Phần mềm tống tiền Friends

Bảo vệ thiết bị khỏi phần mềm độc hại ngày càng trở nên quan trọng hơn bao giờ hết, vì các mối đe dọa mạng hiện đại có thể mã hóa dữ liệu quý giá, làm gián đoạn hoạt động kinh doanh và làm lộ thông tin nhạy cảm. Đặc biệt, phần mềm tống tiền vẫn là một trong những hình thức phần mềm độc hại gây thiệt hại nghiêm trọng nhất vì nó kết hợp mã hóa dữ liệu với các chiến thuật tống tiền nhằm gây áp lực buộc nạn nhân phải trả những khoản tiền lớn. Một ví dụ đáng chú ý là Friends Ransomware, một mối đe dọa tinh vi nhắm mục tiêu vào nhiều loại tập tin khác nhau, đồng thời tận dụng việc đánh cắp dữ liệu để tăng khả năng đòi tiền chuộc.

Phần mềm tống tiền Friends: Một mối đe dọa mạng kép về tống tiền.

Phần mềm tống tiền Friends là một chương trình độc hại được các nhà nghiên cứu an ninh mạng phát hiện, mã hóa các tập tin trên các hệ thống bị xâm nhập và đòi tiền chuộc để đổi lấy khóa giải mã. Ngoài việc mã hóa tập tin, những kẻ điều hành chương trình này còn tuyên bố sẽ đánh cắp thông tin mật từ nạn nhân trước khi khóa dữ liệu của họ. Chiến thuật này, thường được gọi là tống tiền kép, cho phép kẻ tấn công đe dọa cả việc mất dữ liệu và việc công khai thông tin nhạy cảm.

Sau khi được thực thi trên hệ thống, Friends Ransomware sẽ quét nhiều loại tệp khác nhau và mã hóa chúng. Trong quá trình này, nó sẽ thêm phần mở rộng '.friends124' vào các tệp bị ảnh hưởng. Ví dụ, một tệp có tên '1.png' sẽ được chuyển đổi thành '1.png.friends124', trong khi '2.pdf' trở thành '2.pdf.friends124'. Phần mở rộng này là một dấu hiệu rõ ràng cho thấy các tệp đã được xử lý bởi phần mềm độc hại và không còn có thể truy cập được bằng các phương pháp thông thường.

Quy trình mã hóa và yêu cầu tiền chuộc

Sau khi hoàn tất quá trình mã hóa, phần mềm tống tiền tạo ra một tệp có tên 'RANSOM_NOTE.html' chứa hướng dẫn cho nạn nhân. Thông báo này cho người dùng biết rằng các tệp của họ đã bị mã hóa và cung cấp thông tin liên hệ để bắt đầu đàm phán tiền chuộc. Nạn nhân được hướng dẫn liên lạc với kẻ tấn công thông qua các địa chỉ email 'recovery1@salamati.vip' và 'recovery1@amniyat.xyz'. Một phương thức liên lạc khác thông qua mạng Tor cũng được đề cập.

Thư đòi tiền chuộc tuyên bố rằng dữ liệu bí mật và cá nhân đã bị thu thập và lưu trữ trên một máy chủ riêng do kẻ tấn công kiểm soát. Theo thông điệp, thông tin này sẽ được công bố hoặc bán cho bên thứ ba nếu nạn nhân từ chối đáp ứng yêu cầu tiền chuộc. Để thuyết phục nạn nhân rằng việc khôi phục tập tin là có thể, bọn tội phạm đề nghị giải mã miễn phí hai hoặc ba tập tin không quan trọng. Thông điệp cũng cảnh báo rằng số tiền chuộc sẽ tăng lên nếu không liên lạc được trong vòng 72 giờ và khuyên nạn nhân nên tạo tài khoản ProtonMail trước khi liên lạc.

Vì sao trả tiền chuộc là một quyết định đầy rủi ro

Nạn nhân thường cân nhắc việc trả tiền chuộc khi các tập tin quan trọng không thể truy cập được. Tuy nhiên, việc trả tiền cho tội phạm mạng không đảm bảo khôi phục thành công. Nhiều vụ tấn công bằng mã độc tống tiền đã thu được tiền chuộc mà không cung cấp công cụ giải mã hoạt động hoặc đã cung cấp các tiện ích không thể khôi phục tất cả dữ liệu bị ảnh hưởng.

Ngay cả khi kẻ tấn công cung cấp công cụ giải mã, việc trả tiền chuộc vẫn tiếp tay cho hoạt động tội phạm và khuyến khích các cuộc tấn công trong tương lai nhắm vào các cá nhân và tổ chức khác. Vì những lý do này, các chuyên gia an ninh mạng kịch liệt phản đối việc trả tiền chuộc. Trong hầu hết các trường hợp, các tập tin được mã hóa không thể khôi phục nếu không có khóa giải mã của kẻ tấn công, trừ khi phần mềm tống tiền có những lỗ hổng nghiêm trọng mà các nhà nghiên cứu có thể khai thác để phát triển một công cụ giải mã miễn phí.

Phục hồi và ứng phó sự cố

Ưu tiên hàng đầu sau khi bị nhiễm là loại bỏ Friends Ransomware khỏi hệ thống bị ảnh hưởng. Việc loại bỏ phần mềm độc hại giúp ngăn chặn việc mã hóa thêm các tập tin khác và giảm nguy cơ hoạt động độc hại tiếp theo. Tuy nhiên, chỉ loại bỏ phần mềm độc hại thôi thì không thể khôi phục dữ liệu đã bị mã hóa.

Phương pháp khôi phục đáng tin cậy nhất là khôi phục các tập tin từ bản sao lưu được tạo trước khi bị nhiễm. Các bản sao lưu nên được lưu trữ riêng biệt với hệ thống chính để chúng không bị ảnh hưởng trong quá trình tấn công. Nếu các bản sao lưu được kết nối với cùng một mạng hoặc luôn có thể truy cập được, phần mềm tống tiền có thể cố gắng mã hóa chúng, khiến nạn nhân không còn lựa chọn khôi phục nào.

Cách mã độc tống tiền Friends lây lan

Giống như nhiều loại mã độc tống tiền khác, Friends Ransomware dựa vào nhiều kênh phân phối để tiếp cận các nạn nhân tiềm năng. Email lừa đảo vẫn là một trong những phương pháp phát tán hiệu quả nhất. Những tin nhắn này thường chứa các tệp đính kèm hoặc liên kết độc hại, khi được mở sẽ khởi chạy quá trình tải xuống phần mềm độc hại. Kẻ tấn công thường sử dụng các tệp tài liệu chứa macro độc hại, các tệp lưu trữ nén, các tệp thực thi, PDF và các payload dựa trên JavaScript.

Các phương thức lây nhiễm khác bao gồm phần mềm độc hại Trojan cài đặt ngầm, cơ chế cập nhật phần mềm giả mạo, quảng cáo độc hại, các trang web bị xâm nhập và các tệp tải xuống từ các nguồn không đáng tin cậy. Các cổng thông tin phần mềm miễn phí, mạng chia sẻ tệp ngang hàng (peer-to-peer) và các nền tảng phân phối không chính thức khác thường chứa các tệp độc hại được ngụy trang thành phần mềm hợp pháp. Ổ USB bị nhiễm cũng có thể tạo điều kiện cho sự lây lan của phần mềm tống tiền giữa các hệ thống.

Một kịch bản lây nhiễm đặc biệt phổ biến liên quan đến các phần mềm bẻ khóa và công cụ kích hoạt lậu. Tội phạm mạng thường ngụy trang phần mềm độc hại dưới dạng các lựa chọn thay thế miễn phí cho phần mềm trả phí, lợi dụng những người dùng sẵn sàng bỏ qua các kênh phân phối chính thức. Sau khi được thực thi, những chương trình tưởng chừng vô hại này có thể cài đặt phần mềm tống tiền mà không cần cảnh báo.

Tăng cường khả năng phòng thủ chống lại phần mềm tống tiền

Để phòng chống mã độc tống tiền hiệu quả, cần có chiến lược bảo mật nhiều lớp, kết hợp các biện pháp kỹ thuật với hành vi an toàn của người dùng. Các tổ chức và cá nhân nên duy trì phần mềm bảo mật uy tín, đảm bảo hệ điều hành và ứng dụng được cập nhật thường xuyên, và vô hiệu hóa các tính năng không cần thiết có thể bị kẻ tấn công lợi dụng. Luôn luôn cần thận trọng với các tệp đính kèm email và liên kết từ các nguồn không xác định hoặc không mong muốn, ngay cả khi chúng có vẻ hợp pháp.

Sao lưu dữ liệu thường xuyên là một trong những biện pháp phòng vệ quan trọng nhất. Việc duy trì nhiều bản sao lưu ở các địa điểm riêng biệt, chẳng hạn như ổ cứng ngoài ngoại tuyến và các giải pháp lưu trữ từ xa an toàn, sẽ cải thiện đáng kể khả năng phục hồi sau một cuộc tấn công. Việc kiểm tra sao lưu cũng nên được thực hiện định kỳ để xác nhận rằng dữ liệu có thể được khôi phục thành công khi cần thiết.

Các biện pháp bảo mật chính bao gồm:

• Luôn cập nhật đầy đủ các bản vá bảo mật mới nhất cho hệ điều hành, trình duyệt và ứng dụng.
• Hãy sử dụng phần mềm bảo vệ điểm cuối uy tín với khả năng phát hiện mối đe dọa theo thời gian thực.
• Hãy duy trì nhiều bản sao lưu, bao gồm ít nhất một bản sao ngoại tuyến hoặc bản sao được cách ly khác.
• Tránh mở các tệp đính kèm email không mong muốn hoặc nhấp vào các liên kết đáng ngờ.
• Chỉ tải phần mềm từ các nguồn chính thức và đáng tin cậy.
• Tuyệt đối không sử dụng phần mềm lậu, phần mềm bẻ khóa hoặc các công cụ kích hoạt trái phép.
• Hạn chế quyền quản trị bất cứ khi nào có thể.
• Nâng cao nhận thức cho người dùng về các thủ đoạn lừa đảo trực tuyến và tấn công kỹ thuật xã hội.

Đánh giá cuối kỳ

Phần mềm tống tiền Friends Ransomware là một mối đe dọa an ninh mạng nghiêm trọng, kết hợp mã hóa tập tin với đánh cắp dữ liệu và tống tiền. Bằng cách thêm phần mở rộng '.friends124' vào các tập tin, gửi kèm một ghi chú đòi tiền chuộc có tiêu đề 'RANSOM_NOTE.html' và đe dọa tiết lộ thông tin bị đánh cắp, những kẻ điều hành phần mềm này cố gắng gây áp lực tối đa lên nạn nhân. Mặc dù các lựa chọn khôi phục thường bị hạn chế nếu không có bản sao lưu đáng tin cậy, nhưng việc thực hiện các biện pháp an ninh mạng mạnh mẽ, sao lưu thường xuyên, cập nhật phần mềm kịp thời và hành vi trực tuyến thận trọng có thể làm giảm đáng kể khả năng bị tấn công bằng phần mềm tống tiền và giảm thiểu tác động nếu bị nhiễm.