Con sâu (worm) mới được phát hiện gần đây EternalRocks không có công tắc giết (kill switch) và cực kỳ lây lan. Nó khai thác công cụ rò rỉ của NSA và có thể nhanh chóng được vũ trang với ransomware, trojan ngân hàng, hoặc RATs.
Sau một loạt cuộc tấn công ransomware gây hoảng loạn toàn cầu trong 10 ngày qua bởi WannaCry, một chủng mã độc mới "EternalRocks" đã được xác định bởi nhà nghiên cứu bảo mật Miroslav Stampar. Nó được phát hiện bởi ông vào thứ Tư từ một mẫu trên honeypot Windows 7 của ông, khi nó bị nhiễm.
Tên gốc của nó là "MicroBotMassiveNet" và Stampar đặt tên nó là "DoomsDayWorm" (Sâu ngày tận thế). EternalRocks được liệt kê là tên sản phẩm dưới thuộc tính Taskhost.
EternalRocks lan truyền sử dụng tất cả các khai thác SMB trong vụ rò rỉ, bao gồm EternalBlue, được WannaCry dùng trong tấn công. EternalRocks không chỉ dùng EternalBlue, nó còn dùng EternalChampion, EternalRomance, và EternalSynergy, cũng như ArchiTouch, SMBTouch, và khai thác nhân DoublePulsar.
EternalRocks là mã độc tự nhân bản, bao gồm nhiều mối đe dọa hơn và tàn khốn hơn WannaCry. Nó lan qua một số lỗ hổng SMB (Server Message Block) và dùng công cụ NSA gọi là EternalBlue để lan truyền từ máy tính này sang máy khác qua Windows.
Vài điều quan trọng cần biết về EternalRocks:
- Dưới dạng hiện tại, 'EternalRocks' không khóa hoặc hỏng tệp hoặc dùng máy bị nhiễm xây dựng botnet. Tuy nhiên, nó làm cho máy tính bị nhiễm dễ bị tấn công bởi lệnh từ xa có thể 'vũ trang hóa' (weaponize) nhiễm trùng bất cứ lúc nào.
- 'EternalRocks' mạnh hơn WannaCry vì nó không có bất kỳ lỗ hổng nào và không có công tắc giết (kill switch). Những lỗ hổng này làm WannaCry chậm và bị chặn.
- 'EternalRocks không làm gì trong 24 giờ sau khi nhiễm máy tính, làm cho nó khó phát hiện hơn. Nó lan truyền trong 2 giai đoạn qua khoảng 24 giờ.
Honeypot là gì?
Một honeypot là cơ chế bảo mật máy tính được thiết lập để đóng vai bẫy thu hút, phát hiện và chuyển hướng hacker cố gắng truy cập trái phép hệ thống thông tin. Nó xác định hoạt động độc hại được thực hiện qua internet bằng cách chủ động thu hút và lừa đảo kẻ tấn công mạng.
EternalRocks khác WannaCry như thế nào?
Mặc dù EternalRocks dùng cùng con đường và điểm yếu để xâm nhập hệ thống Windows, nó được cho là nguy hiểm hơn nhiều, vì nó được cho là sử dụng tất cả bảy công cụ hacking so với WannaCry, những công cụ bị rò rỉ từ NSA.
Mã độc WannaCry, chỉ với hai công cụ NSA, đã gây thảm họa bằng cách ảnh hưởng 150 quốc gia và hơn 240.000 máy tính trên toàn cầu. Vì vậy chúng ta có thể tưởng tượng EternalRocks có thể làm gì vì nó dùng bảy công cụ NSA.
Đặc điểm độc đáo của "DoomsDayWorm" là nó chờ lặng lẽ trong hai mươi bốn giờ, trước khi dùng backdoor để tải mã độc bổ sung từ máy chủ điều khiển và chỉ huy (command and control server). Khác với ransomware WannaCry, sự lan truyền của nó bị dừng vì công tắc giết được phát hiện bởi một blogger bảo mật.
Trong giai đoạn đầu, EternalRocks cài đặt TOR làm kênh liên lạc C&C (Command-and-Control). Giai đoạn hai bắt đầu sau 24 giờ khi máy chủ C&C phản hồi với shadowbrokers.zip. Sau đó nó giải nén tệp và bắt đầu quét ngẫu nhiên cổng SMB 445 mở của internet.
TOR là gì?
Phần mềm đóng mắt vô hình vì chúng ở khắp nơi
TOR là phần mềm cho phép người dùng duyệt web ẩn danh. TOR ban đầu gọi là The Onion Router (Bộ định tuyến Hành tây), vì nó dùng kỹ thuật gọi là onion routing (định tuyến hành tây) dùng để ẩn thông tin hoạt động người dùng. TOR làm cho việc theo dõi hoạt động internet khó khăn hơn bằng cách tách biệt nhận dạng và định tuyến, nó mã hóa dữ liệu, bao gồm địa chỉ IP.
C&C (Command-and-Control) kênh liên lạc là gì?
Máy chủ điều khiển và chỉ huy còn gọi là máy chủ C&C hoặc C2 là máy tính được kẻ tấn công dùng để duy trì liên lạc với các hệ thống bị xâm phạm trong mạng mục tiêu.
Bảy công cụ NSA bị rò rỉ bởi ShadowBrokers được EternalRocks sử dụng:
EternalBlue — khai thác SMB1 và SMB2 để xâm nhập mạng
EternalRomance — khai thác máy chủ tệp mạng SMB1 từ xa nhắm vào Windows XP, Server 2003, Vista, Windows 7, Windows 8, Server 2008, và Server 2008 R2
EternalChampion — công cụ khai thác SMBv2
EternalSynergy — khai thác thực thi mã từ xa đối với SMB3 có khả năng hoạt động đối với hệ điều hành.
4 công cụ trên được thiết kế để xâm phạm máy tính Windows dễ bị tổn thương.
SMBTouch — công cụ thám sát SMB
ArchTouch — công cụ thám sát SMB
2 công cụ trên dùng để quét cổng SMB mở trên mạng công cộng.
DoublePulsar — dùng để cài đặt ransomware
Giúp lan truyền sâu từ máy này sang máy khác qua cùng mạng.
Ransomware WannaCry không phải là mã độc duy nhất dùng EternalBlue hoặc backdoor, khai thác DoublePulsar. Một công cụ khai thác tiền điện tử (cryptocurrency miner) tên Adylkuzz đang đúc tiền ảo trên máy bị nhiễm. Mã độc khác lan qua vector tấn công tương tự được gọi là UIWIX.
Phần tốt
Không có báo cáo EternalRocks đã được vũ trang hóa. Không có tải trọng độc hại — như ransomware — được báo cáo.
Phần xấu
Vì các bản vá SMB được áp dụng muộn, máy bị nhiễm bởi sâu EternalRocks bị để truy cập từ xa qua công cụ NSA DOUBLEPULSAR. Cài đặt backdoor Trojan DOUBLEPULSAR để lại bởi EternalRocks luôn giữ cửa mở cho hacker.
Làm gì để an toàn trước các cuộc tấn công như vậy?
Chặn truy cập bên ngoài đến cổng SMB trên internet công cộng
- Vá tất cả lỗ hổng SMB
- Chặn truy cập máy chủ C&C và chặn truy cập Torproject.org
- Giám sát bất kỳ tác vụ đã lên lịch mới nào
- Cập nhật Windows OS
- Cài đặt và cập nhật antivirus
- Cài đặt hoặc kích hoạt tường lửa hệ thống để duy trì rào chắn giữa liên kết đáng ngờ và hệ thống
- Cố gắng tránh cài đặt rõ ràng và mật khẩu đơn giản. Hãy thử dùng tổ hợp chữ cái và số. Tổ hợp chữ hoa và chữ thường cũng là cách an toàn hơn.
Đừng dùng phiên bản Windows crack, nếu bạn có một thì hệ thống dễ bị nhiễm hơn. Tốt nhất là cài đặt và dùng phiên bản Windows OS chính hãng.