Mã độc ZCryptor lây lan qua ổ cứng di động

08:00 | 24/06/2016 | HACKER / MALWARE

Thời gian gần đây, nhiều dòng mã độc tống tiền mới có thể lây lan qua các ổ cứng di động đã được phát hiện.

Được biết đến với tên gọi Ransom:Win32/ZCryptor.A, mã độc này có cách thức lây nhiễm tương tự như cách thức lây nhiễm của một số dạng mã độc khác như: thư rác, mã độc marco hay chương trình cài đặt giả mạo. Điểm khác biệt của Zcryptor là khả năng tự phát tán và lây nhiễm từ một máy tính bị xâm nhập.

Để thực hiện lây nhiễm, ZCryptor cài đặt một tập tin autorun.inf trên ổ cứng di động. Tập tin này có thể lây nhiễm vào các máy tính khi sử dụng những ổ đĩa này. Các nhà nghiên cứu của Microsoft giải thích rằng, các mã độc tống tiền này sẽ lợi dụng mạng nhằm mục đích tự phát tán, chúng sẽ cài đặt các bản sao của mình đến các vị trí khác nhau, thay đổi các thuộc tính tập tin này để tự ẩn mình trong mạng.

Khi phân tích mã độc này, các nhà nghiên cứu của hãng bảo mật TrendMicro nhận thấy, mã độc ZCryptor được thiết kế để nhắm vào các máy tính Windows XP 64 bit, ngoài ra chúng cũng có thể chạy trên một số phiên bản gần đây của Windows như Windows 7 và 8.

Khi lây nhiễm vào hệ thống, mã độc Zcryptor có thể chạy khi khởi động hệ thống bằng cách tạo ra các khóa đăng ký registry, sau khi cài tập tin autorun.inf từ ổ cứng di động và zycrypt.lnk vào trong thư mục khởi động hệ thống. Tiếp đó, các mã độc này sẽ tạo ra các bản sao ẩn của chúng là {Drive}: \ system.exevà % appdata% \ zcrypt.exe.

Mã độc ZCryptor lây lan qua ổ cứng di động

Mã độc tống tiền này nhắm vào hầu hết các loại tập tin, mã hóa chúng và thêm phần mở rộng .zcrypt, đồng thời cũng tạo các mutex zcrypt1.0 trên những máy tính bị nhiễm, với mục đích thông báo rằng máy tính của người dùng đã nhiễm phần mềm độc hại. Ngoài ra chúng cũng kết nối đến các máy chủ điều khiển để trao đổi thông tin.

Mã độc ZCryptor yêu cầu khoản tiền chuộc ban đầu là 1,2 Bitcoin, nhưng sẽ tăng lên 5 Bitcoin sau bốn ngày nếu người dùng không thanh toán. Tuy nhiên, việc trả tiền chuộc không phải là một sự lựa chọn có thể giải quyết được triệt để vấn đề. Thay vào đó, người dùng nên sao lưu dữ liệu để giảm bớt tác động của sự lây nhiễm mã độc.

‹ › ×

Tin liên quan

Morgan Stanley chấp nhận nộp phạt vì bán ổ cứng chứa dữ liệu khách hàng không mã hóa

13:00 | 13/10/2022

Ngày 20/9, Morgan Stanley đã đồng ý trả cho Ủy ban Chứng khoán và Giao dịch (SEC) một khoản phạt lên tới 35 triệu USD vì lỗi bảo mật dữ liệu, bao gồm ổ cứng không được mã hóa từ các trung tâm dữ liệu ngừng hoạt động được bán lại trên các trang web đấu giá mà không bị xóa trước đó.

Tin cùng chuyên mục

Phân tích phần mềm độc hại DinodasRAT trên Linux

19:00 | 30/04/2024

DinodasRAT hay còn được gọi là XDealer là một backdoor đa nền tảng được phát triển bằng ngôn ngữ C++ cung cấp nhiều tính năng độc hại. DinodasRAT cho phép kẻ tấn công theo dõi và thu thập dữ liệu nhạy cảm từ máy tính của mục tiêu. Một phiên bản cho hệ điều hành Windows của phần mềm độc hại này đã được sử dụng trong các cuộc tấn công nhắm mục tiêu vào các thực thể của Chính phủ Guyana và được các nhà nghiên cứu tới từ công ty bảo mật ESET (Slovakia) báo cáo với tên gọi là chiến dịch Jacana. Bài viết sẽ phân tích cơ chế hoạt động của phần mềm độc hại DinodasRAT dựa trên báo cáo của hãng bảo mật Kaspersky.

Khám phá Trojan mới của BlueNoroff với mục tiêu tấn công người dùng macOS

17:00 | 22/12/2023

Mới đây, các nhà nghiên cứu tới từ hãng bảo mật Kaspersky đã đưa ra báo cáo về việc phát hiện một loại Trojan mới có liên quan đến nhóm tin tặc APT BlueNoroff và chiến dịch RustBucket đang diễn ra. Trojan này là một trình tải độc hại được thiết kế để tải và thực thi mã độc khác trên hệ thống bị xâm nhập với mục tiêu nhắm vào người dùng macOS. Bài viết này sẽ cùng tìm hiểu, khám phá Trojan BlueNoroff cũng như thông tin xoay quanh nhóm tin tặc này.

Phân tích phần mềm độc hại RisePro: Khám phá giao tiếp C2 trong phiên bản mới

13:00 | 14/12/2023

RisePro là một phần mềm độc hại đánh cắp thông tin dưới dạng dịch vụ, được xác định lần đầu tiên vào năm 2022. Gần đây, các nhà nghiên cứu của Anyrun nhận thấy hoạt động của phần mềm độc hại này tăng đột biến, đồng thời thay đổi cách giao tiếp với máy chủ điều khiển và kiểm soát (C2), cũng như trang bị những khả năng mới, đặc biệt là các tính năng điều khiển từ xa khiến nó có khả năng hoạt động như một RAT (Remote Access Trojan).

Giải mã Ducktail: Phần mềm độc hại có nguồn gốc từ Việt Nam

07:00 | 11/12/2023

Hoạt động từ cuối năm 2021, Ducktail là họ phần mềm độc hại nhằm mục đích đánh cắp tài khoản doanh nghiệp trên Facebook. Theo báo cáo của 2 hãng bảo mật WithSecure (Phần Lan) và GridinSoft (Ukraine) cho biết các cuộc tấn công Ducktail được thực hiện bởi một nhóm tin tặc đến từ Việt Nam.