Gần đây, Microsoft vào trạng thái báo động đỏ sau khi Windows bị tấn công bởi malware. Kẻ thù lần này là chủng malware không file (fileless) gọi là Astaroth. Chúng tôi đã bao phủ malware không file trong quá khứ, vì vậy hãy chắc chắn tìm hiểu nếu bạn không chắc điều đó có nghĩa là gì. Về bản chất, đó là khi malware sống trong RAM của máy tính thay vì hệ thống file, làm cho nó khó phát hiện hơn.
Hãy khám phá tại sao Microsoft lại lên án về Astaroth, cũng như những gì bạn nên làm để bảo vệ mình.
Astaroth lây lan như thế nào?
Astaroth lách luật bằng cách dùng file .LNK. File này được tải lên trang web, sau đó liên kết đến trang web được gửi quanh trong email.
Nếu ai đó nhấp vào liên kết, nó kích hoạt file .LNK chạy trong Windows. Điều này gửi một số lệnh đến công cụ Windows Management Instrumentation Command-line (WMIC). Đây là chương trình chính thống trong chính Windows, vì vậy nó lướt qua phần mềm diệt virus khi thực thi.
Astaroth sau đó dùng vỏ bọc dưới WMIC để ép nó tải xuống và chạy tất cả chương trình Astaroth cần để làm việc. Khi nó đã lắp ráp hoàn toàn malware, cuộc tấn công diễn ra.
Mặc dù Astaroth tải xuống công cụ để làm việc, chúng đều là công cụ hệ thống hợp pháp Windows dùng gốc. Vì vậy, nó làm cho phần mềm diệt virus khó phát hiện, vì cuộc tấn công dùng các quy trình Windows chính trọng chống lại chính nó. Đây là lý do nó được gọi là tấn công "không file" (fileless), vì không có file ngoại lai nào được tải xuống và lưu.
Phương pháp tấn công này cũng có danh mục lớn hơn được gán cho nó: tấn công "Living-off-the-Land" (Sống nhờ đất đai). Đó là vì virus không về mặt kỹ thuật giới thiệu bất kỳ tác nhân mới nào vào hệ thống; nó đơn giản dùng những gì đã có đó để tải xuống và thực thi payload (tải trọng).
Astaroth làm gì?
Mục tiêu chính của Astaroth là thu thập nhiều thông tin nhất có thể. Nó thực hiện điều này qua một số vector tấn công. Keylogger (ghi phím) theo dõi mọi thứ người dùng gõ, trong khi clipboard (bảng nhớ tạm) được quét để tìm thông tin nhạy cảm. Astaroth cũng ép ứng dụng dump (xuất) thông tin về chính chúng.
Đây nói chung là cách hầu hết malware hành động ngày nay. Virus và malware đã chuyển từ làm hỏng và thay vào đó chọn thực hiện hành động thu thập dữ liệu hoặc kiếm tiền cho nhà phát triển. Astaroth là ví dụ nghiêm trọng của điều này, vì cài đặt không file và nhiều phương pháp phát hiện làm cho nó trở thành lực lượng cần tính đến.
Cách tránh tấn công này
May mắn thay, trong khi chiến thuật này làm cho phần mềm diệt virus khó bắt cuộc tấn công, vector ban đầu thực tế dễ nhận ra bằng mắt người. Luôn cẩn thận với liên kết bạn nhấp trong email, đặc biệt là những email gửi từ người bạn chưa từng nghe đến.
Kẻ thù không file (Fileless Foes)
Bản chất lén lút của malware không file làm cho chúng trở thành mối đe dọa nghiêm trọng, ngay cả với người cài phần mềm diệt virus. Lần tấn công Astaroth gần đây đã chỉ ra malware không file có thể tàn khốc đến đâu. Bây giờ bạn biết nó là gì, nó có thể làm gì, và cách tránh nhiễm.
Malware không file có làm bạn lo lắng không? Cho chúng tôi biết bên dưới.