Xuất hiện bộ công cụ khai thác nhắm mục tiêu vào người dùng Windows, phát tán trojan và mã độc mã hóa tống tiền

Chỉ trong vòng 1 tuàn trở lại đây, các nhà nghiên cứu bảo mật thuộc nhóm bảo mật nao_sec đã phát hiện 4 chiến dịch quảng cáo độc hại khác nhau, sử dụng bộ công cụ khai thác nao_sec để phát tán Trojan đánh cắp mật khẩu, mã độc mã hóa tống tiền (ransomware) và tấn công clipboard hijackers.

Xuất hiện bộ công cụ khai thác nhắm mục tiêu vào người dùng Windows, phát tán trojan và mã độc mã hóa tống tiền - CyberSec365.org

Cả 4 chiến dịch này được phát hiện bởi các chuyên gia thuộc nhóm bảo mật nao_sec, sử dụng các quảng cáo được chèn mã độc để chuyển hướng người dùng đến trang web chứa các bộ công cụ khai thác. Khi người dùng truy cập vào trang web, bộ công cụ khai thác sẽ cố gắng khai thác các lỗ hổng bên trong trình duyệt web của nạn nhân để tiến hành tải xuống và thực thi mã độc mà người dùng không hề hay biết.

Xuất hiện bộ công cụ khai thác nhắm mục tiêu vào người dùng Windows, phát tán trojan và mã độc mã hóa tống tiền - CyberSec365.org

Bộ công cụ khai thác GrandSoft cài đặt trojan ngân hàng Ramnit

Vào hôm thứ 7, 31/8/2019, nao_sec đã phát hiện bộ công cụ khai thác GrandSoft phát tán trojan ngân hàng Ramnit - một trojan được sử dụng để đánh cắp các thông tin đăng nhập, thông tin ngân hàng trực tuyến, tài khoản FTP, lịch sử trình duyệt,..., được người dùng lưu trữ trên thiết bị của mình.

Xuất hiện bộ công cụ khai thác nhắm mục tiêu vào người dùng Windows, phát tán trojan và mã độc mã hóa tống tiền - CyberSec365.org

Bộ dụng cụ khai thác Rig phát tán mã độc Amadey và clipboard hijacker

Vào Chủ nhật, nao_sec tiếp tục phát hiện hoạt động của bộ công cụ khai thác dưới dạng một chiến dịch quảng cáo độc hại popcash chuyển hướng người dùng đến bộ công cụ khai thác Rig. Bộ công cụ khai thác này nhắm mục tiêu vào các lỗ hổng bảo mật CVE-2018-15982 (Flash Player), CVE-2018-8174 (Microsoft Internet Explorer VBScript Engine) và các lỗ hổng khác để lây nhiễm vào thiết bị nạn nhân bằng phần mềm độc hại.

Xuất hiện bộ công cụ khai thác nhắm mục tiêu vào người dùng Windows, phát tán trojan và mã độc mã hóa tống tiền - CyberSec365.org

Khi nạn nhân sử dụng trình duyệt Internet Explorer được chuyển hướng đến trang chứa bộ công cụ khai thác Rig. Trong quá trình chuyển trang, trình duyệt IE sẽ tự động bị Crash khi bộ công cụ khai thác tiến hành cài đặt phần mềm độc hại.

Khi được phát hiện, chiến dịch này đã cài đặt các công cụ clipboard hijackers nhằm tiến hành giám sát các clipboard của Windows để tìm kiếm các địa chỉ của các vị điện tử, tiến hành thay thế các địa chỉ này thành địa chỉ ví điện tử của tin tặc dưới sự kiểm soát của chúng. Do đó, khi người dùng tiến hành thanh toán các khoản thanh toán, tiền thay vì được chuyển đến các địa chỉ ví thanh toán hợp pháp, nó sẽ được chuyển thẳng đến ví điện tử của tin tặc.

Bên cạnh đó, bộ công cụ khai thác này cũng tiến hành cài đặt trojan Amadey, biến thiết bị của nạn nhân trở thành 1 zombie của mạng botnet, đánh cắp thông tin lưu trong thiết bị, tải xuống và thực thi các phần mềm độc hại khác,...

Bộ công cụ khai thác Fallout phát tán clipboard hijacker

Đầu ngày hôm nay(10/9/2019), nao_sec cho biết đã phát hiện ra bộ công cụ khai thác Fallout đang phát tán mã độc clipboard hijacker.

nao_sec nói rằng bộ công cụ khai thác Fallout cũng nhắm mục tiêu vào các lỗ hổng CVE-2018-8174 (Microsoft Internet Explorer VBScript Engine) và CVE-2018-15982 (Flash Player).

Bộ công cụ khai thác Radio phát tán mã độc mã hóa tống tiền Nemty

Cũng trong ngày 10/9/2019, nao_sec cũng phát hiện một chiến dịch quảng cáo độc hại, sử dụng bộ công cụ khai thác Radio để phát tán mã độc mã hóa tống tiền Nemty

Nemty là một mã độc mã hóa tống tiền đang gây khá nhiều sự chú ý khi từng được tích hợp trong bộ công cụ khai thác Rig cũng như được phát tán thông qua các website giả mạo các thương hiệu lớn như Paypal.
Nhà nghiên cứu cho biết RadioEK là một "công cụ rất kém" vì nó nhắm vào lỗ hổng CVE-2016-0189 trong JScript và VBScript cho Internet Explorer mà Microsoft đã vá vào năm 2016.

Xuất hiện bộ công cụ khai thác nhắm mục tiêu vào người dùng Windows, phát tán trojan và mã độc mã hóa tống tiền - CyberSec365.org

Tự bảo vệ bản thân khỏi các bộ công cụ khai thác

Để một bộ công cụ khai thác hoạt động, chúngn phải tìm ra các lỗ hổng có thể khai thác trong các phần mềm và hệ điều hành không được cập nhật.

Do đó, biện pháp bảo vệ tốt nhất của bạn trước bộ công cụ khai thác là luôn đảm bảo bạn đã cài đặt các bản cập nhật bảo mật mới nhất cho cả HĐH và mọi phần mềm bạn đã cài đặt.

Khi tập trung vào cập nhật phần mềm, điều quan trọng là phải cập nhật bất kỳ chương trình nào tương tác với trình duyệt web để thêm chức năng bổ sung như Adobe Flash, Trình đọc PDF và các chương trình tương tự.