Một chủng mã fدية mới được phát hiện bởi chuyên gia bảo mật của Forcepoint, Texas nhắm mục tiêu vào tổ chức y tế. Mã fدية Philadelphia thuộc họ Stampado. Bộ công cụ mã fدية này được bán trực tuyến với giá vài trăm USD và kẻ tấn công yêu cầu tiền chuộc bằng Bitcoin.
Nghiên cứu viên phát hiện Philadelphia ransomware được truyền qua email đánh lưới có mục tiêu (spear-phishing). Những email này gửi đến bệnh viện với nội dung chứa URL rút gọn trỏ đến không gian lưu trữ cá nhân phục vụ file DOCXweaponized có logo tổ chức y tế bị nhắm mục tiêu. Nhân viên bị mắc bẫy và nhấp vào liên kết đó khiến mã fدية xâm nhập hệ thống.
Một khi mã fدية thiết lập trong hệ thống, nó liên lạc máy chủ C&C (Command & Control) và chuyển tất cả thông tin về máy nạn nhân như hệ điều hành, quốc gia, ngôn ngữ hệ thống và tên người dùng máy. Máy chủ C&C sau đó tạo ID nạn nhân, giá tiền chuộc và ID ví Bitcoin và gửi về máy bị tấn công.
Kỹ thuật mã hóa dùng bởi Philadelphia Ransomware là AES-256, yêu cầu tiền chuộc 0.3 Bitcoin sau khi khóa file xong. Sự tập trung vào ngành y tế có thể quan sát qua đường dẫn thư mục hiển thị chuỗi 'hospital/spam' trong JavaScript đã mã hóa cùng với 'hospital/spa' trong đường dẫn máy chủ C&C.
Philadelphia là gì:
Được, mọi người biết đó là thành phố lớn nhất Pennsylvania và blah blah blah… nhưng về mặt tội phạm mạng, nó cũng là phiên bản cập nhật của loại virus mã fدية Stampado nổi tiếng. Trong email đánh lưới, bạn có thể gặp chúng với thông báo thanh toán quá hạn giả. Email này hầu như chứa liên kết đến trang web Philadelphia, được chuẩn bị sẵn ứng dụng Java để cài mã fدية vào hệ thống bạn.
Philadelphia bắt đầu mã hóa file với nhiều phần mở rộng như .doc,.bmp, .avi, .7z, .pdf v.v., sau khi xâm nhập thành công. Bạn có thể nhận diện file bị khóa bởi Philadelphia bằng phần mở rộng '.locked'. Ví dụ, file 'abc.bmp' sẽ được mã hóa và đổi tên thành 'KD24KIH83483BJAKDF8JDR7.locked'. Khi bạn cố mở file bị mã hóa, mã fدية mở cửa sổ mới với thông điệp yêu cầu tiền chuộc.
Thông điệp tiền chuộc báo cho bạn biết file đã được mã hóa và bạn phải trả để khôi phục. Philadelphia dùng thuật toán mã hóa bất đối xứng tạo khóa công khai (mã hóa) và khóa riêng (giải mã) khi mã hóa và khóa file. Giải mã file bị khóa không có khóa riêng giống như "đun sôi đại dương" vì chúng nằm trên máy chủ từ xa được bảo vệ bởi tội phạm mạng.
Cửa sổ chứa 2 bộ đếm thời gian thú vị: Hạn chót (Deadline) và Roulette Nga (Russian Roulette). Trong khi bộ đếm Hạn chót chỉ ra thời gian còn lại để lấy khóa riêng, Roulette Nga hiển thị thời gian xóa file tiếp theo (ép bạn mua ngay mà không mất thời gian tìm giúp đỡ). Đây thực sự là mối đe dọa nhưng đó là điều duy nhất về nó không giả tạo.
Bạn có thể Tránh tình huống này?
Có. Bạn có thể tránh bị "xẻ gọt" bởi Philadelphia ransomware; tuy nhiên, bạn phải giữ máy tính được trang bị tốt nhất chống mã fدية và chống mã độc. Lưu ý rằng một số mã fدية có thể vượt qua biện pháp bảo vệ tốt nhất, vì vậy thực hành tốt nhất là trở thành người dùng cảnh giác và không nhấp vào bất cứ điều gì bất thường và đáng ngờ.
Xét tất cả, Philadelphia Ransomware có thể coi là loại nhiễm trùng xâm nhập. Dù hiện chỉ nhắm mục tiêu tổ chức y tế nhưng bạn cũng có thể thành nạn nhân vì mã nguồn virus này bán công khai $400 trên dark web. Bất kỳ tội phạm mạng đang khát vọng nào cũng có thể lấy mã và bắt đầu săn mồi. Giữ máy tính được miễn dịch và bảo vệ bởi chống mã độc và chống mã fدية sẽ giúp ích.