Phân tích mã độc đào tiền ảo phát tán qua Facebook Messenger

[HustReMw]

Mấy hôm nay đang rất rầm rộ vụ mã độc đào tiền ảo phát tán Facebook Messenger. Mình xin viết bài phân tích để các bạn hiểu hơn về mã độc này.

​

Khi bạn nhận được một file Video-xxxx.Zip của bạn bè gửi. Nếu bạn tò mò tải về, giải nén và chạy file trong đó, tại thời điểm này máy tính của bạn đã bị nhiễm mã độc.

File Video.abcxyz.mp4 thực chất là file Video.abcxyz.mp4.exe nếu bạn chọn hiển thị file ẩn. File này được viết bằng ngôn ngữ AutoIT đã bị làm rối code.

Dưới đây là một đoạn code gửi thông tin máy tính nạn nhân lên server đã bị mã hóa các xâu đầu vào.

​

Đây là hàm giải mã của mã độc

Sau khi giải mã, chúng ta được rất nhiều thông tin hữu ích như: địa chỉ server, tên các file cấu hình...

Khi file trên được chạy, nó sẽ tải một bộ gồm các file

Chúng ta quan tâm tới các file:

• background.js, jquery.min.js, manifest.json: các file này là extension để cài vào trình duyệt Chrome để tiếp tục phát tán mã độc qua Facebook Messenger.
• worker.exe, config.json: một công cụ để đào tiền ảo.
• cherry.exe: chính là file mã độc Video.abcxyz.mp4.exe ở trên.

Sau khi tải file thành công mã độc sẽ cài extension vào trình duyệt thông qua file shortcut trong TaskBar.

"C:\Program Files\Google\Chrome\Application\chrome.exe" --enable-automation --disable-infobars --load-extension=C:\Users\UserName\AppData\Roaming\UserName"

Tiếp theo mã độc sẽ đăng ký trong registry để khởi động cùng hệ thống.

Tiếp tục phân tích một số hành vi của extension:

Đầu tiên extension sẽ query lên facebook để nhận về danh sách ID_Friend bạn bè.

Sau đó extension tiếp tục tải file mã độc để phát tán và upload lên facebook để nhận về ID_File.

Khi đã có được hai ID_Friend và ID_File. Extension sẽ phát tán mã độc đó đến các bạn bè của nạn nhân.

Cuối cùng, thành phần đào tiền ảo worker.exe với các thông tin file trong config dưới đây.

​

Bài phân tích còn nhiều thiết xót, mong các bạn đóng góp, mình sẽ cập nhật bài phân tích nếu có thêm thông tin.

 

Mấy hôm nay đang rất rầm rộ vụ mã độc đào tiền ảo phát tán Facebook Messenger. Mình xin viết bài phân tích để các bạn hiểu hơn về mã độc này.

Khi bạn nhận được một file Video-xxxx.Zip của bạn bè gửi. Nếu bạn tò mò tải về, giải nén và chạy file trong đó, tại thời điểm này máy tính của bạn đã bị nhiễm mã độc.
View attachment 2831

View attachment 2820

File Video.abcxyz.mp4 thực chất là file Video.abcxyz.mp4.exe nếu bạn chọn hiển thị file ẩn. File này được viết bằng ngôn ngữ AutoIT đã bị làm rối code.
Dưới đây là một đoạn code gửi thông tin máy tính nạn nhân lên server đã bị mã hóa các xâu đầu vào.
View attachment 2821

Đây là hàm giải mã của mã độc
View attachment 2823

Sau khi giải mã, chúng ta được rất nhiều thông tin hữu ích như: địa chỉ server, tên các file cấu hình...
View attachment 2822

Khi file trên được chạy, nó sẽ tải một bộ gồm các file
View attachment 2824

Chúng ta quan tâm tới các file:

• background.js, jquery.min.js, manifest.json: các file này là extension để cài vào trình duyệt Chrome để tiếp tục phát tán mã độc qua Facebook Messenger.
• worker.exe, config.json: một công cụ để đào tiền ảo.
• cherry.exe: chính là file mã độc Video.abcxyz.mp4.exe ở trên.

Sau khi tải file thành công mã độc sẽ cài extension vào trình duyệt thông qua file shortcut trong TaskBar.

"C:\Program Files\Google\Chrome\Application\chrome.exe" --enable-automation --disable-infobars --load-extension=C:\Users\ThuyND\AppData\Roaming\UserName"

Tiếp theo mã độc sẽ đăng ký trong registry để khởi động cùng hệ thống.
View attachment 2827

Tiếp tục phân tích một số hành vi của extension:
Đầu tiên extension sẽ query lên facebook để nhận về danh sách ID_Friend bạn bè.

View attachment 2828

Sau đó extension tiếp tục tải file mã độc để phát tán và upload lên facebook để nhận về ID_File.
View attachment 2829

Khi đã có được hai ID_Friend và ID_File. Extension sẽ phát tán mã độc đó đến các bạn bè của nạn nhân.

Cuối cùng, thành phần đào tiền ảo worker.exe với các thông tin file trong config dưới đây.
View attachment 2830
Bài phân tích còn nhiều thiết xót, mong các bạn đóng góp, mình sẽ cập nhật bài phân tích nếu có thêm thông tin.

Công cụ anh dùng để phân tích là gì ạ ??? hì hì

 

Công cụ anh dùng để phân tích là gì ạ ??? hì hì

Notepad ++ xem code nhé bạn

 

Cách xử lý (theo CyRadar):
"Đối với những người đã tải và chạy file, (có thể kiểm tra lại trạng thái bị nhiễm bằng cách mở Chrome, nhập vào thanh địa chỉ : chrome://extensions/ và enter để load thử, nếu tab này tự động bị đóng thì nghĩa là máy đã bị nhiễm), tạm thời gỡ bỏ bằng cách: Vào “Start Menu” -> gõ “run” -> nhập %APPDATA% -> Tìm thư mục có tên trùng với tên user trên máy -> Xóa toàn bộ thư mục này -> Khởi động lại máy.
Việc xóa thư mục trên sẽ giúp xóa các file độc hại ở cuộc tấn công này, bao gồm cả file extension độc, dẫn đến Chrome sẽ báo lỗi nếu mở từ Shortcut, người dùng có thể khắc phục thông báo lỗi này bằng cách: Bấm chuột phải vào Shortcut vẫn dùng để mở Chrome -> Properties -> xóa đoạn “–enable-automation –disable-infobars –load-extension=” trong ô Target -> Ok
Ngoài ra, để gỡ bỏ toàn vẹn hơn, người dùng nên sử dụng một phần mềm diệt virus của hãng lớn. Đến nay hầu hết các phần mềm diệt virus lớn đều đã cập nhật để nhận diện được mã độc này."

 

Cách xử lý (theo CyRadar):
"Đối với những người đã tải và chạy file, (có thể kiểm tra lại trạng thái bị nhiễm bằng cách mở Chrome, nhập vào thanh địa chỉ : chrome://extensions/ và enter để load thử, nếu tab này tự động bị đóng thì nghĩa là máy đã bị nhiễm), tạm thời gỡ bỏ bằng cách: Vào “Start Menu” -> gõ “run” -> nhập %APPDATA% -> Tìm thư mục có tên trùng với tên user trên máy -> Xóa toàn bộ thư mục này -> Khởi động lại máy.
Việc xóa thư mục trên sẽ giúp xóa các file độc hại ở cuộc tấn công này, bao gồm cả file extension độc, dẫn đến Chrome sẽ báo lỗi nếu mở từ Shortcut, người dùng có thể khắc phục thông báo lỗi này bằng cách: Bấm chuột phải vào Shortcut vẫn dùng để mở Chrome -> Properties -> xóa đoạn “–enable-automation –disable-infobars –load-extension=” trong ô Target -> Ok
Ngoài ra, để gỡ bỏ toàn vẹn hơn, người dùng nên sử dụng một phần mềm diệt virus của hãng lớn. Đến nay hầu hết các phần mềm diệt virus lớn đều đã cập nhật để nhận diện được mã độc này."

bác nên sửa chút chỗ "tìm thư mục có tên trùng với tên user" là "thư mục có tên 'user' ". e mới gặp trường hợp này xong

 

bác nên sửa chút chỗ "tìm thư mục có tên trùng với tên user" là "thư mục có tên 'user' ". e mới gặp trường hợp này xong

còn mẫu không bác

 

còn mẫu không bác

Mẫu gì bác. E xóa rồi. Các thứ thì giống như bác thớt đã phân tích rồi.

 

còn mẫu không bác

Bạn xem đây nhé
https://github.com/cystack/monero-mining-malware