Bộ giải mã mới có khả năng khôi phục tệp tin bị mã hóa bởi mã độc tống tiền Black Basta

07:00 | 15/01/2024 | MẬT MÃ DÂN SỰ

Các nhà nghiên cứu đến từ Phòng thí nghiệm bảo mật SRLabs (Đức) tạo ra một bộ giải mã có khả năng khôi phục miễn phí tệp tin cho các nạn nhân của mã độc tống tiền Black Basta.

Bộ giải mã mới có khả năng khôi phục tệp tin bị mã hóa bởi mã độc tống tiền Black Basta

Bộ giải mã Black Basta Buster

Các nhà nghiên cứu tại SRLabs đã phát hành một bộ giải mã có tên gọi Black Basta Buster bao gồm một tập hợp các tập lệnh python hỗ trợ người dùng có thể giải mã các tệp trong nhiều tình huống khác nhau. Black Basta Buster có thể phát hiện ra keystream ChaCha để mã hóa một tệp XOR sử dụng bởi mã độc tống tiền Black Basta.

Bộ giải mã cho phép các nạn nhân của mã độc tống tiền Black Basta từ thời điểm tháng 11/2022 đến nay có khả năng khôi phục miễn phí các tệp tin của họ. Tuy nhiên, các nhà phát triển của Black Basta đã khắc phục vấn đề này trong quy trình mã hóa vào cuối tháng 12/2023 nhằm ngăn chặn kỹ thuật giải mã này.

Tuy nhiên, các nhà nghiên cứu lưu ý, việc tệp bị mã hóa có thể được khôi phục hoàn toàn hay một phần tùy thuộc vào kích thước của tệp. Đối với những tệp có kích thước dưới 5.000 byte thì việc khôi phục là không thể, trong khi các tệp từ 5.000 byte đến 1 GB thì hoàn toàn có thể phục hồi. Đối với các tệp lớn hơn 1 GB, 5.000 byte đầu tiên sẽ bị mất nhưng phần còn lại có thể được khôi phục.

Khi Black Basta mã hóa một tệp, nó sẽ XOR nội dung bằng 64 byte keystream được tạo bằng thuật toán XChaCha20. Tuy nhiên, khi sử dụng Stream Cipher để mã hóa một tệp có byte chỉ chứa số 0, chính khóa XOR sẽ được ghi vào tệp, cho phép truy xuất khóa mã hóa.

Theo ông Michael Gillespie, nhà sáng lập ID Ransomware (trang web miễn phí giúp nạn nhân có thể xác định bị nhiễm mã độc tống tiền nào) của nhóm bảo mật MalwareHunterTeam chia sẻ rằng, mã độc tống tiền Black Basta tồn tại một lỗi là bắt buộc phải sử dụng lại cùng một keystream trong quá trình mã hóa, do đó khiến tất cả các khối dữ liệu 64 byte chỉ chứa số 0 được chuyển đổi thành khóa đối xứng 64 byte. Khóa này sau đó có thể được trích xuất và sử dụng để giải mã toàn bộ tệp. Điều này được minh họa bằng Hình 1, trong đó hai đoạn "số 0" 64 byte được XOR và chứa keystream để mã hóa tệp.

Hình 1: Tệp mã hóa Black Basta hiển thị khóa mã hóa

SRLabs cho biết: “Ảnh đĩa ảo có khả năng được phục hồi cao vì các phân vùng thực tế và hệ thống tệp của chúng khởi động chậm hơn. Vì vậy, mã độc đã làm hư hỏng bảng phân vùng MBR hoặc GPT, nhưng các công cụ như testdisk thường có thể khôi phục hoặc tạo lại những bảng đó.”

Đối với các tệp không chứa khối dữ liệu lớn có dung lượng 0 byte, SRLabs cho biết vẫn có thể khôi phục tệp nếu người dùng có phiên bản cũ hơn không được mã hóa với dữ liệu tương tự.

Trong bộ giải mã Black Basta Buster, các nhà nghiên cứu đã tạo một tập lệnh có tên decryptauto[.]py để cố gắng thực hiện truy xuất khóa tự động và sau đó sử dụng nó để giải mã tệp. Các tệp đã được mã hóa trên máy ảo bằng bộ mã hóa Black Basta kể từ tháng 4/2023 để kiểm tra bộ giải mã.

Khi sử dụng tập lệnh decryptauto[.]py, nó sẽ tự động truy xuất dòng khóa và giải mã tệp, như được thể hiện trong Hình 2.

Hình 2. Black Basta Buster giải mã một tệp tin

Tuy nhiên, như đã đề cập, bộ giải mã này chỉ hoạt động trên các phiên bản Black Basta kể từ tháng 11/2022 trở đi. Hơn nữa, không thể giải mã được các phiên bản trước đó với phần mở rộng .basta vào các tệp được mã hóa thay vì phần mở rộng tệp ngẫu nhiên bằng công cụ này.

Bộ giải mã chỉ hoạt động trên một tệp tại một thời điểm, vì vậy nếu muốn giải mã toàn bộ thư mục thì cần sử dụng tập lệnh shell hoặc lệnh "find", như sau: find . -name "*.4xw1woqp0" -exec ../black-basta-buster/decryptauto[.]py "{}" \;. Chỉ cần đảm bảo thay thế phần mở rộng và đường dẫn tệp nếu cần.

Mặc dù các nạn nhân mới của Black Basta sẽ không thể khôi phục các tệp tin của họ miễn phí, nhưng những nạn nhân trước đó có thể may mắn hơn nếu họ đang tìm kiếm bộ giải mã.

Về nhóm tin tặc Black Basta

Nhóm tin tặc tống tiền Black Basta bắt đầu hoạt động vào tháng 4/2022 và trở thành băng nhóm tội phạm mạng mới nhất thực hiện các cuộc tấn công tống tiền kép vào nạn nhân.

Tháng 6/2022, Black Basta đã kết hợp với phần mềm độc hại QBot (QakBot) để nhúng Cobalt Strike nhằm truy cập từ xa vào mạng các mục tiêu. Nhóm tin tặc này sau đó đã sử dụng các đèn hiệu (beacon) để lây nhiễm sang các thiết bị khác trên hệ thống mạng để thực hiện đánh cắp dữ liệu và cuối cùng là triển khai bộ mã hóa.

Giống như các hoạt động tấn công mã độc tống tiền nhắm mục tiêu vào doanh nghiệp khác, Black Basta đã tạo một bộ mã hóa Linux để nhắm mục tiêu vào các máy ảo VMware ESXi chạy trên máy chủ Linux.

Các nhà nghiên cứu cho rằng Black Basta có mối liên hệ với nhóm tin tặc FIN7 hay Carbanak - một nhóm tội phạm mạng có động cơ về tài chính. Kể từ khi bắt đầu hoạt động cho đến nay, các nhóm tin tặc đã gây ra một loạt các cuộc tấn công, bao gồm cả các cuộc tấn công vào Hiệp hội Nha khoa Mỹ, Công ty bán lẻ thực phẩm Sobeys (Canada), Tập đoàn vật liệu xây dựng Knauf (Đức),... Gần đây nhất, các tin tặc đã sử dụng mã độc tống tiền để tấn công vào Thư viện Công cộng Toronto - hệ thống thư viện công cộng lớn nhất Canada, khiến hệ thống mạng của cơ quan này bị tê liệt và một số dịch vụ bị dừng hoạt động.

Bá Phúc

(Theo Bleepingcomputer)

‹ › ×

Tin liên quan

Sony bị tấn công bởi mã độc tống tiền

10:00 | 11/10/2023

Một nhóm tin tặc có tên RansomedVC vừa qua đã tuyên bố xâm nhập thành công hệ thống máy tính của Sony và đánh cắp dữ liệu nhạy cảm. Như các nhóm tin tặc sử dụng mã độc tống tiền khác, chúng đã đưa ra thông báo rao bán dữ liệu trên web đen của mình.

Gia tăng các sự cố chiếm đoạt tài sản trên mạng bằng mã độc tống tiền

14:00 | 11/04/2024

Hiện xu hướng tấn công mạng, đặc biệt là mã độc tống tiền (ransomware) tăng cao, những hành vi lừa đảo chiếm đoạt tài sản trên mạng diễn ra ngày càng phức tạp. Chuyên gia bảo mật và an toàn thông tin khuyến cáo từng cá nhân, tổ chức, doanh nghiệp phải dựng hàng rào bảo vệ chủ động, chứ không để "mất bò mới lo làm chuồng".

Tấn công mã độc tống tiền ngày càng tinh vi và khó phát hiện

18:00 | 22/09/2023

FortiGuard Labs mới đây vừa công bố Báo cáo toàn cảnh các mối đe dọa an ninh mạng toàn cầu trong nửa đầu năm 2023. Đáng chú ý, các nhà nghiên cứu đã quan sát thấy sự sụt giảm đáng kể số lượng các tổ chức phát hiện phần mềm tống tiền. Điều đó cho thấy tấn công bằng mã độc tống tiền ngày càng tinh vi hơn, khó phát hiện hơn, trong khi tần suất và tác động của các cuộc tấn công có chủ đích vẫn tiếp tục gia tăng.

Thế giới bước qua năm thứ 6 chống mã độc tống tiền

14:00 | 18/07/2023

Ngày chống mã độc tống tiền (Anti-Ransomware Day) được ấn định là ngày 12/5, khi thế giới ghi nhận vụ tấn công WannaCry khét tiếng năm 2017. Đại dịch ransomware lớn nhất trong lịch sử, cuộc tấn công mạng này đã lây nhiễm hơn 200 nghìn máy tính trên 150 quốc gia, ước tính gây thiệt hại cho nền kinh tế toàn cầu khoảng 4 tỷ USD. Bài viết tóm lược những thiệt hại do mã độc tống tiền gây ra, những khuyến nghị và xu hướng phát triển trong năm 2023.

Tin cùng chuyên mục

An toàn hệ mật RSA trên cơ sở Luật Moore và máy tính lượng tử

08:00 | 04/04/2024

Có một số phương pháp để xác định mức độ an toàn của các hệ mật sử dụng độ dài khóa mã (key length) tham chiếu làm thông số để đo độ mật trong cả hệ mật đối xứng và bất đối xứng. Trong bài báo này, nhóm tác giả tổng hợp một số phương pháp xác định độ an toàn của hệ mật khóa công khai RSA, dựa trên cơ sở các thuật toán thực thi phân tích thừa số của số nguyên modulo N liên quan đến sức mạnh tính toán (mật độ tích hợp Transistor theo luật Moore và năng lực tính toán lượng tử) cần thiết để phá vỡ một bản mã (các số nguyên lớn) được mã hóa bởi khóa riêng có độ dài bit cho trước. Mối quan hệ này giúp ước lượng độ an toàn của hệ mật RSA theo độ dài khóa mã trước các viễn cảnh tấn công khác nhau.

ViEncrypt - Thuật toán makeinvietnam đầu tiên cho lĩnh vực mật mã dân sự

09:00 | 08/03/2024

Chiều 07/3, tại Hà Nội, Ban Cơ yếu Chính phủ tổ chức Hội thảo xây dựng tiêu chuẩn Việt Nam (TCVN) cho thuật toán mã khối ViEncrypt trong lĩnh vực mật mã dân sự. Đồng chí Vũ Ngọc Thiềm, Trưởng ban Ban Cơ yếu Chính phủ chủ trì Hội thảo. Tham dự Hội thảo còn có đại diện lãnh đạo các hệ Cơ yếu, các cơ quan, đơn vị thuộc Ban Cơ yếu Chính phủ, các chuyên gia, nguyên cán bộ cấp cao của Viện Khoa học Công nghệ mật mã, Cục Chứng thực số và Bảo mật thông tin..., Ban Cơ yếu Chính phủ.

NIST - Tiêu chuẩn hóa mật mã hậu lượng tử: SIKE bị phá vỡ

10:00 | 17/02/2023

Trong chiến dịch bảo vệ dữ liệu đang diễn ra của chính phủ Mỹ để chuẩn bị bước vào thời đại máy tính lượng tử trong tương lai, một cuộc tấn công mới và mạnh mẽ đã sử dụng máy tính truyền thống duy nhất để phá vỡ hoàn toàn một ứng cử viên vòng 4 nêu bật lên những rủi ro liên quan đến việc tiêu chuẩn hóa thế hệ thuật toán mã hóa tiếp theo.

Sắp diễn ra Tọa đàm “Đổi mới trong công tác quản lý nhà nước về mật mã dân sự”

07:00 | 22/07/2022

Thị trường an toàn thông tin Việt Nam ngay từ giai đoạn định hình ban đầu đã có sự tham gia của các cơ quản quản lý Nhà nước trong công tác quản lý đối với sản phẩm, dịch vụ an toàn thông tin. Đặc biệt là công tác quản lý mật mã dân sự do Ban Cơ yếu Chính phủ thực hiện. Trước sự phát triển của thị trường, sự thay đổi của công nghệ, công tác quản lý mật mã dân sự và kiểm định sản phẩm mật mã cũng có những nét đổi mới để thích nghi với tình hình mới. Toạ đàm “Đổi mới trong công tác quản lý nhà nước về mật mã dân sự” dự kiến tổ chức vào ngày 27/7 tới đây trên Tạp chí An toàn thông tin điện tử sẽ bàn luận rõ hơn về vấn đề này.