Gần đây, cựu chiến binh Mỹ đã bị quấy rối bởi trang web giả ngụy trang thành tổ chức cung cấp việc làm cho họ. May mắn thay, nhiều người đã phát hiện sự thật và nhận ra nó chỉ được tạo để phân phối malware cho phép kẻ tấn công kiểm soát hoàn toàn máy tính nạn nhân.
Theo nhà nghiên cứu từ Cisco Talos Group, tổ chức tự gọi là Hire Military Heroes (HMH). Khi veteran truy cập trang, nó sẽ thuyết phục họ tải ứng dụng desktop được quảng cáo giúp tìm việc.
Cisco Talos Group nhấn mạnh rằng người tạo và kẻ tấn công sau trang web là Tortoiseshell. Đây là kẻ tấn công mới được xác định nhắm vào nhiều công ty IT để lấy cơ sở dữ liệu khách hàng.
Nhóm thêm: "Đây chỉ là hành động mới nhất của Tortoiseshell. Nghiên cứu trước cho thấy tác nhân này đứng sau tấn công nhà cung cấp IT tại Saudi Arabia. Với chiến dịch Talos theo dõi, Tortoiseshell dùng cùng backdoor như trước, cho thấy họ dựa vào cùng chiến thuật, kỹ thuật và quy trình (TTPs)."
Trang web tuyển dụng veteran giả này lan truyền Malware như thế nào?
Rõ ràng, malware nhắm vào veteran Mỹ. Vì vậy, nếu họ không rành công nghệ hoặc hoàn toàn không biết trang web giả này chứa malware, họ nhanh chóng bị lừa làm theo yêu cầu.
Cách hoạt động: Khi truy cập trang, họ sẽ được nhắc tải chương trình cho thiết bị. Đối với Windows, malware đến trong file zip chứa chương trình tên win10.exe.
Khi chương trình chạy, màn hình tải nhỏ bật lên, nói "Hire Military Heroes là nguồn mới tuyển dụng lực lượng vũ trang." Nó cố gắng thuyết phục nạn nhân rằng nó đang kết nối cơ sở dữ liệu.
Sự thật là trong khi màn hình hiển thị, malware đã tải thêm hai thực thể malware khác và lưu vào máy.
Sau đó, cảnh báo giả hiện lên: "Giải pháp bảo mật của bạn đang chặn kết nối đến máy chủ của chúng tôi." Cảnh báo giả chỉ để làm chương trình trông an toàn và hợp pháp.
Lúc này, hai thực thể malware đã tải và chạy ngầm. Thứ nhất thu thập thông tin nạn nhân và máy, thứ hai thực thi lệnh kẻ tấn công.
Malware thu thập thông tin người dùng như thế nào?
Thực thể malware đầu tiên chạy tổng cộng 111 lệnh. Tất cả nhằm thu thập mọi thông tin về nạn nhân và máy.
Khi thực thi, lệnh sẽ liệt kê tất cả tệp trên máy, thông tin ổ cứng, tiến trình hoạt động, thông tin mạng, chia sẻ mạng, dữ liệu tường lửa, tài khoản người dùng cấu hình, và chi tiết khác.
Sau khi thu thập, mọi thứ lưu vào tệp %Temp%\si.cab. Sau đó gửi về kẻ tấn công dùng thông tin Gmail của nạn nhân.
Malware thực thi lệnh kẻ tấn công như thế nào?
Như đã nói, hai thực thể malware tải xuống. Thứ nhất thu thập thông tin, thứ hai thực thi lệnh kẻ tấn công.
Thực thể thứ hai mang dạng Remote Access Trojan. Nó cài đặt như dịch vụ Windows và tên dllhost. Vì cấu hình tự động khởi động, nó chạy mỗi lần Windows khởi động.
Khi hoạt động, Trojan giao tiếp ngược về máy chủ điều khiển. Qua máy chủ này, malware nhận lệnh tải tệp, chấm dứt dịch vụ, hoặc thực thi lệnh khác.
Cho đến nay, không biết malware được phân phối như thế nào. Nhà nghiên cứu nói: "Tại thời điểm xuất bản, chúng tôi không có phương pháp phân phối, cũng không có bằng chứng tồn tại trong môi trường thực. Mức độ tinh vi thấp vì binary .NET dùng có OPSEC kém, như credentials hard-coded, nhưng kỹ thuật nâng cao hơn bằng cách làm malware mô-đun và nhận biết nạn nhân đã chạy."
Họ cũng thêm: "Có khả năng nhiều nhóm từ APT làm việc trên nhiều yếu tố malware, vì thấy mức độ tinh vi khác nhau và victimology đa dạng."
Mẹo phòng ngừa Malware
Nếu muốn bảo vệ máy tính khỏi thực thể malware, hãy thực hiện biện pháp phòng ngừa. Dưới đây là mẹo:
Mẹo #1: Cài đặt phần mềm Chống Malware.
Mẹo này có vẻ rõ ràng, nhưng nhiều người bỏ qua. Đúng, máy tính có thể đã có bảo vệ anti-malware tích hợp. Tuy nhiên, bạn không bao giờ chắc chắn. Chúng tôi đề xuất cài phần mềm anti-malware thứ ba uy tín để đưa bảo mật lên cấp độ mới. Sau khi cài, bước tiếp theo là đảm bảo OS cập nhật.
Mẹo #2: Giữ Hệ điều hành Cập nhật.
Dù bạn chạy macOS, Linux, hoặc Windows, việc của bạn là luôn cập nhật. Nhà phát hành OS luôn làm việc phát hành bản vá bảo mật sửa lỗi và vấn đề trước.
Mẹo #3: Đảm bảo Mạng An toàn.
Chúng ta dùng máy tính kết nối máy in, máy khác, và internet. Đảm bảo kết nối an toàn yêu cầu mật khẩu mạnh.
Cũng, nếu có thể, đừng phát sóng WiFi mở. Lý tưởng dùng mã hóa WPA hoặc WPA2 vì WEP lỗi thời. Chỉ vài phút, hacker có thể vượt mã hóa WEP.
Cũng ý tưởng tốt tránh phát sóng SSID hoặc tên mạng WiFi. Dù có nghĩa bạn phải thiết lập thủ công mạng trên thiết bị, nó cũng gợi ý mạng an toàn hơn.
Mẹo #4: Suy nghĩ trước khi Nhấp.
Mẹo này cần sự suy nghĩ thường识. Nếu không biết người gửi email, tránh nhấp bất cứ thứ gì. Làm thói quen di chuột qua liên kết trước để biết nó dẫn đâu. Thêm, nếu cần tải tệp từ web, quét trước khi chạy.
Mẹo #5: Tránh kết nối WiFi mở.
Khi ở nơi công cộng như thư viện, quán cà phê, sân bay, tránh kết nối WiFi mở. Chắc chắn làm vậy, đặc biệt nếu truy cập ứng dụng ngân hàng hoặc tài liệu mật. Có cơ hội kẻ tấn công cùng mạng, kiên nhẫn chờ nạn nhân rơi bẫy.
Mẹo #6: Có bản sao lưu tệp quan trọng.
Khi xấu đến cùng, việc tốt nhất là có bản sao lưu tệp quan trọng. Lý tưởng lưu trên thiết bị lưu trữ riêng biệt. Cách này, khi không thể mở máy tính, bạn dễ dàng khôi phục bản sao lưu và có tệp/tài liệu sẵn trên thiết bị khác.
Mẹo #7: Hành động.
Tất cả mẹo và thông tin chia sẻ ở đây vô nghĩa nếu bạn không làm gì. Tất nhiên, bạn phải chủ động và làm gì có thể để ngăn tấn công malware. Nếu không cài anti-malware, sẽ đến lúc mối đe dọa tìm cách phá hoại hệ thống.
Điểm ở đây là hành động. Chỉ ngồi trước máy tính không làm gì chống lại thực thể malware.
Tóm tắt
Như họ luôn nói, "Nếu tốt quá để tin, thì có lẽ không phải thật." Hãy suy nghĩ. Bạn phải kiếm việc. Không thể dễ dàng có việc chỉ bằng tải chương trình/app. Nếu bao giờ tìm thấy trang web nói tải chương trình giúp có việc, đóng ngay. Bạn luôn có thể tìm việc tốt trên nhiều trang web hợp pháp.
Hãy thông minh. Đừng bị lừa bởi thủ thuật gian lận. Thực hiện biện pháp phòng ngừa để hacker không tìm cách đánh cắp thông tin quan trọng.
Bạn từng gặp thực thể malware tương tự? Bạn xử lý như thế nào? Cho chúng tôi biết trong bình luận.