FriedEx là một biến thể ransomware (mã độc tống tiền) thu hút sự chú ý lớn trong vài năm gần đây. Nó được phát hành bởi nhóm tạo ra Dridex – một banking Trojan (mã độc ngân hàng) nổi tiếng gây thiệt hại lớn cho ngành tài chính từ năm 2014. Sự liên kết này khiến các chuyên gia an ninh lo ngại về khả năng của FriedEx, vì Dridex là một trong những spyware linh hoạt nhất.
Các nhà nghiên cứu cũng cho rằng FriedEx là biến thể của BitPaymer ransomware (xuất hiện 2017) do chia sẻ lượng lớn mã nguồn. FriedEx xuất hiện một năm sau đó.
Phương thức lây lan
- Spear-phishing: Email chứa tệp đính kèm hoặc liên kết độc hại.
- Remote Desktop Protocol (RDP) không an toàn: Kẻ tấn công brute-force hoặc sử dụng thông tin đăng nhập bị rò rỉ để truy cập từ xa.
Đặc điểm nổi bật
Khác với các ransomware khác yêu cầu vài trăm USD, FriedEx đòi hỏi tới 50 Bitcoin (trăm ngàn USD), đủ làm sụp đổ doanh nghiệp vừa và nhỏ. Mục tiêu là các tổ chức lớn: ngân hàng, bệnh viện. Tấn công nổi bật nhất là vào các bệnh viện NHS tại Scotland.
Vai trò của Dridex
Dridex đóng vai trò "thám dò": khi nhiễm máy, nó thu thập thông tin hệ thống, gửi cho hacker. Hacker đánh giá xem nạn nhân có "xứng đáng" tấn công FriedEx không (dựa trên quy mô, giá trị dữ liệu).
Cơ chế mã hóa
FriedEx mã hóa các loại file cụ thể bằng thuật toán AES-1024 bit. Thông báo tống tiền đặt trên màn hình desktop, cảnh báo không dùng công cụ giải mã thứ 3, liên kết thanh toán chỉ hiệu lực trong 72 giờ (qua Tor).
Cách loại bỏ FriedEx
Lưu ý: Loại bỏ ransomware ≠ khôi phục file. File được mã hóa bằng thuật toán bất đối xứng, cần khóa riêng (private key) mà hacker nắm giữ. Chạy anti-malware trên Safe Mode with Networking để loại bỏ mã độc. Sau đó dùng PC cleaner dọn file rác, sửa registry.
Khuyên: Không nên trả tiền tống tiền – không đảm bảo nhận lại khóa, còn tài trợ cho tội phạm.