Mã độc tống tiền Locky mã hóa tập tin trên mạng chia sẻ

13:45 | 14/03/2016 | HACKER / MALWARE

Các chuyên gia an toàn thông tin vừa phát hiện mã độc tống tiền mới có tên Locky, sử dụng thuật toán mã hóa AES để mã hóa tập tin nội bộ và tập tin trên mạng chia sẻ (Network share).

Mã độc tống tiền Locky mã hóa tập tin trên mạng chia sẻ

Locky là dòng mã độc tống tiền thứ hai được phát hiện, có khả năng mã hóa dữ liệu trên mạng chia sẻ unmap. Điều này cho thấy các mã độc đời sau được tin tặc xây dựng có xu hướng kế thừa các tính năng của mã độc trước đó.

Thực tế, Locky chỉ sử dụng lại những kỹ thuật giống như các mã độc khác, như khả năng thay đổi hoàn toàn tên file cho tập tin mã hóa để gây khó khăn cho việc khôi phục dữ liệu. Tính năng này đã được biết đến trước đó trên CrytoWall.

Mã độc mới Locky phát tán thông qua email giả mạo hóa đơn thanh toán, với file word đính kèm chứa macro độc hại. Khi người dùng kích hoạt macro để xem nội dung file đính kèm, đồng thời sẽ tải về Locky từ máy chủ từ xa và thực thi mã độc. Ngay lập tức, Locky bắt đầu mã hóa file trên hệ thống bị xâm nhập.

Để mã hóa, Locky tạo và chỉ định một số 16 hexa cho máy tính của nạn nhân và quét toàn bộ drive và các mạng chia sẻ unmap để tìm các tập tin sẽ mã hóa. Mã độc sử dụng thuật toán AES và chỉ nhắm tới các file có phần đuôi mở rộng đáp ứng tiêu chuẩn nhất định.

Locky sẽ bỏ qua các tập tin chứa các chuỗi dưới đây trong pathname và filename: tmp, winnt, Application Data, AppData, Program Files (x86), Program Files, temp, thumbs.db, $Recycle.Bin, System Volume Information, Boot và Windows.

Toàn bộ các tập tin mã hóa được đặt lại tên tự động thành unique_id][identifier].locky với ID duy nhất và các thông tin khác cũng được nhúng vào cuối tập tin được mã hóa. Ngoài ra, mã độc sẽ xóa toàn bộ các Shadow Volume Copies (thuộc System Restore, có chức năng khôi phục dữ liệu) trên thiết bị, để ngăn cản nạn nhân khôi phục lại những tập tin của họ.

Locky để lại một thông báo đòi tiền chuộc _Locky_recover_instructions.txt trong mỗi tập tin mà nó mã hóa, cung cấp cho người dùng thông tin về điều đã xảy ra với file của họ kèm theo các đường dẫn đến trang giải mã. Ngoài ra, mã độc cũng thay đổi hình nền Desktop thành một hình ảnh .bmp cũng chứa các hướng dẫn như trong đoạn thông báo yêu cầu người dùng trả 0,5 bitcoin để khôi phục các tập tin của mình.

Locky lưu trữ thông tin trong phần đăng ký, bao gồm ID duy nhất được chỉ định cho thiết bị nạn nhân, khóa public RSA, đoạn text trong phần thông báo đòi tiền chuộc, và các thông tin về việc mã độc đã hoàn thành việc mã hóa thiết bị nạn nhân. Trang giải mã Locky Decrypter Page hiển thị thông tin về cách thức mua bitcoin để trả tiền chuộc và cung cấp mã khóa khi khoản thanh toán được gửi tới địa chỉ yêu cầu.

‹ › ×

Tin liên quan

Hội nghị Bộ trưởng Thông tin truyền thông APEC lần thứ 10

09:30 | 02/04/2015

Ngày 30/3, Hội nghị Bộ trưởng Thông tin truyền thông Diễn đàn hợp tác kinh tế châu Á-Thái Bình Dương lần thứ 10 (APEC TELMIN) đã khai mạc tại thủ đô Kuala Lumpur của Malaysia.

Một số sự cố an ninh thông tin năm 2012

17:34 | 01/12/2012

Năm 2012, sự số an ninh thông tin đã xảy ra đối với hầu hết các hãng phần mềm lớn có tên tuổi như Adobe, Microsoft, Oracle, Sony, Google, Android, Apple, Mac OS X….

Tin cùng chuyên mục

Hệ thống công nghệ thông tin của PVOIL bị tấn công ransomware

09:00 | 03/04/2024

Ngày 02/4, hệ thống công nghệ thông tin của Tổng công ty Dầu Việt Nam (PVOIL) bị tấn công bất hợp pháp có chủ đích theo hình thức mã hóa dữ liệu (ransomware). Vụ việc này đã khiến hệ thống công nghệ thông tin của PVOIL bị ngưng trệ, việc phát hành hóa đơn điện tử phục vụ việc bán hàng của PVOIL tạm thời không thể thực hiện được.

Lỗ hổng trong thư viện Aiohttp bị tin tặc khai thác để tấn công mạng

10:00 | 28/03/2024

Các nhà nghiên cứu phát hiện nhóm ransomware ShadowSyndicate đang quét các máy chủ tồn tại lỗ hổng directory traversal định danh CVE-2024-23334, hay còn gọi là lỗ hổng path traversal trong thư viện Aiohttp của Python.

Khám phá chiến dịch phát tán RAT độc hại thông qua các nền tảng họp trực tuyến

10:00 | 13/03/2024

Các nhà nghiên cứu của công ty bảo mật đám mây Zscaler (Hoa Kỳ) cho biết, kể từ tháng 12/2023 các tác nhân đe dọa đã tạo ra các trang web giả mạo phần mềm họp trực tuyến phổ biến như Google Meet, Skype và Zoom để phát tán Trojan truy cập từ xa (RAT), bao gồm SpyNote RAT cho nền tảng Android, NjRAT và DCRat trên Windows.

Công bố chi tiết lỗ hổng Zero-Click Shortcut mới được phát hiện gần đây của Apple

09:00 | 08/03/2024

Thông tin chi tiết về một lỗ hổng có độ nghiêm trọng mức cao trong ứng dụng Shortcut của Apple đã được công bố, trong đó lỗ hổng có thể cho phép một Shortcut truy cập thông tin nhạy cảm trên thiết bị mà không có sự đồng ý của người dùng.