Phần mềm tống tiền Bash 2.0

Ransomware vẫn là một trong những mối đe dọa gây gián đoạn nghiêm trọng nhất đối với cá nhân và tổ chức. Chỉ một cuộc xâm nhập thành công cũng có thể làm xáo trộn dữ liệu, làm gián đoạn hoạt động kinh doanh và khiến dữ liệu nhạy cảm rơi vào tay những kẻ tống tiền. Bảo vệ chủ động, kiểm soát bảo mật nhiều lớp, sự cảnh giác của người dùng và sao lưu đáng tin cậy luôn tiết kiệm chi phí hơn so với việc trả tiền cho tội phạm (mà vẫn không lấy lại được dữ liệu). Bash 2.0 Ransomware, còn được gọi là Bash Red, là một lời nhắc nhở kịp thời rằng các nhóm tội phạm mới nổi đang tiếp tục lặp lại các mã tấn công đã được chứng minh trong khi tinh chỉnh các chiến thuật gây áp lực lên nạn nhân.

GẶP GỠ BASH 2.0 (BASH RED)

Các nhà nghiên cứu đã phát hiện ra Bash 2.0 khi khảo sát hoạt động phần mềm độc hại mới. Mối đe dọa này được xây dựng trên cơ sở mã nguồn ransomware Chaos, một nền tảng đã được tái sử dụng trong nhiều phiên bản phụ. Việc tận dụng Chaos mang lại cho kẻ tấn công một lợi thế: mã hóa lõi, xử lý tệp và các quy trình ghi chú đòi tiền chuộc đã có sẵn và có thể được tùy chỉnh cho các chiến dịch mới. Bash 2.0 sử dụng các khả năng kế thừa này để khóa dữ liệu và tống tiền.

ĐIỀU GÌ XẢY RA VỚI CÁC TỆP CỦA BẠN

Khi Bash 2.0 thực thi trên một hệ thống, nó sẽ cố gắng mã hóa dữ liệu có thể truy cập được. Mỗi tệp bị ảnh hưởng sẽ nhận được một phần mở rộng bổ sung gồm bốn ký tự ngẫu nhiên, biến một tệp như '1.png' thành '1.png.2rf9' (hậu tố ngẫu nhiên thay đổi tùy theo từng đợt lây nhiễm). Quy ước đổi tên này giúp kẻ tấn công (và các công cụ tự động) theo dõi những gì đã bị khóa, đồng thời ngay lập tức báo hiệu cho nạn nhân rằng dữ liệu của họ không còn sử dụng được nữa. Ransomware cũng thay đổi hình nền máy tính để củng cố thông điệp tống tiền một cách trực quan.

THÔNG ĐIỆP TIỀN CHUỘC: BASHRED-README.TXT

Sau khi hoàn tất mã hóa, Bash 2.0 sẽ thả một ghi chú văn bản có tên 'bashred-reAdmE.txt'. Thông báo này thông báo cho nạn nhân rằng các tệp đã bị mã hóa và khẳng định rằng cách khôi phục khả thi duy nhất là lấy khóa giải mã và phần mềm duy nhất từ kẻ tấn công. Nạn nhân được hướng dẫn liên hệ và thanh toán; ghi chú cảnh báo rằng việc đổi tên, sửa đổi hoặc cố gắng giải mã dữ liệu đã bị khóa một cách độc lập có thể làm hỏng dữ liệu vĩnh viễn. Việc thay đổi hình nền thường lặp lại những chủ đề tương tự, khiến tính cấp bách tăng lên.

KHÔI PHỤC DỮ LIỆU THỰC TẾ ĐẾN ĐÂU?

Trong hầu hết các vụ tấn công ransomware, việc giải mã mà không có sự hợp tác của kẻ tấn công là bất khả thi về mặt kỹ thuật vì mã hóa được thiết kế để bảo mật cao. Chỉ trong những trường hợp hiếm hoi, thường là khi tác giả phần mềm độc hại mắc lỗi triển khai nghiêm trọng, thì việc giải mã mới khả thi mà không cần sự can thiệp của chúng. Ngay cả việc trả tiền cũng không đảm bảo: nạn nhân thường xuyên báo cáo rằng họ không bao giờ nhận được công cụ hoạt động, chỉ nhận được một phần giải mã, hoặc gặp phải khóa bị hỏng. Việc trả tiền cũng tài trợ cho các hoạt động tội phạm tiếp theo, khiến bạn có khả năng trở thành mục tiêu tiếp theo. Vì những lý do này, các chuyên gia bảo mật khuyến cáo không nên đáp ứng yêu cầu tiền chuộc.

NGĂN CHẶN CHẢY MÁU: LOẠI BỎ VÀ KÍCH HOẠT

Việc loại bỏ Bash 2.0 khỏi môi trường bị nhiễm là điều cần thiết để ngăn chặn các tệp bổ sung bị mã hóa và ngăn chặn mối đe dọa lây lan sang các hệ thống được kết nối. Tuy nhiên, việc dọn dẹp phần mềm độc hại không giải mã được dữ liệu đã bị khóa. Việc khôi phục thực sự phụ thuộc vào việc có các bản sao lưu an toàn, ngoại tuyến và không bị xâm phạm. Trước khi khôi phục, hãy cách ly các máy bị ảnh hưởng khỏi mạng, thực hiện quét toàn bộ phần mềm độc hại bằng các công cụ được cập nhật và xây dựng lại hoặc tạo lại ảnh nếu không thể đảm bảo độ tin cậy. Chỉ kết nối lại các hệ thống đã khôi phục sau khi xác minh chúng đã sạch.

BASH 2.0 LAN TRUYỀN TRONG THẾ NÀO

Những kẻ tấn công đã giăng lưới rất rộng. Các phương thức phát tán phổ biến liên quan đến các chiến dịch ransomware và liên quan đến Bash 2.0 bao gồm:

• Tệp đính kèm hoặc liên kết độc hại được gửi qua thư rác, lừa đảo hoặc nền tảng nhắn tin xã hội.
• Các trình cài đặt được đóng gói hoặc cài trojan giả dạng là phần mềm, trò chơi, codec phương tiện hoặc công cụ năng suất hợp pháp.
• Tải xuống tự động được kích hoạt thông qua các trang web bị xâm phạm hoặc độc hại, thường thông qua phần mềm quảng cáo độc hại.
• Các kênh tải xuống của bên thứ ba, phần mềm miễn phí và ngang hàng có khả năng kiểm soát tính toàn vẹn yếu.
• Phần mềm "bẻ khóa", keygen và tiện ích kích hoạt giả mạo bất hợp pháp có thể âm thầm phân phối phần mềm độc hại.
• Lời nhắc cập nhật giả mạo (trình duyệt, plugin, hệ điều hành hoặc ứng dụng) cài đặt phần mềm độc hại thay vì bản vá.

Một số bản dựng mối đe dọa có khả năng di chuyển ngang hoặc tự lan truyền, cố gắng vượt qua các mạng cục bộ hoặc tự sao chép vào phương tiện di động như ổ đĩa flash USB và ổ đĩa ngoài.

CÁC BIỆN PHÁP AN NINH TỐT NHẤT ĐỂ TĂNG CƯỜNG PHÒNG THỦ CỦA BẠN

• Duy trì các bản sao lưu theo phiên bản, ngoại tuyến và được kiểm tra thường xuyên. Lưu trữ ít nhất một bộ sao lưu ngoài mạng (ưu tiên lưu trữ bất biến hoặc phương tiện ghi một lần).
• Luôn cập nhật đầy đủ hệ điều hành, ứng dụng, bộ bảo mật và chương trình cơ sở. Bật tính năng cập nhật tự động nếu có thể.
• Triển khai các giải pháp chống phần mềm độc hại/EDR uy tín với khả năng phát hiện và khôi phục phần mềm tống tiền theo hành vi.
• Sử dụng tính năng lọc email, hộp cát tệp đính kèm và cổng quét liên kết để giảm nguy cơ lừa đảo; đào tạo người dùng cách phát hiện người gửi giả mạo và tệp đính kèm bất ngờ.

• Vô hiệu hóa hoặc hạn chế macro và nội dung hoạt động trong định dạng tài liệu; mở các tài liệu không mong muốn ở chế độ xem được bảo vệ.

• Hoạt động với tài khoản người dùng có đặc quyền thấp nhất; dành riêng thông tin đăng nhập quản trị cho các phiên chuyên dụng, bảo mật.

• Phân đoạn mạng và thực thi kiểm soát truy cập để một điểm cuối bị xâm phạm không thể tiếp cận được tất cả các chia sẻ quan trọng.

• Yêu cầu xác thực đa yếu tố cho quyền truy cập từ xa, hành động đặc quyền và bảng điều khiển quản trị sao lưu.

• Tắt tính năng tự động chạy/tự động phát trên phương tiện di động; quét ổ đĩa ngoài trước khi gắn vào hệ thống sản xuất.

SUY NGHĨ KẾT THÚC

Bash 2.0 Ransomware minh họa cách thức nhanh chóng mà các tác nhân đe dọa có thể tái sử dụng các cơ sở mã hiện có thành các công cụ tống tiền mới. Những người bảo vệ chỉ dựa vào phát hiện dựa trên chữ ký hoặc phản ứng phút chót sẽ gặp bất lợi. Bằng cách kết hợp các chiến lược sao lưu có kỷ luật, vệ sinh bản vá mạnh mẽ, phòng thủ điểm cuối và email theo lớp, thiết kế đặc quyền tối thiểu và các kịch bản ứng phó được thực hành, bạn sẽ giảm đáng kể cả khả năng xảy ra và tác động của một sự kiện ransomware.