Mã độc tống tiền đang phát tán mạnh ở Việt Nam
- Thứ bảy - 24/01/2015 08:05
- In ra
- Đóng cửa sổ này
-
Mã độc tống tiền đang phát tán mạnh ở Việt Nam
Trong những ngày qua, các công ty bảo mật hoạt động tại Việt Nam đưa ra lời cảnh báo về một loại ransomware (mã độc dùng thuật toán mã hóa dữ liệu để đòi tiền chuộc) biến thể mới của CryptoLocker đang được phát tán mạnh tại Việt Nam, có tên gọi là CTBLocker.
Ransomware là gì?
Ransomware là một phần mềm độc hại (malware) chạy trên máy tính, giữ máy tính làm con tin nhằm mục đích tống tiền. Ransomware hạn chế quyền truy cập và kiểm soát hệ thống, sử dụng thuật toán riêng để mã hóa dữ liệu của người dùng. Một khi đã bị mã hóa, mọi dữ liệu của người dùng không thể khôi phục được, trừ phi phải trả tiền (vài trăm USD) để có “chìa khóa” giải mã. Một trong những đại diện nổi tiếng nhất của malware này là CryptoLocker. CryptoLocker lần đầu tiên xuất hiện ở Nga, sau đó nhanh chóng lây lan ra các nước châu Âu.
Ransomware là gì?
Ransomware là một phần mềm độc hại (malware) chạy trên máy tính, giữ máy tính làm con tin nhằm mục đích tống tiền. Ransomware hạn chế quyền truy cập và kiểm soát hệ thống, sử dụng thuật toán riêng để mã hóa dữ liệu của người dùng. Một khi đã bị mã hóa, mọi dữ liệu của người dùng không thể khôi phục được, trừ phi phải trả tiền (vài trăm USD) để có “chìa khóa” giải mã. Một trong những đại diện nổi tiếng nhất của malware này là CryptoLocker. CryptoLocker lần đầu tiên xuất hiện ở Nga, sau đó nhanh chóng lây lan ra các nước châu Âu.
Loại mã độc đang hoành hành tại Việt Nam là một biến thể mới của CryptoLocker, có tên gọi là CTBLocker (Curve-Tor-Bitcoin Locker), còn có tên gọi khác là Critroni. Chiều ngày 22-1-2015, công ty An ninh mạng BKAV ra thông báo cho biết hệ thống giám sát của công ty đã phát hiện loại biến thể mới của CryptoLocker này đang phát tán mạnh tại Việt Nam. Đã có hơn 1.300 người bị nhiễm tại Việt Nam, trong đó có máy tính của một số cơ quan và một số ngân hàng lớn.
Ông Nguyễn Minh Đức, chuyên gia bảo mật FPT cho biết, từ trưa ngày 21-1-2015, đã có một số cơ quan và ngân hàng yêu cầu trợ giúp vì nhiễm CTBLocker.
Hoạt động của mã độc CTBLocker
Theo chuyên gia bảo mật Nguyễn Minh Đức, mọi chuyện khởi đầu khi người dùng nhận được một email cùng với một file đính kèm mà người dùng tưởng là một file văn bản nên mở để xem.
Thực ra đây chưa phải là ransomware CTBLocker mà là một malware downloader, có định dạng .SCR (screen saver), tên của nó trùng với tên của file đính kèm.
Con downloader này sẽ kích hoạt chương trình Wordpad để hiển thị một file văn bản, đúng với nội dung mô tả trong email, khiến người dùng nghĩ rằng đây là một file văn bản thật.
Khi mở file đính kèm, là lúc con downloader này được kích hoạt, nó tự kết nối tới máy chủ và tải về một file có định dạng .EXE (24967891.exe).
24967891.exe tiếp tục “đẻ” ra 2 file là dvnoijl.job và qechhwi.exe (Tên file có thể khác nhau trên các máy tính khác nhau).
Con qechhwi.exe mới là nhân vật chính, nhiệm vụ của nó là mã hoá tất cả các file .doc, pdf, xls, jpg, zip… (tất cả các files văn bản, hình ảnh và các files nén) trên máy tính của nạn nhân, sau đó hiển thị thông báo doạ nạt và tống tiền. Khi lây nhiễm được vào máy tính của nạn nhân, mã độc quét toàn bộ ổ đĩa của máy tính và tiến hành mã hoá các file bằng mã hoá khoá công khai (public key cryptography). Để giải mã được các file này bắt buộc phải có khoá bí mật (private key) mà chỉ có kẻ phát tán mới có. Điều này có nghĩa là chúng ta không thể khôi phục lại được các files đã bị mã hoá trừ khi chấp nhận trả tiền cho chúng.
Cách phòng tránh
Mặc dù đã có những công cụ diệt loại malware này, nhưng chắc chắn dữ liệu không thể khôi phục được, đồng nghĩa với việc người dùng sẽ vĩnh viễn mất toàn bộ dữ liệu (các files văn bản, hình ảnh, v.v...). Do đó phòng tránh là giải pháp duy nhất an toàn:
1. Bảo đảm rằng hệ điều hành và các phần mềm thường xuyên được cập nhật.
2. Cài đặt phần mềm chống virus, bao gồm công cụ cảnh báo CryptoLocker.
3. Không mở file đính kèm đáng nghi ngờ, có nguồn gốc từ những email lạ. Cẩn thận khi bấm vào link nhận được qua chat hoặc email.
4. Chỉ tải các files cài đặt từ website gốc.
5. Thường xuyên sao lưu các dữ liệu quan trọng sang một ổ đĩa gắn ngoài.
Bạn đọc quan tâm có thể tham khảo thêm: http://www.bleepingcomputer.com/virus-removal/ctb-locker-ransomware-information