Bitcoin dùng làm tiền chuộc, ransomware WannaRen lại tấn công

Đọc bài viết này mất 15 phút

Tại sao virus ransomware luôn ưa thích Bitcoin?

Tiêu đề gốc: "Bitcoin là tiền chuộc, ransomware WannaRen lại tấn công!" 》
Nguồn gốc: Programming Life (ID: code_life)

Tác giả: Ma Chao Biên tập: Hu Weiwei

Gần đây, một loại virus ransomware Bitcoin mới có tên WannaRen đã xuất hiện trên Internet, tương tự như "WannaCry" trước đó virus, sau khi virus "WannaRen" xâm nhập vào máy tính, nó sẽ mã hóa gần như toàn bộ tập tin trong hệ thống, đồng thời sẽ hiện ra một hộp thoại nếu người dùng muốn khôi phục tập tin và cần trả số tiền chuộc là 0,05 Bitcoin.

Hiện tại có hai biến thể của virus WannaRen, một biến thể gửi tin nhắn đòi tiền chuộc qua văn bản và biến thể còn lại thông qua những bức ảnh . Không giống như thế hệ ransomware WannaCry trước đó kết hợp lỗ hổng Eternal Blue để lây lan nhanh chóng trên mạng nội bộ, ransomware WannaRen không sử dụng các lỗ hổng có nguy cơ cao như RDP và SMB để chủ động lây lan. Vì vậy, sức công phá của WannaRen tương đối hạn chế nhưng không loại trừ khả năng các virus đột biến tiếp theo sẽ lợi dụng loạt lỗ hổng “Eternal Black” để thực hiện các cuộc tấn công xâm nhập mạng nội bộ. Theo báo cáo mới nhất, liên kết tải xuống trình soạn thảo mã nguồn mở Notepad++ được cung cấp bởi một trang web tải xuống nổi tiếng trong nước được phát hiện có chứa mã liên quan đến WannaRen, khiến ransomware có thể bùng nổ trở lại thông qua các trang tải xuống trong nước.

Tác giả đã kiểm tra địa chỉ đòi tiền chuộc Bitcoin 1NXTgfGprVktuokv3ZLhGCPCjcKjXbswAM được virus WannaRen sử dụng để kiểm tra ví mà kẻ tấn công sử dụng. Chưa nhận được tiền chuộc. May mắn thay, tác giả của WannaRen đã chủ động tiết lộ key giải mã và cho ra đời một công cụ giải mã không độc hại, tuy nhiên tính hiệu quả của công cụ giải mã này vẫn chưa được xác nhận.

Virus WannaRen hiện chỉ có phiên bản tiếng Trung nên tác giả ước tính đây là virus nội địa. Sự lây lan quy mô lớn của WannaRen chủ yếu dựa vào việc giả mạo các công cụ và phần mềm khác để đánh lừa lượt tải xuống.

Tại sao virus ransomware luôn thích Bitcoin?

Sự tăng vọt của Bitcoin trong năm 2017 có liên quan trực tiếp đến sự bùng phát toàn cầu của virus ransomware WannaCry. WannaCry đã lây nhiễm ít nhất 300.000 người dùng tại 150 quốc gia, gây thiệt hại trên diện rộng trên toàn thế giới, gây thiệt hại 8 tỷ USD. , ảnh hưởng đến nhiều ngành như tài chính, năng lượng, y tế và gây ra cuộc khủng hoảng an ninh thông tin nghiêm trọng. Ở nước ta, WannaCry đã lợi dụng đặc tính lan truyền ngang của mạng nội bộ khiến mạng lưới của trường chịu thiệt hại nặng nề, một lượng lớn dữ liệu phòng thí nghiệm và đồ án tốt nghiệp đã bị khóa và mã hóa. Để lấy lại các tập tin dữ liệu liên quan, nhiều tổ chức công nghệ không còn cách nào khác là phải mua Bitcoin để trả tiền chuộc. Tuy nhiên, do khả năng giao dịch của blockchain Bitcoin có hạn nên giới hạn trên của giao dịch mỗi giây không quá 10 và khối lượng giao dịch đột ngột do WannaCry gây ra cũng được coi là một trong những nguyên nhân gây ra fork của blockchain Bitcoin. mạng. .

Tuy nhiên, điều đáng phẫn nộ là ngay cả khi trả tiền chuộc, người dùng cũng không thể khôi phục các tập tin bị hỏng và WannaCry đã trở nên khét tiếng. Và đây không phải là lần đầu tiên Bitcoin bị tin tặc khai thác. CryptoLocker, xuất hiện vào năm 2013, là tác giả của ransomware Bitcoin. CryptoLocker sẽ ngụy trang dưới dạng tệp đính kèm email hợp pháp hoặc tệp định dạng .exe. Nếu được kích hoạt, phần mềm độc hại sẽ sử dụng mã hóa khóa công khai RSA và khóa AES, mã hóa một số loại tệp nhất định trên mạng cục bộ và nội bộ; các khóa riêng được giữ trên các máy chủ do người tạo CryptoLocker kiểm soát. Nếu bạn thanh toán bằng Bitcoin trong khoảng thời gian quy định, bạn sẽ có thể giải mã các tệp, nếu không, khóa riêng sẽ bị hủy và các tệp bị hỏng không bao giờ có thể khôi phục được. Như vậy ở thời điểm này, CryptoLocker vẫn là một hacker hợp pháp so với WannaCry, ít nhất nó có thể giúp người dùng khôi phục tập tin với một khoản phí.

Tác giả đã thấy một số lượng lớn bài viết trên Internet cho rằng các virus ransomware như WannaCry và CryptoLocker đã chọn Bitcoin vì không thể truy tìm dấu vết các giao dịch Bitcoin. Tuy nhiên, tuyên bố này tương đối thiên vị. mọi người đều có thể tìm thấy thông tin giao dịch của mình thông qua địa chỉ Bitcoin bị tống tiền giống như tác giả, vì vậy Bitcoin có thể truy nguyên được.

Tính ẩn danh của tài khoản Bitcoin là lý do khiến chúng được tin tặc sử dụng rộng rãi. Sự xuất hiện của Bitcoin, đặc biệt là tính ẩn danh của nó, cũng đặt ra những thách thức mới đối với các mục tiêu giám sát chống rửa tiền.Các phương pháp giám sát đối với hệ thống tài khoản tài chính tên thật hiện tại chắc chắn không thể áp dụng cho Bitcoin. Việc thiếu các biện pháp chống rửa tiền theo quy định cũng là lý do chính khiến tin tặc hiện thích Bitcoin làm tiền chuộc.

Xu hướng phát triển ransomware

Virus cũng là nguồn mở: Nửa cuối năm 2015, chuyên gia bảo mật Thổ Nhĩ Kỳ Utku Sen được đăng trên GitHub Phát hành một loại virus mã nguồn mở có tên Hidden Tear (https://github.com/utkusen/hidden-tear)

Sự xuất hiện của Hidden Tear có ý nghĩa rất lớn. Nó chỉ có 12KB. Mặc dù có kích thước nhỏ nhưng nó có đầy đủ các cơ quan nội tạng. Phần mềm này có thiết kế tuyệt vời về mô-đun lan truyền và mô-đun hủy diệt. Mặc dù tác giả Utku Sen đã nhiều lần nhấn mạnh rằng phần mềm này nhằm mục đích để mọi người biết thêm về cách thức hoạt động của ransomware nhưng nó vẫn gây ra nhiều tranh cãi vì là một mã nguồn mở của ransomware. Dự án này hiện đang bị ẩn trên Github, nhưng bạn vẫn có thể lấy mã nguồn sau khi gửi đơn đăng ký cho tác giả. Sau khi đọc mã nguồn của ransomware Hidden Tear, tác giả chợt nhận ra rằng ý tưởng và phương pháp lập trình ban đầu thực sự rất độc đáo, tư duy phá hoại và tư duy xây dựng quả thực là những phong cách hoàn toàn khác nhau. Có thể nói, sự xuất hiện của Hidden Tear đã khách quan kéo theo sự phát triển vượt bậc của virus ransomware.

Virus cũng được công nghiệp hóa: cũng trong năm 2015, bộ công cụ phát triển ransomware mang tên Tox đã chính thức được phát hành, thông qua dịch vụ đăng ký, bất kỳ ai cũng có thể tạo ra ransomware , bảng quản lý Tox hiển thị số lần lây nhiễm, số người trả tiền chuộc cũng như tổng doanh thu và người sáng lập Tox tính 20% số tiền chuộc. Tuy nhiên, với sự phổ biến của các bộ công cụ khai thác virus, đặc biệt là sau khi "The Shadow Brokers" tung ra các công cụ của Equation Hacking Group, các công cụ tấn công lỗ hổng này đã được tin tặc sử dụng rộng rãi và ransomware cũng được phát tán rộng rãi. Sự kết hợp giữa virus hủy diệt và sự lây lan của sâu không chỉ tiêu tốn số tiền lớn mà còn tạo ra những hành động phá hoại quy mô lớn, ảnh hưởng đến thế giới. Ở giai đoạn này, ransomware đã thể hiện xu hướng công nghiệp hóa và hoạt động liên tục. Trong toàn bộ chuỗi, mỗi liên kết đều có sự phân công lao động rõ ràng, một quá trình tấn công ransomware hoàn chỉnh có thể liên quan đến tác giả ransomware, thủ phạm ransomware, kênh liên lạc, đại lý và cuối cùng là lợi nhuận.

Mẹo chống vi-rút

1. Đóng cổng 445 rủi ro cao: Chúng tôi nhận thấy các lỗ hổng bảo mật như Eternal Blue được WannaCry sử dụng là các lỗ hổng sử dụng giao thức SMB và lây lan mạnh mẽ trong mạng cục bộ, tức là miễn là virus chinh phục được một máy trong cùng một cổng WIFI, các máy tính khác cũng sẽ bị tấn công. Đóng cổng 445 là phản ứng hiệu quả nhất.

2. Nên kích hoạt chức năng giám sát tài liệu tích hợp của Tencent Computer Manager và Tencent Royal Point: Chức năng này có thể sử dụng dung lượng ổ đĩa dự phòng để tự động sao lưu dữ liệu. vẫn có cơ hội phục hồi tổn thất. 3. Cập nhật các bản vá kịp thời: Chạy các bản vá Windows Update cũng là một cách hữu hiệu để bảo vệ chính bạn.

Như người ta vẫn nói, ma quỷ tốt hơn ma quỷ, theo quan sát của tác giả, tình hình những người bảo vệ chiếm thế thượng phong trong vấn đề bảo mật thông tin đang dần thay đổi theo tình hình. Do đó, chiều cao của ngành là vẫn cần Hãy chú ý đến các xu hướng mới về bảo mật để ngăn chặn thảm kịch do virus Corona mới xảy ra trong thế giới CNTT.

Liên kết nguồn: weixin.qq.com