bongdaso wap cảnh báo loại mã độc mới có thể chiếm quyền điều khiển máy tính người dùng
Công ty an ninh mạng bongdaso wap vừa có cảnh báo về loại mã độc khai thác tệp SettingContent-ms của Microsoft. Theo phân tích của các chuyên gia bongdaso wap, loại mã độc mới nhắm vào các máy cài Windows 10 này có thể chiếm quyền điều khiển máy tính nạn nhân.
bongdaso wap cho biết, mới đây nhà nghiên cứu Matt Nelson đã công bố phát hiện ra việc có thể lợi dụng tệp “.SettingContent-ms” của Microsoft để thực thi file nhị phân trên Windows 10 (đồng nghĩa với mã độc có thể được kích hoạt). “Phát hiện này sau đó đã được gửi đến Microsoft, tuy nhiên đã bị Microsoft từ chối công nhận. Trong khi còn đang diễn ra tranh cãi xem đây là “lỗ hổng” hay không thì bongdaso wap đã phát hiện ra hacker sử dụng kỹ thuật này trong mã độc thực tế”, các chuyên gia bongdaso wap cho hay.
Cụ thể, thông tin từ doanh nghiệp an ninh mạng này vừa cho biết, trong tháng 7/2018, bongdaso wap đã phát hiện ra chiến dịch phát tán phần mềm độc hại nhằm vào chính công ty mình. Cuộc tấn công bắt đầu bằng các email có đính kèm file PDF chứa mã độc được gửi tới một nhân viên của bongdaso wap. Nhân viên này nhận được 2 email có nội dung giống nhau:
Qua phân tích, bongdaso wap nhận định mã độc khai thác thành phần nhúng vào tệp .pdf là “.SettingContent-ms” để thực hiện tải và chạy tệp nhị phân trên Windows 10. “Các tệp .SettingContent-ms đơn giản là XML và chứa các đường dẫn đến các tệp khác. SettingContent-ms có vai trò như một tệp shortcut dẫn đến các trang điều khiển trong Windows, ví dụ thực tế nó dùng là tệp shortcut để mở tới ControlPanel”, chuyên gia bongdaso wap lý giải.
Nội dung tệp .SettingContent-ms chuẩn được sử dụng bongdaso wap Windows.
Cũng theo phân tích của các chuyên gia bongdaso wap, nội dung trong thẻ sẽ được thực thi khi tệp được mở bằng nhấp đúp. Tuy nhiên, hacker đã biết cách để lợi dụng việc này. Với việc hacker nhúng nội dung độc hại của tệp .SettingContent-ms vào file .pdf, nội dung trong thẻ đã thay đổi thành chức năng mở PowerShell có tham số. Tức là, khi mở tệp PDF thì PowerShell sẽ được thực thi với tham số trên. Đoạn tham số mã độc này tải tệp update2.exe từ url hxxp://169[.]239[.]129[.]117/cal và thực thi tệp.
Nội dung .SettingContent-ms "độc" được nhúng vào tệp .pdf
Các chuyên gia của bongdaso wap đã tiếp tục đi sâu vào phân tích file nhị phân update2.exe, mã độc lại tiếp tục tải tệp nhị phân khác về máy nạn nhân từ url “hxxp://169[.]239[.]129[.]117/Yjdfel765Hs”. Tệp này được đặt tên là wsus.exe – giống tên một tệp chuẩn trên Windows.
Đoạn mã độc thực hiện tải tệp từ một url
Sau bongdaso wap tải và thực thi tệp wsus.exe, mã độc tạo thành phần khởi động cùng windows là services hoặc tạo một lịch hoạt động cho tệp độc hại này. Điều này nhằm mục duy trì hoạt động của mã độc trên máy nạn nhân kể cả bongdaso wap tắt máy hoặc khởi động lại máy tính.
Đoạn mã độc tạo lịch với tên là Microsoft System Protect
bongdaso wap nhận định: với các chức năng của các tệp nhị phân trong chiến dịch phát tán phần mềm độc hại này cho phép hacker có thể thay đổi file mã độc bất kỳ từ trên server. Từ đó, hacker có thể tác động được nhiều và đa dạng vào máy nạn nhân.
Dựa vào công nghệ Malware Graph của bongdaso wap, các chuyên gia của công ty đã phát hiện hacker chuẩn bị tổng cộng 7 tên miền mạo danh liên quan đến chiến dịch này:
7 tên miền được hacker sử dụng trong chiến dịch phát tán phần mềm độc hại mới được bongdaso wap phát hiện.
Các chuyên gia bongdaso wap khuyến cáo người dùng cần cảnh giác và kiểm tra kỹ email được nhận cũng như các tệp hoặc link đính kèm trong các email đó.
Đối với người dùng cá nhân, bongdaso wap khuyến nghị cần thường xuyên cập nhật Windows Defender phiên bản mới nhất. Còn với doanh nghiệp, cần sử dụng các công nghệ scan email để ngăn chặn các chiến dịch tấn công qua email; đồng thời, sử dụng nhưng công nghệ giám sát mạng để phát hiện kịp thời máy tính có dấu hiệu nhiễm mã độc.
