Chú ý email bản cập nhật giả mạo Windows 10 là ransomware

Administrator
Một chiến dịch phát tán phần mềm độc hại mới đang được tiến hành dưới dạng gửi các email từ một địa chỉ giả mạo của Microsoft. Email này nhắc nhở mọi người tải xuống bản cập nhật quan trọng của Windows 10. Tuy nhiên các bạn hãy cảnh giác , đây là các bản cập nhật có mã độc.

Chiến dịch phát tán mã độc này được phát hiện bởi công ty bảo mật máy tính Trustwave . Nội dung của email cho biết: " Hãy cài đặt bản Cập nhật Microsoft mới nhất ngay bây giờ! Đây là bản cập nhật quan trọng của Windows 10 " Dù chỉ có nội dung "Please install the latest critical update from Microsoft attached to this mail" Vui lòng cài đặt bản cập nhật quan trọng mới nhất từ Microsoft đính kèm với email này"

Đây là một file mã độc Ransomware , chỉ cần người dùng nhẹ dạ không kiểm tra kỹ hệ thống của bạn sẽ bị hacker mã hóa dữ liệu và đòi tiền chuộc.

Nếu bạn nhận được các nội dung như trên hãy làm theo các bước sau:
1. Xóa email ngay lập tức.
2. Microsoft KHÔNG BAO GIỜ gửi các bản cập nhật qua email

Tham khảo thêm bài viết này để nắm được các kiến thức tự bảo vệ cơ bản

Email chứa tệp jpg giả mạo dạng ảnh , bên trong là tệp .NET thực thi lây nhiễm PC của bạn.

Khi bạn mở file này , cách lệnh thực thi sẽ tải xuống chương trình bitcoin bitcoingenerator.exe,có nguồn từ misterbtc2020 - trên GitHub. Nhưng công cụ tạo bitcoin này không đào ra bất kỳ đồng bitcoin ảo nào mà thay vào đó là con ransomware có tên Cyborg.

Con Cyborg sẽ mã hóa tất cả các dữ liệu của của bạn đổi phẩn mở rộng thành 777. Bạn sẽ được đọc một tệp văn bản trên máy tính lây nhiễm của bạn có tên là Cy Cy_D_DRYRY.txt.txt, nội dung của tệp này có hướng dẫn về cách phục hồi và giá tiền chuộc.

Theo Trustwave, loại mã độc này có bốn biến thể , họ lần theo dấu vết và phát hiện mã độc này có nguồn gốc từ Nga.

Trustwave nói rằng đây là mối nguy hiểm thực sự đối với các doanh nghiệp và cá nhân nếu không cảnh giác.
6a0133f264aa62970b0240a49e08d3200c-pi.jpg

Hình 1: Cổng email bảo mật Trustwave (SEG) thông báo thư rác giả mạo Windows Update giả

6a0133f264aa62970b0240a4ebf981200b-500wi.jpg

Hình 2: Phần #Strings của tệp. Net được đính kèmtrong Hình. 1

6a0133f264aa62970b0240a49e0903200c-900wi.jpg

Hình 3: Hồ sơ tài khoản Github misterbtc2020, nơi con Cyborg ransomware bitcoingenerator.exe được tải xuống

6a0133f264aa62970b0240a49e0e9a200c-500wi.jpg

Hình 4: Truy cập bộ nhớ của tệp bitcoingenerator.exe cho biết phần mở rộng các tệp mà nó sẽ tìm để mã hóa

6a0133f264aa62970b0240a49e0ef9200c-800wi.jpg

Hình 5: các tệp bị mã hóa sẽ có đuôi mở rộng .777

6a0133f264aa62970b0240a4ebff1b200b-640wi.jpg

Hình 6: Một số thông tin về tiền chuộc, Cy Cy_D_DRYRY.txt.txt nằm trong bitcoingenerator.exe

6a0133f264aa62970b0240a4c743ba200d-900wi.jpg

Hình 7: Công cụ giám sát mã bitcoin bitcoingenerator.exe cho thấy nó tự tạo bản sao của chính nó

6a0133f264aa62970b0240a4c743ce200d-400wi.jpg

Hình 8: Các thuộc tính của tệp Cyborg ransomware bitcoingenerator.exe

6a0133f264aa62970b0240a4ebff69200b-500wi.jpg

Hình 9: Video trên Youtube của developer tạo ra con ransomware Cyborg

6a0133f264aa62970b0240a4c74452200d-900wi.jpg

Hình 10: Tài khoản Github Cyborg-Ransomware lưu trữ quá trình xây dựng ransomware Cyborg

6a0133f264aa62970b0240a49e100f200c-500wi.jpg

Hình 11: Trình tạo ransomware Cyborg từ tài khoản Github Cyborg-Ransomware

6a0133f264aa62970b0240a4c74480200d-800wi.jpg

Hình 12: Các mẫu ransomware Cyborg: (từ trái sang phải) Các ransomware tạo ra " Ransom.exe". Rebuilder , 3 mẫu từ VT, file được tải về trong thư rác bitcoingenerator.exe​
Đinh Quang Vinh tham khảo nguồn
 
Sửa lần cuối bởi điều hành viên:
Trả lời

huuhieu012345

Rìu Sắt
Chỉ có lừa qua Email thôi, chứ kênh cập nhật của Windows chính chủ thì rất khó để hack vào.
Lừa qua email nhưng vẫn có người không biết gì về máy tính hoặc họ mua key bản quyền win qua mạng. Họ cả tin và ấn vào link thì .... BoOm..... Mất sạch tài liệu. Chỉ khi người dùng email sử dụng là một win khác như win xp, 7, 8, 8.1 thì khi họ đọc email thì họ sẽ nhận ra ngay là lừa đảo hoặc là một người dùng có kinh nghiệm. Cơ mà gmail thì có cloud antivirus cứ up file gì nghi ngờ lên là bị "chém" ngay chứ đừng nói đến là gửi đi được. Cái kiểu tấn công này hao hao kiểu web phishing chủ yếu đánh vào tâm lý, sự cả tin quá mức.....
 

ansos123

Rìu Bạc
phù, đọc xong mới thấy yên tâm. Tưởng kênh update trên Windows 10 bị hack ms sợ chứ email mình chỉ click duy nhất đường link xác nhận đăng kí tài khoản và tải file đính kèm tài liệu gửi thầy giáo lúc làm đồ án thôi {big_smile}
 

Hamano Kaito

Moderator
@huuhieu012345 | Bạn ko biết về DEV rồi ! Họ chỉ cần thêm chứng chỉ hoặc đại loại như vậy là Anti cho vào danh sách trắng liền. Rất có nhiều cách vượt anti nha bạn. Cái chính yếu là họ muốn tấn công người dùng là chính.
Cái file nhiễm đó là file mới và hầu như quét sạch ko bị anti nào báo đỏ hết cả.
-------------
Giờ ko phải nhận dạng được file đó nhiễm hay ko ? Cái quan trọng mà anti (ransomware) cần quan tâm là khả năng chặn hành vi kìa
 

hongmieu98

Rìu Vàng Đôi
Thực ra cái campaign này gửi cho người dùng toàn là file .jpg mở lên thì cái photoviewer không đọc được nên cũng không sao, trừ khi chạy command prompt với quyền admin. Con ransomware này là open source nên khá là dễ giải mã thôi =))))