Chuyên gia Kaspersky Lab vừa phát hiện biến thể mới của ransomware RAA – phần mềm độc hại được viết toàn bộ bằng JScript. Trojan mới này gửi tập tin zip có chưa file .js độc hại đến nạn nhân. Phiên bản mới có thể mã hóa offline mà không cần key từ máy chủ. Các chuyên gia Kaspersky Lab tin rằng những kẻ tấn công sử dụng phiên bản này để tấn công doanh nghiệp.
Trong quá trình phân tích, chuyên gia tại Kaspersky Lab kết luận rằng những kẻ lừa đảo đang nhắm tới doanh nghiệp hơn là nhắm vào người dùng thông thường khi email độc hại chứa thông tin về thanh toán quá hạn từ bên cung ứng. Để email đáng tin hơn, những kẻ lừa đảo lưu ý rằng vì lí do bảo mật mà tập tin đính kèm đã được bảo vệ (mật khẩu ghi bên dưới email) và cũng được bảo vệ bằng cách mã hóa bất đối xứng. Thông tin này nghe thì vô lí đối với người dùng hiểu biết về mạng nhưng lại đáng tin đối với những nạn nhân mù mờ về vấn đề này.
Nạn nhân sẽ mở file .js và quá trình lây nhiễm bắt đầu. Để đánh lạc hướng nạn nhân, Trojan cho hiển thị tập tin document chứa một loạt các nhân vật ngẫu nhiên. Trong khi nạn nhân còn đang cố gắng hiểu chuyện gì đang xảy ra thì ở ngoài màn hình, RAA đang thực hiện mã hóa tập tin trên máy. Cuối cùng, ransomware tạo ra ghi chú ngẫu nhiên trên desktop và toàn bộ những tập tin bị mã hóa sẽ có phần mở rộng mới bị khóa lại.
So với phiên bản trước, điểm khác biệt chính là RAA không cần liên lạc với máy chủ để mã hóa tập tin trên máy tính nạn nhân như nó đã làm trước đây. Thay vì yêu cầu master key từ máy chủ C&C thì Trojan sẽ tự tạo, mã hóa và lưu trữ key trên máy. Tội phạm mạng nắm giữ key bí mật dùng để giải mã key master đã bị mã hóa. Ngay khi đã được trả tiền chuộc, tội phạm mạng yêu cầu người dùng gửi cho bọn chúng master key đã bị mã hóa, sau này sẽ được hoàn trả lại, cùng với phần mềm mã hóa. Cách này đã từng được thực hiện để cho phép phần mềm độc hại mã hóa cả máy tính offline lẫn máy tính có kết nối Internet.
Tệ hơn nữa là, ngoài ransomware RAA, nạn nhân còn phải nhận thêm Trojan Pony. Pony có khả năng đánh cắp mật khẩu từ tất cả email của khách hàng bao gồm doanh nghiệp và gửi chúng đến kẻ tấn công từ xa. Có được mật khẩu nghĩa là những kẻ lừa đảo có thể phát tán phần mềm độc hại thay cho người dùng bị lây nhiễm, khiến việc thuyết phục nạn nhân rằng email này hợp pháp càng dễ dàng hơn. Từ email nạn nhân, phần mềm độc hại có thể lan ra toàn bộ danh sách liên lạc. Từ đó, những kẻ lừa đảo có thể chọn ra liên hệ mà chúng có hứng thú và thực hiện tấn công.
| |
BÁ TÂN
