Phát hiện mã độc tống tiền cả khi người dùng ngoại tuyến

[WhiteHat News #ID:2112]

Các nhà nghiên cứu vừa phát hiện biến thể mới của ransomware RAA - phần mềm độc hại được viết toàn bộ bằng JScript - có thể mã hóa ngoại tuyến mà không cần key (chìa khóa) từ máy chủ.

Ransomware RAA xuất hiện vào tháng 6-2016 và là ransomware đầu tiên viết bằng JScript được biết đến. Vào tháng 8, chuyên gia tại Kaspersky Lab phát hiện phiên bản mới của ransomware này.

Người dùng không online cũng bị tống tiền

Giống như phiên bản trước được phát tán thông qua email nhưng giờ đây mã độc lại ẩn mật mã được bảo vệ trong tập tin nén Zip được đính kèm. Tội phạm mạng dùng cách này chủ yếu để lừa các giải pháp chống virus vì khó có thể kiểm tra phần được bảo vệ.

Quy trình lây nhiễm của ransomware RAA cũng giống với phiên bản trước. Nạn nhân sẽ mở tập tin .js và quá trình lây nhiễm bắt đầu. Để đánh lạc hướng nạn nhân, Trojan cho hiển thị tập tin dạng văn bản chứa một loạt các nhân vật ngẫu nhiên.

Trong khi nạn nhân còn đang cố gắng hiểu chuyện gì đang xảy ra thì ở ngoài màn hình, RAA đang thực hiện mã hóa tập tin trên máy. Cuối cùng, ransomware tạo ra ghi chú ngẫu nhiên trên desktop và toàn bộ những tập tin bị mã hóa sẽ có phần mở rộng mới bị khóa lại.

So với phiên bản trước, điểm khác biệt chính là RAA không cần liên lạc với máy chủ từ xa để mã hóa tập tin trên máy tính nạn nhân như trước đây mà nó sẽ tự tạo, mã hóa và lưu trữ “chìa khóa chủ” (key master) trên máy.

Tội phạm mạng nắm giữ khóa bí mật dùng để giải mã key master đã bị mã hóa. Ngay khi đã được trả tiền chuộc, tội phạm mạng yêu cầu người dùng gửi cho chúng master key đã bị mã hóa, sau này sẽ được hoàn trả lại, cùng với phần mềm mã hóa. Cách này cho phép phần mềm độc hại mã hóa cả máy tính offline lẫn máy tính có kết nối Internet.

“Khuyến mãi” thêm Trojan

Ngoài ransomware RAA, nạn nhân còn phải nhận thêm Trojan Pony. Pony có khả năng đánh cắp mật khẩu từ tất cả email của khách hàng bao gồm doanh nghiệp và gửi đến kẻ tấn công từ xa.

Có được mật khẩu nghĩa là kẻ lừa đảo có thể phát tán phần mềm độc hại thay cho người dùng bị lây nhiễm, khiến việc thuyết phục nạn nhân rằng email này hợp pháp càng dễ dàng hơn. Từ email nạn nhân, phần mềm độc hại có thể lan ra toàn bộ danh sách liên lạc. Từ đó, kẻ lừa đảo có thể chọn ra liên hệ mà chúng có hứng thú và thực hiện tấn công.

Để giảm thiểu nguy cơ bị lây nhiễm, người dùng nên sử dụng công nghệ an ninh và giải pháp chống virus mạnh mẽ, chắn chắn mọi chức năng phát hiện đều được kích hoạt. Người dùng cần chú ý đến phần mở rộng của tập tin trước khi mở chúng ra. Những tập tin ẩn chứa nguy hiểm bao gồm: .exe, .hta, .wsf, .js…

Theo Nhịp sống số​