Phần mềm tống tiền bị đánh cắp (MedusaLocker)

Với sự phát triển nhanh chóng của các mối đe dọa kỹ thuật số, ransomware vẫn là một trong những hình thức tội phạm mạng gây thiệt hại và tốn kém nhất. Những cuộc tấn công này có thể khóa máy tính của nạn nhân, làm gián đoạn hoạt động kinh doanh và gây ra thiệt hại đáng kể về tài chính và uy tín. Do đó, việc duy trì an ninh mạng mạnh mẽ là điều cần thiết để giảm thiểu nguy cơ bị lây nhiễm phần mềm độc hại như ransomware Stolen (MedusaLocker).

Tổng quan về Ransomware bị đánh cắp

Các nhà nghiên cứu an ninh mạng đã phát hiện Stolen, một biến thể ransomware nguy hiểm thuộc họ MedusaLocker. Khi phần mềm độc hại này xâm nhập được vào thiết bị, nó sẽ ngay lập tức mã hóa dữ liệu quan trọng và thay đổi tên tệp bằng cách thêm phần mở rộng '.stolen[number]' duy nhất, ví dụ: '1.png' thành '1.png.stolen30'. Sau khi mã hóa các tệp, phần mềm độc hại sẽ thả một ghi chú đòi tiền chuộc có tiêu đề 'READ_NOTE.html' vào các thư mục bị ảnh hưởng.
Ghi chú thông báo cho nạn nhân rằng tệp của họ đã bị khóa bằng cách sử dụng kết hợp các thuật toán mã hóa RSA và AES — một phương pháp được thiết kế để khiến việc khôi phục gần như không thể thực hiện được nếu không có khóa giải mã do kẻ tấn công nắm giữ.

Tờ tiền chuộc và yêu cầu của kẻ tấn công

Tin nhắn đòi tiền chuộc giải thích rằng tất cả các tệp đã bị mã hóa và cảnh báo nạn nhân không nên cố gắng khôi phục hoặc sửa đổi chúng bằng các công cụ của bên thứ ba, đồng thời khẳng định rằng những nỗ lực như vậy sẽ dẫn đến mất dữ liệu vĩnh viễn. Tin nhắn còn khẳng định rằng kẻ tấn công đã đánh cắp thông tin mật và cá nhân, lưu trữ trên một máy chủ riêng và sẽ bị hủy sau khi thanh toán.

Để gây áp lực, bọn tội phạm đe dọa sẽ công bố hoặc bán dữ liệu bị đánh cắp nếu tiền chuộc không được trả kịp thời. Chúng yêu cầu nạn nhân liên hệ qua địa chỉ email được cung cấp — stevensfalls@outlook.com hoặc richardfeuell@outlook.com — và cảnh báo rằng số tiền chuộc sẽ tăng lên sau 72 giờ.

Bất chấp những lời đe dọa này, việc trả tiền chuộc là điều hết sức không nên. Không có gì đảm bảo rằng nạn nhân sẽ lấy lại được quyền truy cập vào dữ liệu của mình, và việc làm như vậy chỉ khuyến khích thêm các hoạt động tội phạm. Những người có bản sao lưu ngoại tuyến an toàn có thể khôi phục tệp của mình mà không cần tương tác với kẻ tấn công.

Các vectơ lây nhiễm và chiến thuật phân phối

Mã độc tống tiền bị đánh cắp sử dụng nhiều kênh phân phối, khiến chúng trở nên cực kỳ linh hoạt và nguy hiểm. Các tác nhân đe dọa thường dựa vào:

• Email lừa đảo có chứa tệp đính kèm hoặc liên kết bị nhiễm độc, khi mở ra sẽ kích hoạt cài đặt phần mềm độc hại.
• Bộ công cụ khai thác lợi dụng các lỗ hổng phần mềm chưa được vá.
• Quảng cáo độc hại (quảng cáo độc hại) và tải xuống tự động cài đặt phần mềm tống tiền khi truy cập vào các trang web bị xâm phạm hoặc không an toàn.

• Các nền tảng chia sẻ tệp không đáng tin cậy, mạng P2P hoặc phần mềm lậu thường mang theo các phần mềm ẩn.

Trong một số trường hợp, các thiết bị USB bị nhiễm, tập lệnh độc hại hoặc tệp nén cũng được sử dụng để phát tán phần mềm tống tiền cho người dùng không hề hay biết.

Các biện pháp bảo mật được khuyến nghị để ngăn chặn nhiễm phần mềm tống tiền

Việc phòng thủ chống lại các phần mềm tống tiền tiên tiến như Stolen đòi hỏi một phương pháp bảo mật chủ động và nhiều lớp. Người dùng nên áp dụng các biện pháp tốt nhất sau đây để bảo vệ hệ thống và dữ liệu của mình:

1. Tăng cường bảo mật hệ thống và mạng

• Thường xuyên cập nhật hệ điều hành, phần mềm và công cụ bảo mật để vá các lỗ hổng đã biết.
• Sử dụng các giải pháp tường lửa và phần mềm chống phần mềm độc hại có uy tín, có khả năng phát hiện hành vi giống như phần mềm tống tiền.
• Vô hiệu hóa macro và thực thi tập lệnh trong tệp đính kèm email và tài liệu từ người gửi không xác định.
• Sử dụng xác thực đa yếu tố (MFA) và thực thi chính sách mật khẩu mạnh để ngăn chặn truy cập trái phép.

2. Thực hành hành vi trực tuyến an toàn và có ý thức

• Tránh mở email đáng ngờ hoặc tải xuống tệp từ nguồn không quen thuộc.
• Tránh sử dụng phần mềm bẻ khóa hoặc trình tải xuống không chính thức vì chúng thường là nơi chứa phần mềm độc hại.
• Sao lưu thường xuyên các tệp quan trọng vào bộ nhớ ngoại tuyến hoặc trên nền tảng đám mây không kết nối với hệ thống chính của bạn.
• Giáo dục người dùng trong tổ chức về các chiến thuật lừa đảo và kỹ thuật xã hội để giảm nguy cơ vô tình thực thi các tệp độc hại.

Suy nghĩ cuối cùng

Mã độc tống tiền Stolen (MedusaLocker) là một ví dụ điển hình về cách các chiến dịch mã độc tống tiền hiện đại kết hợp mã hóa mạnh, thao túng tâm lý và đánh cắp dữ liệu để tối đa hóa tác động. Nạn nhân nên tập trung vào việc ngăn chặn và phục hồi thay vì tuân thủ các yêu cầu đòi tiền chuộc. Các biện pháp an ninh mạng hiệu quả — bao gồm cập nhật thường xuyên, duyệt web thận trọng và sao lưu an toàn — vẫn là biện pháp phòng thủ mạnh mẽ nhất chống lại các cuộc tấn công mã độc tống tiền.