HelloXD Ransomware
HelloXD Ransomware là một mối đe dọa phần mềm độc hại mạnh mẽ, với tội phạm mạng sử dụng nó trong các cuộc tấn công chống lại cả hệ thống Windows và Linux. Phần mềm độc hại lần đầu tiên thu hút sự chú ý của các nhà nghiên cứu an ninh mạng vào tháng 11 năm 2021 và kể từ đó, nó đã liên tục phát triển. Một số thay đổi quan trọng hơn được thực hiện bởi các tác giả của mối đe dọa đã được trình bày chi tiết trong một báo cáo của Đơn vị 42 của Mạng lưới Palo Alto.
Theo các nhà nghiên cứu, HelloXD dựa trên mã nguồn bị rò rỉ của một mối đe dọa ransomware khác có tên Babuk / Babyk . Các mẫu ban đầu sử dụng sự kết hợp của Curve25519-Donna và HC-128 đã được sửa đổi như một phần của quy trình mã hóa của nó. Tuy nhiên, các phiên bản sau đã đổi HC-128 lấy mật mã đối xứng Rabbit nhanh hơn. HelloXD tạo một ID cụ thể cho từng hệ thống bị nhiễm mà nạn nhân phải gửi cho những kẻ tấn công để nhận các khóa giải mã chính xác.
Tất nhiên, những người điều hành mối đe dọa chỉ sẵn sàng hỗ trợ nạn nhân của họ sau khi được trả một khoản tiền chuộc khổng lồ. Trên thực tế, để đảm bảo rằng các yêu cầu của họ sẽ được đáp ứng, các tin tặc đã thực hiện một kế hoạch tống tiền kép. Trên thực tế, điều này có nghĩa là dữ liệu của các thiết bị vi phạm sẽ được chuyển đến một máy chủ từ xa trước khi quy trình mã hóa được thực hiện. Không giống như các tổ chức tội phạm mạng khác, những người điều hành HelloXD Ransomware không duy trì một trang web rò rỉ chuyên dụng. Thay vào đó, họ hướng dẫn các tổ chức bị ảnh hưởng thiết lập giao tiếp thông qua Tox Chat, một ứng dụng trò chuyện ngang hàng. Các tin tặc có thể tránh xa hành vi này - một số ghi chú đòi tiền chuộc gần đây hơn do HelloXD đưa ra có chứa liên kết đến một trang web chưa hoạt động được lưu trữ trên mạng Onion.
Một trong những khám phá kỳ lạ hơn được các nhà nghiên cứu của Đơn vị 42 thực hiện là một mẫu HelloXD đã thả một mối đe dọa từ cửa sau lên thiết bị bị nhiễm. Cửa hậu là một phiên bản sửa đổi của một công cụ mã nguồn mở có tên là MicroBackdoor đã được mã hóa bằng WinCrypt API. Phần mềm độc hại bổ sung cho phép các tác nhân đe dọa thao túng hệ thống tệp trên máy vi phạm, tải lên các tệp đã chọn, phân phối tệp bổ sung hoặc tải trọng và chạy thực thi mã từ xa (RCE). Phần mềm độc hại cửa sau cũng có thể được hướng dẫn để tự xóa khỏi thiết bị của nạn nhân.
