Mã độc ZCryptor lây lan qua ổ cứng di động

08:00 | 24/06/2016 | HACKER / MALWARE

Thời gian gần đây, nhiều dòng mã độc tống tiền mới có thể lây lan qua các ổ cứng di động đã được phát hiện.

Được biết đến với tên gọi Ransom:Win32/ZCryptor.A, mã độc này có cách thức lây nhiễm tương tự như cách thức lây nhiễm của một số dạng mã độc khác như: thư rác, mã độc marco hay chương trình cài đặt giả mạo. Điểm khác biệt của Zcryptor là khả năng tự phát tán và lây nhiễm từ một máy tính bị xâm nhập.

Để thực hiện lây nhiễm, ZCryptor cài đặt một tập tin autorun.inf trên ổ cứng di động. Tập tin này có thể lây nhiễm vào các máy tính khi sử dụng những ổ đĩa này. Các nhà nghiên cứu của Microsoft giải thích rằng, các mã độc tống tiền này sẽ lợi dụng mạng nhằm mục đích tự phát tán, chúng sẽ cài đặt các bản sao của mình đến các vị trí khác nhau, thay đổi các thuộc tính tập tin này để tự ẩn mình trong mạng.

Khi phân tích mã độc này, các nhà nghiên cứu của hãng bảo mật TrendMicro nhận thấy, mã độc ZCryptor được thiết kế để nhắm vào các máy tính Windows XP 64 bit, ngoài ra chúng cũng có thể chạy trên một số phiên bản gần đây của Windows như Windows 7 và 8.

Khi lây nhiễm vào hệ thống, mã độc Zcryptor có thể chạy khi khởi động hệ thống bằng cách tạo ra các khóa đăng ký registry, sau khi cài tập tin autorun.inf từ ổ cứng di động và zycrypt.lnk vào trong thư mục khởi động hệ thống. Tiếp đó, các mã độc này sẽ tạo ra các bản sao ẩn của chúng là {Drive}: \ system.exevà % appdata% \ zcrypt.exe.

Mã độc ZCryptor lây lan qua ổ cứng di động

Mã độc tống tiền này nhắm vào hầu hết các loại tập tin, mã hóa chúng và thêm phần mở rộng .zcrypt, đồng thời cũng tạo các mutex zcrypt1.0 trên những máy tính bị nhiễm, với mục đích thông báo rằng máy tính của người dùng đã nhiễm phần mềm độc hại. Ngoài ra chúng cũng kết nối đến các máy chủ điều khiển để trao đổi thông tin.

Mã độc ZCryptor yêu cầu khoản tiền chuộc ban đầu là 1,2 Bitcoin, nhưng sẽ tăng lên 5 Bitcoin sau bốn ngày nếu người dùng không thanh toán. Tuy nhiên, việc trả tiền chuộc không phải là một sự lựa chọn có thể giải quyết được triệt để vấn đề. Thay vào đó, người dùng nên sao lưu dữ liệu để giảm bớt tác động của sự lây nhiễm mã độc.

‹ › ×

Tin liên quan

Morgan Stanley chấp nhận nộp phạt vì bán ổ cứng chứa dữ liệu khách hàng không mã hóa

13:00 | 13/10/2022

Ngày 20/9, Morgan Stanley đã đồng ý trả cho Ủy ban Chứng khoán và Giao dịch (SEC) một khoản phạt lên tới 35 triệu USD vì lỗi bảo mật dữ liệu, bao gồm ổ cứng không được mã hóa từ các trung tâm dữ liệu ngừng hoạt động được bán lại trên các trang web đấu giá mà không bị xóa trước đó.

Tin cùng chuyên mục

Tin tặc có thể sử dụng AI tạo sinh để thao túng các cuộc trò chuyện trực tiếp

09:00 | 09/04/2024

Các nhà nghiên cứu bảo mật của IBM đã chứng minh rằng tin tặc có thể sử dụng trí tuệ nhân tạo (AI) tạo sinh và công nghệ deepfake âm thanh để chiếm quyền điều khiển và thao túng các cuộc hội thoại trực tiếp.

Công bố chi tiết lỗ hổng Zero-Click Shortcut mới được phát hiện gần đây của Apple

09:00 | 08/03/2024

Thông tin chi tiết về một lỗ hổng có độ nghiêm trọng mức cao trong ứng dụng Shortcut của Apple đã được công bố, trong đó lỗ hổng có thể cho phép một Shortcut truy cập thông tin nhạy cảm trên thiết bị mà không có sự đồng ý của người dùng.

Lỗ hổng nghiêm trọng trong Jenkins dẫn đến thực thi mã từ xa

09:00 | 01/02/2024

Một lỗ hổng nghiêm trọng trong giao diện dòng lệnh (CLI) của Jenkins cho phép kẻ tấn công lấy được các khóa mật mã có thể được sử dụng để thực thi mã tùy ý từ xa.

Giải mã chiến dịch Operation Blacksmith: Nhóm tin tặc Triều Tiên Lazarus sử dụng phần mềm độc hại mới dựa trên DLang

07:00 | 27/12/2023

Các nhà nghiên cứu tại Công ty công nghệ an ninh mạng Cisco Talos (Mỹ) mới đây đã phát hiện ra chiến dịch Operation Blacksmith do nhóm tin tặc Lazarus khét tiếng của Triều Tiên thực hiện, sử dụng ba họ phần mềm độc hại dựa trên ngôn ngữ lập trình DLang, bao gồm trojan truy cập từ xa (RAT) có tên là NineRAT tận dụng Telegram để ra lệnh và kiểm soát (C2), DLRAT và trình tải xuống có tên là BottomLoader.