Những kẻ gửi thư rác Sử dụng tin nhắn coronavirus để triển khai Keylogger

Các tin tặc đang vũ khí hóa căn bệnh coronavirus COVID-2019, cố gắng lừa mọi người tải phần mềm độc hại để kẻ tấn công có thể đánh cắp thông tin có giá trị từ các máy tính của nạn nhân.

Phần mềm độc hại được triển khai thông qua các email và tệp bị nhiễm không có gì mới. Tuy nhiên, tin tặc cần một điểm nhấn để thu hút sự chú ý của các nạn nhân tiềm năng, và cách nào tốt hơn là kiếm lợi từ đại dịch để thuyết phục người dùng mở các tệp bị nhiễm?

Các nhà nghiên cứu bảo mật đã quan sát sự lan truyền của một tập tin có tên là “CoronaVirusSafetyMeasures_pdf,”  có khả năng nhất là ở dạng tệp đính kèm email, thực chất là một trình thả RAT (remote access trojan) hoạt động như một keylogger, đăng ký tất cả các lần nhấn phím.

Như thường lệ xảy ra với loại phần mềm độc hại này, tệp đính kèm hiếm khi là trò chơi cuối cùng cho kẻ tấn công, chưa kể đến việc tin tặc không muốn kích hoạt bảo vệ endpoint. Trong trường hợp cụ thể này, nó thực sự là một dropper, có nghĩa là tệp chỉ là một bước để đạt được mục tiêu.

Việc mở các tệp đính kèm sẽ bắt đầu tải xuống một tệp nhị phân được mã hóa, tải xuống hai tệp, tệp filename1.vbs và tên filename1.exe. Nó ghi vào sổ Windows registry để đảm bảo nó tồn tại khi khởi động lại. Tại thời điểm này, nó có khả năng hoạt động như một keylogger, đăng ký người dùng nhấn phím và lưu trữ chúng trong một tệp. Dữ liệu được thu thập bởi phần mềm độc hại được gửi đến máy chủ chỉ huy và kiểm soát (C&C), tại địa chỉ 66.154.98.108, một nhà cung cấp dịch vụ lưu trữ tại Mỹ có từ năm 2012.

Khai thác các chủ đề đáng tin cậy như sợ coronavirus là một phương pháp phổ biến phần mềm độc hại, khiến mọi người có nhiều khả năng mở email hoặc tệp đính kèm đến từ các nguồn không xác định. Nên sử dụng giải pháp bảo mật, nhưng nó cũng khuyên không nên mở email từ những người gửi không xác định, đặc biệt là nếu nó dường như có liên quan đến dịch coronavirus.