Trojan-Ransom.Win32.Onion - Mã độc tống tiền đời mới

14:47 | 12/09/2014 | HACKER / MALWARE

Ransomware hiện là một trong các mã độc tống tiền phát triển nhanh nhất trong các phần mềm độc hại. Loại mã độc tống tiền này được thiết kế dựa trên công nghệ Encryptor. Loại mã độc này có thể mã hóa tất cả các loại dữ liệu của người dùng như: hình ảnh cá nhân, tài liệu,.…

Trong những năm gần đây, nó đã phát triển từ biến thể dạngđơn giản (chặn màn hình yêu cầu thanh toán) đến các mức độ phức tạp, nguy hiểm hơn. Loại mã độc tống tiền này được thiết kế dựa trên công nghệ Encryptor.
Vào cuối tháng 6/2014, các chuyên gia của Kaspersky Lab phát hiện một Encryptor mới có tên là Trojan-Ransom.Win32.Onion (Ransom.W.O). Phần mềm độc hại mã hóa này là một thế hệ mới của ransomware. Ngoài đòi tiền chuộc bằng cách thông thường, nó còn có thể đòi tiền chuộc được thanh toán bằng Bitcoin. Bên cạnh đó,Ransom.W.O còn có khả năng vượt qua hệ thống bảo vệ mạng máy chủ điều khiển và kiểm soát, sử dụng một chương trình mã hóa không chính thống. Chính vì vậy, không thể giải mã tập tin đã bị Ransom.W.O mã hóa ngay cả khi chặn được các gói dữ liệu mà chúng đánh cắp được từ máy chủ. Ramsom.W.O trở thành một mối đe dọa nguy hiểm vàlà một trong những công nghệ Encryptor tiên tiến nhất từ trước tới nay. Quá trình Encryptor của mã độc gồm:
- Sau khi lây nhiễm vào máy tính của nạn nhân, một bản sao phần mềm độc hại lập tức xuất hiện trong máy tính tại thư mục “CSIDL_COMMON_APPDATA” và thực hiện các nhiệm vụ để khởi động các tập tin trong Task Scheduler (một thành phần của Microsoft Windows cung cấp khả năng để sắp xếp trình tự hoạt động của các chương trình, kịch bản vào những thời điểm được xác định trước);
- Tìm kiếm tất cả các ổ đĩa cố định, ổ đĩa di động và mạng, các tập tin phù hợp với danh sách các phần mở rộng đã được xác định;
- Mã hóa các tập tin được tìm thấy;
- Hiển thị một cửa sổ yêu cầu tiền chuộc (đòi hỏi người sử dụng phải trả tiền chuộc bằng Bitcoin) và một danh sách có chứa các file đã được mã hóa;
- Thiết lập hình ảnh có tên AllFilesAreLocked.bmp làm hình nền máy tính để bàn. Hình nền thông báo cho người dùng biết dữ liệu trên máy tính đã được mã hóa (Hình 1);

Trojan-Ransom.Win32.Onion - Mã độc tống tiền đời mới

Hình 1: Hình ảnh làm hình nền máy tính để bàn

Cách thức phát hiện Ransom.W.O
Bằng công cụ Backdoor.Win32.Androm, các chuyên gia của Kaspersky Lab đã phát hiện ra rằng,các bot có tên Andromeda nhận được lệnh tải về và chạy một chương trình độc hại có tên là Email-Worm.Win32.Joleee trên máy tính nạn nhân. Sau đó, mã độc này làm nhiệm vụ chính là gửi thư rác và thực hiện một số lệnh từtội phạm mạng, bao gồm các lệnh để tải về và khởi động một tập tin thực thi có tên là Joleee, sau đó dùng phần mềm Onion để mã hóa các tệp tin đã được xác định. Sơ đồ lây nhiễm Trojan-Ransom.Win32.Onion (hình 2):

Hình 2: Quá trình lây nhiễm Trojan-Ransom.Win32.Onion

Tính đến ngày 20/6/2014, Trojan-Ransom.Win32.Onion được phát hiện tại các nước: Nga (24 máy tính), Ukraina (19 máy tính), Kazakhstan (7 máy tính), Belarus(9 máy tính) và các nước: Georgia, Đức, Bulgaria, Thổ Nhĩ Kỳ Tiểu Vương Quốc Ả Rập Thống Nhất, Libya (1 máy tính).
Các chuyên gia cũng khuyến nghị người dùngcần sử dụng giải pháp bảo mật để bảo vệ cơ sở dữ liệu và tích hợp các công nghệ an toàn hơn để đối phó với mã độc.

Từ khóa:

‹ › ×

Tin liên quan

Trojan RansomEXX tấn công hệ thống Linux

08:00 | 03/02/2021

Trong thời gian gần đây, các chuyên gia phân tích mã độc đã phát hiện ra một loại Trojan mã hóa mới được thiết kế dưới dạng tệp thực thi ELF, nhằm mục đích mã hóa dữ liệu trên các máy tính sử dụng hệ điều hành Linux.

Tin cùng chuyên mục

Tấn công mạng: Hiểm họa lớn đối với các tổ chức, doanh nghiệp

08:00 | 17/04/2024

Các chuyên gia bảo mật cảnh báo rằng thế giới đang phải đối mặt với sự phát triển của những công nghệ mới, mối đe dọa đang ngày càng gia tăng cả về phạm vi, lẫn cường độ của các cuộc tấn công.

Khám phá phiên bản cập nhật của phần mềm đánh cắp thông tin Atomic Stealer nhắm mục tiêu vào macOS

08:00 | 19/01/2024

Các nhà nghiên cứu an ninh mạng của hãng bảo mật Malwarebytes (Mỹ) đã xác định được phiên bản cập nhật của phần mềm đánh cắp thông tin trên macOS có tên là Atomic Stealer (hoặc AMOS), cho thấy các tác nhân đe dọa phát triển phần mềm độc hại này đang tích cực nâng cao khả năng của nó. Trong bài viết này sẽ xem xét những thay đổi mới nhất của Atomic Stealer và việc phân phối gần đây các quảng cáo độc hại thông qua công cụ tìm kiếm Google.

Tổng quan về mã độc Pegasus

07:00 | 15/01/2024

Pegasus được đánh giá là một trong những phần mềm gián điệp mạnh mẽ nhất hiện nay, chúng có các chức năng đánh cắp dữ liệu toàn diện hơn rất nhiều so với các phần mềm gián điệp khác, với khả năng thu thập thông tin mọi thứ từ dữ liệu có giá trị cao như mật khẩu, danh bạ và các dữ liệu từ các ứng dụng khác. Trong bài báo này, tác giả sẽ giới thiệu tổng quan về mã độc Pegasus và biến thể Chrysaor cùng các phương thức tấn công và cách phòng chống mã độc nguy hiểm này.

Phân tích chức năng gián điệp trong phiên bản mod WhatsApp tấn công người dùng Ả Rập

09:00 | 08/12/2023

Để bổ sung thêm những tính năng dành cho các nền tảng ứng dụng nhắn tin hiện nay, các nhà phát triển bên thứ ba đã đưa ra các bản mod (phiên bản sửa đổi của ứng dụng không chính thức) cung cấp các tính năng mới bên cạnh những nâng cấp về mặt giao diện. Tuy nhiên, một số mod này có thể chứa phần mềm độc hại cùng với các cải tiến hợp pháp. Một trường hợp điển hình đã xảy ra vào năm ngoái khi các nhà nghiên cứu Kaspersky phát hiện ra Trojan Triada bên trong bản mod WhatsApp. Gần đây, các nhà nghiên cứu đã phát hiện một bản mod Telegram có module gián điệp được nhúng và phân phối thông qua Google Play. Câu chuyện tương tự hiện tại xảy ra với WhatsApp, khi một số bản mod trước đây đã được phát hiện có chứa module gián điệp có tên là Trojan-Spy.AndroidOS.CanesSpy.