Avast ghi nhận Crackonosh (mã độc đi kèm bản crack, xem bảng đường lây bên dưới) xóa các thư mục của phần mềm diệt virus, xóa Windows Defender và tắt cập nhật tự động. Nếu Windows Security báo đã tắt mà bạn không tắt, hãy coi là sự cố.

Máy nóng một mình chưa đủ kết luận: bụi, quạt hỏng, cập nhật hệ thống, chương trình nặng đều gây nóng. Kết hợp nhiều dấu hiệu và kiểm theo các bước dưới.

Cách kiểm tra máy tính có bị virus đào coin không

Đóng mọi chương trình, để máy nghỉ vài phút, rồi xem ai đang dùng CPU, GPU. Từng bước:

Windows

1. Nhấn Ctrl + Shift + Esc mở Task Manager, chọn thẻ Processes, bấm cột CPU để sắp xếp; bật thêm cột GPU nếu chưa có.
2. Tìm tiến trình chiếm CPU hoặc GPU cao (vài chục phần trăm trở lên) kéo dài khi máy rảnh. Nhấp chuột phải, chọn mở vị trí tệp: tệp nằm trong thư mục lạ, tên giả tên hệ thống, không có nhà phát hành là đáng ngờ.
3. Xem thẻ Startup apps: tắt và tra cứu các mục lạ.
4. Mở Windows Security, kiểm tra Virus & threat protection đang bật, chạy Full scan. Trong App & browser control > Reputation-based protection, bật chặn ứng dụng có thể không mong muốn (PUA): Microsoft lưu ý một số công cụ đào coin không bị coi là mã độc mà là ứng dụng không mong muốn.

macOS

1. Mở Activity Monitor (Ứng dụng > Tiện ích), thẻ CPU, sắp xếp theo % CPU. Thẻ Energy cho thấy ứng dụng hao pin nhất.
2. Tiến trình lạ chiếm CPU cao khi máy rảnh: tra tên, kiểm ứng dụng đi kèm trong thư mục Ứng dụng và mục Đăng nhập (Login Items) trong Cài đặt hệ thống.

Trình duyệt

1. Trong Chrome, nhấn Shift + Esc mở trình quản lý tác vụ của trình duyệt: tab hoặc tiện ích nào ăn CPU cao khi bạn không dùng là nghi phạm.
2. Gỡ mọi tiện ích bạn không nhớ đã cài hoặc không còn dùng.
3. CPU vọt lên chỉ khi mở một trang web cụ thể: đóng trang, không quay lại.

Cách kiểm tra điện thoại

Xem mức dùng pin theo ứng dụng; ứng dụng chiếm phần lớn pin trong khi bạn ít mở là nghi phạm.

• Android: Cài đặt > Pin > Mức sử dụng pin. Gỡ ứng dụng lạ, đặc biệt ứng dụng cài từ tệp APK ngoài kho chính thức. Chạy quét của Google Play Protect.
• iPhone: Cài đặt > Pin, xem ứng dụng nào dùng pin khi chạy nền. Hướng dẫn xét duyệt App Store mục 3.1.5 ghi: ứng dụng không được đào tiền mã hóa trừ khi việc xử lý diễn ra ngoài thiết bị; mục 2.4.2 cấm cả quảng cáo trong ứng dụng chạy tiến trình nền như đào tiền mã hóa. Rủi ro trên iPhone chủ yếu đến từ trang web chạy mã đào khi bạn đang mở.

Các ứng dụng “đào coin trên điện thoại” tự quảng cáo công khai là chuyện khác: phần lớn không đào thật, chỉ cộng điểm khi bạn bấm. Phân tích ở bài đào coin là gì. Từng app và rủi ro của chúng được so sánh ở bài về app đào coin trên điện thoại.

Máy bị nhiễm virus đào coin thì xử lý thế nào?

Gỡ nguồn lây, quét lại, và coi mọi thứ bí mật từng nằm trên máy là có thể đã lộ.

1. Ngắt mạng nếu nghi máy đang bị điều khiển.
2. Gỡ phần mềm crack, game lậu, tiện ích lạ vừa tìm thấy; chạy quét toàn bộ bằng công cụ có sẵn.
3. Nếu công cụ bảo mật bị tắt mà không bật lại được, hoặc quét xong máy vẫn bất thường: sao lưu dữ liệu cần thiết rồi cài lại hệ điều hành sạch.
4. Đổi mật khẩu email, mạng xã hội, ngân hàng, tài khoản sàn từ một thiết bị sạch. Hãng bảo mật Bkav (12/2017) ghi nhận mã độc đào tiền ảo lây qua Messenger còn “cài sẵn chức năng lấy cắp mật khẩu Facebook”.
5. Nếu máy có ví tài sản mã hóa (ví trình duyệt, ví phần mềm) hoặc từng gõ cụm từ khôi phục trên máy đó: tạo ví mới trên thiết bị sạch và chuyển tài sản sang. Các bước khi đã mất tài sản ở bài ví bị hack phải làm gì.

Virus đào coin lây vào máy bằng đường nào?

Các đợt được ghi nhận thường bắt đầu từ chính người dùng: cài phần mềm crack, mở tệp lạ, cài tiện ích trình duyệt không rõ nguồn, hoặc để máy thiếu bản vá. Các đường lây đã được ghi nhận:

Đường lây	Ví dụ có nguồn	Ai ghi nhận
Phần mềm crack, game lậu	Crackonosh đi kèm bản crack phần mềm, game phổ biến; hơn 222.000 máy nhiễm, một ví nhận tổng 9.000 XMR	Hãng bảo mật Avast (6/2021)
Tệp gửi qua tin nhắn	Tệp nén “video_xxxx” gửi qua Facebook Messenger, giải nén ra tệp .exe; hơn 12.600 máy ở Việt Nam nhiễm (21/12/2017)	Hãng bảo mật Bkav (12/2017)
Quảng cáo, lỗ hổng phần mềm	W32.AdCoinMiner lây qua dịch vụ rút gọn link có quảng cáo và lỗ hổng SMB; hơn 139.000 máy ở Việt Nam nhiễm	Hãng bảo mật Bkav (3/2018)
Trang web chạy mã đào	Mã Coinhive gắn vào website, đào ngay trong trình duyệt khi bạn mở trang	VNCERT (11/2017)
Tiện ích trình duyệt	Khoảng 90% tiện ích có mã đào gửi lên Chrome Web Store vi phạm chính sách; từ 2/4/2018 kho này ngừng nhận tiện ích đào coin, gỡ tiện ích cũ từ cuối tháng 6/2018	Google Chromium (4/2018)
Email có tệp đính kèm	Tệp đính kèm cài mã độc, trang chứa bộ khai thác lỗ hổng	Microsoft

Hai điều rút ra từ bảng: các đợt lớn ở Việt Nam từng có từ hơn 12.600 đến hơn 139.000 máy nhiễm (theo hãng bảo mật Bkav, năm 2017–2018; Vietnambit chưa tìm thấy cảnh báo chính thức mới hơn), và đường lây hay gặp nhất vẫn là phần mềm, tệp không rõ nguồn. Mã đào chạy trên trang web (kiểu Coinhive) đã giảm sau khi Coinhive ngừng hoạt động từ 8/3/2019 (theo Security Affairs), nhưng kỹ thuật này vẫn có thể bị dùng lại.

Phòng virus đào coin thế nào?

Năm thói quen chặn được hầu hết các đường lây trong bảng trên.

• Không cài phần mềm crack, game lậu, “bản kích hoạt” từ trang chia sẻ: đây là đường lây của Crackonosh.
• Không mở tệp nén, tệp .exe gửi qua tin nhắn, kể cả từ tài khoản người quen (tài khoản đó có thể đã bị chiếm).
• Bật cập nhật tự động cho hệ điều hành và trình duyệt; INTERPOL khuyến nghị cài bản vá mới nhất, nhất là cho trình duyệt.
• Chỉ cài tiện ích trình duyệt thật cần, từ kho chính thức, và xem lại định kỳ.
• Giữ công cụ bảo mật có sẵn luôn bật; nếu nó tự tắt, kiểm ngay.

Danh sách đầy đủ cho thiết bị, email, ví và tài khoản sàn ở checklist bảo mật ví và tài khoản sàn.

Cài virus đào coin vào máy người khác bị xử lý thế nào?

Có thể bị truy cứu hình sự theo Điều 286 hoặc Điều 289 Bộ luật Hình sự, tùy hành vi và mức hậu quả. Đối chiếu Văn bản hợp nhất 135/VBHN-VPQH ngày 27/10/2026 (văn bản không có tội danh mang tên “cryptojacking”):

Điều	Hành vi	Khung cơ bản (khoản 1)
286: phát tán chương trình tin học gây hại	Cố ý phát tán, khi thu lợi bất chính từ 50 triệu đồng, gây thiệt hại từ 50 triệu đồng, hoặc làm lây nhiễm từ 50 thiết bị	Phạt tiền 50–200 triệu đồng, cải tạo không giam giữ đến 03 năm hoặc tù 06 tháng đến 03 năm
286, khoản 3	Làm lây nhiễm từ 500 thiết bị, thu lợi từ 500 triệu đồng, gây thiệt hại từ 1 tỷ đồng	Tù 07–12 năm
289: xâm nhập trái phép	Vượt cảnh báo, mã truy cập, tường lửa… xâm nhập máy người khác để chiếm quyền điều khiển, can thiệp chức năng hoặc “sử dụng trái phép các dịch vụ”	Phạt tiền 50–300 triệu đồng hoặc tù 01–05 năm

Luật An ninh mạng 116/2025/QH15 (hiệu lực 01/7/2026), Điều 7 khoản 4, cũng cấm sản xuất, đưa vào sử dụng hoặc phát tán “chương trình tin học gây hại đến hoạt động của mạng viễn thông, mạng Internet, mạng máy tính, hệ thống thông tin… phương tiện điện tử”. Hành vi chưa tới ngưỡng hình sự vẫn có thể bị xử phạt hành chính; Vietnambit chưa đối chiếu nghị định xử phạt riêng cho lĩnh vực này.

Tự đào coin trên máy của chính mình là chuyện khác, xem đào coin có hợp pháp không. Bị thiệt hại do mã độc, bạn có thể trình báo công an theo hướng dẫn ở bài tố giác lừa đảo tiền ảo.