Trend Micro cảnh báo sự phát triển của mã độc tống tiền nguồn mở

13:57 | 14/06/2017 | HACKER / MALWARE

Gần đây, mã độc tống tiền (ransomware) nguồn mở, với các biến thể dựa trên nguồn mở Hidden Tear và TeslaCrypt, đang tiếp tục tăng nhanh khi nó cho phép tin tặc tạo và phát tán mã độc để đòi tiền chuộc dễ dàng hơn.

Trend Micro cảnh báo sự phát triển của mã độc tống tiền nguồn mở

Phát hiện nhiều biến thể Hidden Tear

Hãng bảo mật Trend Micro cho biết, các biến thể mã độc tống tiền dựa trên nguồn mở Hidden Tear không quá khác so với bản gốc, tuy nhiên tác giả đã cải tiến mã để thực hiện các mục đích riêng.

Ví dụ: mã độc tống tiền May (được Trend Micro phát hiện, có tên đầy đủ RANSOM_HIDDENTEARMAY.A) là một biến thể của Hidden Tear sử dụng mã hóa AES-256 và RSA-4096. Việc mã hóa thực sự dựa trên mã nguồn Hidden Tear nhưng cách khóa lại khác.

Đầu tiên, mã độc May chọn tập tin ngẫu nhiên trong C:\Program Files\Internet Explorer, tiếp theo đọc và xáo trộn 128 bit đầu tiên của tập tin, sau đó sử dụng các bit đã xáo trộn để làm mật khẩu mã hóa cho AES. Để giữ hệ thống máy tính nạn nhân vẫn hoạt động và yêu cầu tiền chuộc dễ dàng hơn, mã độc May có thể tránh mã hóa tập tin trong các thư mục hệ thống như: Program Files, Windows, Program Data.

Với mã độc Mooware (có tên đầy đủ RANSOM_HIDDEMEARMOWARE) là biến thể của Hidden Tear khác so với mã nguồn gốc. Mã độc sử dụng thuật toán mã hóa khác so với Hidden Tear, sử dụng phép mã hóa XOR thay vì AES. Mã độc mã hóa các tập tin trong thư mục: Desktop, Personal, MyMusic, MyPictures và Cookies. Mã độc kiểm tra kết nối Internet và vô hiệu hóa các công cụ Registry, Task Manager hay CMD.

Mã độc tống tiền mới tập trung vào đồ họa và thanh toán theo gói

TeslaCrypt là mã độc đã ngừng hoạt động vào tháng 5/2016, nhưng Trend Micro phát hiện mã độc được mở mã nguồn để tạo ra nhiều biến thể khác nhau, với giao diện và cách thức đòi tiền chuộc phức tạp hơn.

Đầu tiên là Widia (tên đầy đủ là RANSOM_WIDIALOCKER.A), một loại mã độc tống tiền khóa màn hình đang được phát triển, có thể có nguồn gốc từ Romania. Một tính năng của Widia là yêu cầu người sử dụng thanh toán tiền chuộc qua thẻ tín dụng thay vì thanh toán Bitcoin. Mặc dù thẻ tín dụng giúp người dùng thuận tiện để thanh toán tiền chuộc, nhưng nó cũng khiến tin tặc dễ bị phát hiện hơn so với Bitcoin.

Trong khi đó, BlueHowl (tên gọi đầy đủ là RANSOM_BLUEHOWL) là một trình khóa màn hình mới chứa nội dung độc hại đe dọa nạn nhân. Để thanh toán, các nạn nhân sẽ phải chọn phương thức thanh toán qua Bitcoin thông thường hoặc mã QR.

Trend Micro cảnh báo, các tác giả tạo ra mã độc đang tìm kiếm những cách mới để thu tiền từ nạn nhân bằng cách tạo ra giao diện tốt hơn, cung cấp các lựa chọn thanh toán được sử dụng rộng rãi.

‹ › ×

Tin liên quan

Bảo vệ tối đa hệ thống máy tính người dùng và máy chủ tại Trung tâm dữ liệu với sản phẩm Trend Micro

08:00 | 01/08/2018

Công ty TNHH Netpoleon Việt Nam - nhà phân phối chính thức các sản phẩm của hãng Trend Micro tại Việt Nam dành tặng chương trình khuyến mãi “Bảo vệ tối đa hệ thống máy tính người dùng và máy chủ tại Trung tâm dữ liệu với sản phẩm Trend Micro” cho các khách hàng doanh nghiệp.

Trend Micro đầu tư phát triển tại thị trường Việt Nam

14:00 | 02/10/2019

Theo một thống kê gần đây của Trend Micro (Công ty công nghệ hàng đầu đến từ Nhật Bản), Việt Nam là một trong những quốc gia bị tấn công mạng nhiều nhất Đông Nam Á. Trong vài năm qua, mức độ quan tâm và đầu tư cho vấn đề bảo mật thông tin đã và đang được các doanh nghiệp tại Việt Nam chú trọng hơn.

Việt Nam đứng đầu ASEAN về nguy cơ mã độc tống tiền

08:00 | 05/06/2019

Với tỷ lệ 18,9%, Việt Nam là quốc gia đứng đầu ASEAN về nguy cơ lây nhiễm mã độc tống tiền, xếp trên Indonesia và Phillipines.

Sự thiếu hụt kỹ năng an toàn mạng đang trở nên nghiêm trọng hơn

10:00 | 23/04/2019

Theo kết quả Báo cáo khảo sát của Tập đoàn tư vấn CNTT Enterprise Strategy Group - ESG (Mỹ), hơn một nửa số tổ chức được khảo sát cho biết vấn đề về kỹ năng an toàn mạng đang trở nên thiếu hụt nghiêm trọng.

Tin cùng chuyên mục

Tội phạm mạng sử dụng AI để phát tán phần mềm độc hại trong các chiến dịch lừa đảo trên mạng xã hội

10:00 | 22/04/2024

Trong một xu hướng đáng lo ngại được Bitdefender Labs (Hoa Kỳ) phát hiện gần đây, tin tặc đang tận dụng sự quan tâm ngày càng tăng đối với AI để phát tán các phần mềm độc hại tinh vi. Những kẻ tấn công này đang tung ra các chiến dịch quảng cáo độc hại trên mạng xã hội, giả dạng các dịch vụ AI phổ biến như Midjourney, DALL-E và ChatGPT để đánh lừa người dùng.

Giải mã biến thể mới của Trojan ngân hàng Mispadu khai thác lỗ hổng Windows SmartScreen

11:00 | 29/02/2024

Các nhà nghiên cứu của hãng bảo mật Palo Alto Networks (Mỹ) đã phát hiện một biến thể mới của Trojan ngân hàng Mispadu đang tiến hành các hoạt động khai thác lỗ hổng Windows SmartScreen đã được vá để nhắm mục tiêu đến các nạn nhân ở Mexico. Bài viết sẽ phân tích và thảo luận xoay quanh biến thể mới của Mispadu và tấn công khai thác lỗ hổng Windows SmartScreen dựa trên báo cáo của Palo Alto Networks.

Tin tặc lợi dụng khai thác MultiLogin của Google để chiếm quyền điều khiển phiên người dùng

10:00 | 31/01/2024

Các nhà nghiên cứu tại công ty an ninh mạng CloudSEK (Ấn Độ) cho biết: tin tặc đang phân phối phần mềm đánh cắp thông tin bằng cách lợi dụng điểm cuối Google OAuth có tên MultiLogin để chiếm quyền điều khiển phiên của người dùng và cho phép truy cập liên tục vào các dịch vụ của Google ngay cả sau khi đặt lại mật khẩu.

Các mối đe dọa trên Google Play được giao dịch trên web đen

13:00 | 29/12/2023

Các ứng dụng Google Play thường được kiểm soát chặt chẽ và được kiểm duyệt trước khi phân phối, tuy nhiên, tin tặc vẫn có thể sử dụng nhiều kỹ thuật khác nhau để vượt qua các kiểm tra. Nhiều ứng dụng độc hại hiện nay trên Google Play được phát hiện có nguồn cung và giao dịch trên web đen. Bài báo sẽ giới thiệu đến độc giả tổng quan về các loại dịch vụ được rao bán trên web đen để tải lên các phần mềm độc hại trên Google Play dựa theo một báo cáo của Kaspersky.