Re: Diễn tập An ninh mạng “Rà soát và xử lý phần mềm gián điệp trên máy tính”
BÁO CÁO
RÀ SOÁT VÀ XỬ LÝ PHẦN MỀM GIÁN ĐIỆP TRÊN MÁY TÍNH
Tên đơn vị : Công ty TNHH 1 Thành viên Bách Việt
Tổng hợp kết quả:
[h=2]1. Tiếp nhận, rà soát sơ bộ tình trạng.[/h]Các dấu hiệu bất thường trên máy tính:
- Process bất thường: Process svchost.exe có PPiD là 1388. Không có process nào hiện đang chạy có PID như vậy => Nghi ngờ Malware khởi chạy process svchost.exe sau đó tự động kill chính mình
- Autorun: Có chương trình lạ khởi động cùng với Windows với logo Kaspersky tại: C
ocuments and SettingsAll UsersDRMemproxym.exe => Đây là malware được khởi động cùng Windows
- Network: Process svchost.exe ở trên có hoạt động network bất thường như sau:
o Liên tục quét các máy tính trong mạng LAN dải 192.168.1.x:1357
o Kết nối bất thường đến ip: 118.70.80.143
Con đường lây lan của mã độc, cơ sở để xác định:
- Nghi ngờ malware được lây nhiễm qua file: Ngân hàng BIDV - Thông báo thay đổi tài khoản.doc.
- Các nghi ngờ khác: Lây nhiễm qua cắm usb, tải phần mềm không rõ nguồn gốc trên mạng, mở các tài liệu có gắn malware…
[h=2]2. Cô lập, phân tích và lấy mẫu mã độc.[/h]Các file thành phần của mã độc (Đường dẫn, tên file), cách xác định:
- Thư mục: C
ocuments and SettingsAll UsersDRM (Xác định qua autorun)
o drmv2.lic
o drmv2.lic
o emproxy iswfh
o emproxy m.exe
o emproxy msi.dll
o emproxy msi.dll.mov
o emproxyyslkmvy
o emproxy zbftsxrkdkgwtm
- Thư mục: %temp% (Các file tạm mà malware copy ra, phân tích qua quá trình phân tích động)
o msi.dll
o msi.dll.mov
[h=2]3. Xử lý mã độc trên máy tính bị lây nhiễm.[/h]- Tên các tiến trình của mã độc
o Svchost.exe: Xử lý bằng cách kill process svchost.exe đang chạy bằng process explorer
- Key khởi động :
o Xóa key khởi động của malware: HKCUSoftwareMicrosoftWindowsCurrentVersionRunemproxy
- Xóa các file malware liệt kê ở mục 2.
- Xác định hành vi của mã độc:
o Liên tục quét các máy tính trong mạng LAN dải 192.168.1.x:1357
o Kết nối bất thường đến ip: 118.70.80.143
o Chương trình thực hiện ghi lại bàn phím của người dùng (Keylogger). Đây là nguyên nhân lý giải người dùng bị mất tài khoản facebook, email:
[h=2]4. Điều tra nguồn tấn công[/h]- Địa chỉ server điều khiển:
o 118.70.80.143
o Thông tin server:
http://whois.domaintools.com/118.70.80.143
- Tên các cơ quan chức năng khi cần trợ giúp:
o Cấp trên trực tiếp, lãnh đạo đơn vị phụ trách về ATTT, các công ty về An ninh mạng như VNCERT, BKAV…
- Các biện pháp đề xuất để phòng chống tấn công:
o Tuyên truyền, định hướng về ANTT cho các cán bộ, nhân viên
o Cài các chương trình Antivirus trên máy nhân viên như KAS, Symantect
o Update bản vá cho các lỗi Microsoft Office:
http://www.cvedetails.com/vulnerability-list/vendor_id-26/product_id-320/Microsoft-Office.html
