Cảnh báo mã độc NanoCore tấn công mạng qua email

14:00 | 26/10/2018 | HACKER / MALWARE

Mã độc NanoCore - một dạng mã độc mới vừa được các chuyên gia bảo mật của công ty CP An toàn thông tin CyRadar phát hiện, được tin tặc sử dụng để tiến hành các vụ tấn công mạng trong thời gian gần đây.

Ngày 13/10/2018, công ty CP An toàn thông tin CyRadar đã công bố thông tin về việc họ đã phát hiện nhiều chiến dịch tấn công mạng theo kiểu mới qua email bằng loại mã độc có tên là NanoCode, nhắm vào người dùng internet. Theo CyRadar, mã độc NanoCore này đặc biệt nguy hiểm, có khả năng đánh cắp dữ liệu và chiếm quyền điều khiển máy tính người dùng, đã được các tin tặc sử dụng để thực hiện những chiến dịch tấn công mạng trong thời gian gần đây.

Cụ thể, vào cuối tháng 9/2018, một chiến dịch tấn công gián điệp bằng email đã được CyRadar phát hiện. Tin tặc đã đánh lừa người dùng tải (mở email) và thực thi tệp mã độc trên máy tính. Sau khi được người dùng tải về, mã độc này lập tức thực hiện một loạt các hành vi âm thầm và khéo léo để cài đặt một phần mềm gián điệp trên máy khách. Nó có nhiệm vụ đánh cắp dữ liệu trên máy tính đó, cho phép tin tặc điều khiển được máy tính từ xa.

Cảnh báo mã độc NanoCore tấn công mạng qua email

Quá trình thực thi mã độc NanoCore

Các tin tặc đã tạo ra những tệp có tên ngẫu nhiên và được viết bằng ngôn ngữ AutoIT, khiến mã độc này có rất nhiều hành vi độc hại như: Anti VM, Anti Sandbox, tắt UAC, tạo key run, tắt task manager, Downloader, inject code mã độc. Các hành vi này sẽ được điều khiển bằng một tệp có cấu hình bfx[.]dat.

Mã độc có tên NanoCore này cũng thực hiện rất nhiều hành vi thông qua cấu hình được lưu trữ ở Resource Directory. Ở đây, mã độc sử dụng các tính năng tạo key khởi động (key run), tạo task scheduler, anti debug, upload và download từ host sarutobi[.]hopto[.]org.

Trong đợt tấn công mạng mới này, tin tặc đã sử dụng một tệp tin cài đặt có tên gọi gdm.exe, vẫn được viết bằng ngôn ngữ AutoIT nhưng lại có dạng text và nội dung chứa rất nhiều đoạn ghi chú không cố định. Chính bởi điều này nên mặc dù bên trong têp tin có ẩn giấu mã độc NanoCore, nhưng các phần mềm bảo mật trên thiết bị của nạn nhân không thể nhận ra, hoặc nếu có thể nhận ra thì việc phát hiện cũng rất khó khăn.

Sau khi NanoCore được nạn nhân vô tình kích hoạt sẽ lập tức thực hiện nhiệm vụ đánh cắp tất cả các dữ liệu của nạn nhân, sau đó tiếp tục chiếm quyền điều khiển máy tính, qua đó giúp tin tặc có thể thực hiện mọi điều khiển theo ý muốn từ xa.

Các chuyên gia của CyRdar đưa ra khuyến cáo tới người dùng cá nhân cũng như tổ chức cần nâng cao cảnh giác đối với các "email lạ" và kiểm tra kỹ email nhận được, cũng như các tệp hoặc link đính kèm trong email đó. Với người dùng cá nhân, cần thường xuyên cập nhật phần mềm diệt virus mới nhất. Còn đối với doanh nghiệp, cần sử dụng các công nghệ scan email để ngăn chặn các chiến dịch tấn công qua email. Đồng thời, sử dụng các công nghệ giám sát mạng để phát hiện kịp thời máy tính có dấu hiệu bị tấn công cần khẩn trương cập nhật phần mềm diệt virus đang được sử dụng để đối phó, ngăn chặn khả năng bị lấy mã độc.

PC World

‹ › ×

Tin liên quan

Phần mềm độc hại trên Android lấy cắp tiền từ tài khoản PayPal của người dùng

09:00 | 25/12/2018

Ngày 11/12/2018, Công ty an ninh mạng ESET (Mỹ) đã phát hiện một loại trojan Android mới ẩn mình dưới ứng dụng tối ưu hóa thời lượng pin có thể lấy cắp tiền từ tài khoản PayPal của người dùng, ngay cả khi sử dụng công nghệ xác thực hai yếu tố.

Grayware và phương pháp giảm thiểu tác hại của Grayware

08:00 | 10/04/2019

Mặc dù Grayware (phần mềm xám) đang là một trong những vấn đề phổ biến nhất trong lĩnh vực an ninh mạng, nhưng khái niệm về Grayware vẫn còn tương đối mới mẻ. Vậy Grayware là gì, tại sao trở thành một vấn đề đáng lưu tâm và cần phải đối phó như thế nào? Bài viết cung cấp các thông tin cơ bản, cần thiết về Grayware và hướng dẫn người dùng cách bảo vệ trước Grayware.

Tin cùng chuyên mục

Lỗ hổng Kubernetes cho phép thực thi mã từ xa trên điểm cuối Windows

09:00 | 01/04/2024

Vừa qua, công ty bảo mật đám mây Akamai (Mỹ) đã đưa ra cảnh báo về việc khai thác lỗ hổng Kubernetes ở mức độ nghiêm trọng cao, có thể dẫn đến việc thực thi mã tùy ý với các đặc quyền hệ thống trên tất cả các điểm cuối Windows trong một cụm (cluster).

Phân tích chiến dịch gián điệp mạng Sea Turtle của tin tặc Thổ Nhĩ Kỳ

13:00 | 23/01/2024

Các nhà cung cấp dịch vụ viễn thông, truyền thông, Internet (ISP), nhà cung cấp dịch vụ công nghệ thông tin và các trang web của người Kurd ở Hà Lan đã trở thành mục tiêu của một chiến dịch gián điệp mạng mới do nhóm tin tặc có tên gọi là Sea Turtle thực hiện. Nhóm này hoạt động với động cơ chính trị nhằm thu thập thông tin tình báo phù hợp với những lợi ích của Thổ Nhĩ Kỳ. Bài viết này sẽ cùng phân tích về các hoạt động của nhóm tin tặc này và các kỹ thuật trong chiến dịch mới nhất, dựa trên báo cáo điều tra của công ty an ninh mạng Hunt&Hackett (Hà Lan).

Phát hiện kỹ thuật khai thác mới cho phép kẻ tấn công vượt qua các biện pháp bảo mật

07:00 | 18/01/2024

Một kỹ thuật khai thác mới có tên là SMTP Smuggling có thể được tin tặc sử dụng để gửi email giả mạo có địa chỉ người gửi giả và vượt qua các biện pháp bảo mật.

29 họ phần mềm độc hại nhắm mục tiêu 1.800 ứng dụng ngân hàng trên toàn thế giới

14:00 | 16/01/2024

Theo nghiên cứu mới đây của Zimperium (công ty bảo mật di động có trụ sở tại Hoa Kỳ), 29 họ phần mềm độc hại đã nhắm mục tiêu vào 1.800 ứng dụng ngân hàng trên 61 quốc gia vào năm 2023. Nhiều hơn gần gấp 3 lần năm 2022 với 10 dòng phần mềm độc hại nhắm mục tiêu đến 600 ứng dụng ngân hàng. Có thể thấy được sự phát triển và tiện lợi của các ứng dụng ngân hàng trực tuyến, tuy nhiên chúng cũng đi kèm với nguy cơ tiềm ẩn về an toàn thông tin và gian lận tài chính.