WannaCry Ransomware – Những gì chúng ta biết và những gì bạn có thể làm

Trừ khi bạn đã sống trong một hang động không có WiFi, bạn chắc đã nhìn thấy vụ ransomware khổng lồ đã diễn ra vào thứ sáu tuần trước. Cuộc tấn công vẫn đang tiến triển, với các phiên bản mới được phát hành vào cuối tuần.
Dưới đây là tóm tắt những gì chúng ta biết về vụ tấn công, và những gì bạn có thể làm:

Hình 1 – Ảnh chụp màn hình của WannaCry Ransomware v2.0 được Firstline quan sát lần đầu tiên vào ngày 11 tháng 5.

​Chuyện gì đã xảy ra?
Vào thời điểm buổi trưa ngày Chủ nhật, WannaCry Ransomware (còn được gọi là WannaCrypt, WannaCrypt0r và các biến thể đặt tên khác) đã tấn công khoảng 150 quốc gia và ảnh hưởng tới hơn 200.000 hệ thống . Các phần mềm độc hại mã hóa các tập tin trên hệ thống cá nhân và các nạn nhân có 3 ngày để trả tiền chuộc ($ 300 USD ) hoặc giá tăng gấp đôi. Sau 7 ngày, phần mềm độc hại sẽ xóa các tệp được mã hóa. Các ransomware hỗ trợ 28 ngôn ngữ khác nhau và mã hóa 179 loại khác nhau của các tập tin.
Cuộc tấn công
Cuộc tấn công phân tán một phiên bản mới của một gia đình ransomware đã được khoảng từ năm 2016 và gần đây nhất được tìm thấy bởi Lastline cuối tháng 3 năm 2017.
Phương pháp lan truyền ransomware là một loại sâu máy tính cũ, lây lan ransomware một cách tự động thông qua mạng, mà không cần bất kỳ yêu cầu nào cho người dùng nhấp chuột vào các liên kết hoặc mở tập tin đính kèm. (Worms là những mối đe dọa tự lan truyền không được sử dụng nhiều như một công cụ tấn công trong vài năm gần đây vì các tác giả phần mềm độc hại đã chuyển sang các kỹ thuật ẩn giấu để tránh phát hiện).
Phần tải trọng khai thác một lỗ hổng trong dịch vụ Windows SMB. Lỗ hổng này trong một giao thức truyền thông thường được sử dụng tồn tại trong hầu hết các phiên bản của Windows được sản xuất trong 15 năm qua, làm cho nó trở thành một vector uy hiếp cực kỳ hiệu quả.
Để biết thêm thông tin về chủ đề của Ransomware, Lastline Labs gần đây đã đăng một số thông tin tốt về Blog Lastline Labs Phần 1: Cơ chế phân phối Ransomware và Phần 2: Quá Overt để Ẩn .
Các biến thể của Ransomware
Có một số phiên bản phần mềm độc hại đang lưu hành hiện tại. Hiệu quả của phiên bản đầu tiên đạt được hôm thứ 6 bị giới hạn bởi một nhà nghiên cứu khôn ngoan nhận thấy rằng phần mềm độc hại đang gọi về một miền không được đăng ký, và ông đã mua tên miền đó với giá $10.69 và cứu thế giới (đó là một chút cường điệu, nhưng không nhiều). Bằng cách mua tên miền, ông đã gây ra phần mềm độc hại để kích hoạt một “công cụ diệt” được nhúng trong mẫu phần mềm độc hại.
Đăng ký tên miền phần mềm độc hại được cho sử dụng là một kỹ thuật được gọi là ‘sinkholing’ và thường được sử dụng để làm chậm sự lây lan của phần mềm độc hại. Trong trường hợp cực đoan này, quá trình đăng ký tên miền gây ra kết quả không mong đợi, vì tất cả các mẫu phần mềm độc hại chạy sau khi đăng ký tên miền của nhà nghiên cứu được lan truyền trên internet đều bị dừng lại. Có một trường hợp ngoại lệ vẫn không bảo vệ được làn sóng đầu tiên của mẫu WannaCry, vì các tổ chức được bảo vệ bởi công nghệ proxy rõ ràng không thể hoàn thành yêu cầu DNS vì phần mềm độc hại không được thiết kế để nhận thức về proxy.
Thật không may, ngay từ đầu ngày thứ 7, ngày 13 tháng 5, có nhiều phiên bản mới của phần mềm độc hại WannaCry đã được phát hiện ra rằng không còn sử dụng phần mềm nhúng chuyển đổi giết, có nghĩa là sự lây lan của cuộc tấn công này có thể sẽ tiếp tục.
Kiểm tra nội dung sâu của Enterprise và phân loại mối đe dọa
Chúng tôi phát hiện ra ransomware trên toàn hệ thống dò tìm: thông qua kiểm tra nội dung sâu các mẫu phần mềm độc hại; Thông tin về tên miền / máy chủ lưu trữ từ Mạng lưới tình báo mạng Toàn cầu của chúng tôi và phân tích lưu lượng mạng.
Dưới đây là ảnh chụp màn hình của báo cáo phân tích được tạo từ một trong những mẫu phần mềm độc hại mà chúng tôi đã nhận được. Bạn có thể xem phân loại ransomware và xác định nỗ lực truyền bá phần mềm độc hại thông qua giao thức SMB (Microsoft Server Message Block) trong danh sách các hoạt động đã được phát hiện.

Hình 2 – Phân tích doanh nghiệp mới của WannCry ransomware