Cảnh báo: Hàng trăm ngàn máy chủ web bị nhiễm mã độc CTB-Locker

03/03/2016 04:00:00

Hiện tại rất nhiều trang web, chủ yếu là các trang WordPress bị lây nhiễm mã độc CBT-Locker. Quản trị viên website cần sử dụng các bản sao lưu sạch để khôi phục trang web trở lại bình thường.

Hàng trăm ngàn máy chủ web bị nhiễm mã độc CTB-Locker

Mã độc tống tiền khét tiếng CTB-Locker hiện đã được giới tin tặc phát triển thành nhiều biến thể tinh vi và nguy hiểm hơn, tấn công vào hàng loạt trang web và mã hóa dữ liệu, đòi quản trị viên phải trả tiền chuộc để giải mã. Chủng ransomware mang tên CTB-Locker for Websites là biến thể mới nhất sẽ chiếm quyền kiểm soát và mã hóa dữ liệu trang web bị xâm nhập. Những trang bị ảnh hưởng sẽ nhận thấy giao diện web bị thay đổi với thông báo yêu cầu nạn nhân trả tiền để trang hoạt động trở lại bình thường.

Lawrence Abrams - một chuyên gia bảo mật thuộc BleepingComputer cho biết mã độc CTB-Locker for Websites sẽ thay đổi giao diện trang index gốc (index.php hoặc index.html). Ngay sau khi có được quyền kiểm soát website, tin tặc giữ 2 khóa giải mã AES-256 khác nhau. Khóa đầu tiên có thể được dùng để giải mã 2 file bất kì trong danh sách các file bị mã hóa nhằm minh họa quá trình giải mã. Khi quản trị viên website nhập tên tệp tin muốn giải mã và nhấn “Decrypt for Free” (giải mã miễn phí), jquery sẽ gửi yêu cầu đến máy chủ điều khiển. Sau khi giải mã sẽ hiện lên thông điệp ‘Congratulations! TEST FILES WAS DECRYPTED!!’ ( Xin chúc mừng, tập tin thử nghiệm đã đã được giải mã).

Hàng trăm ngàn máy chủ web bị nhiễm mã độc CTB-Locker

Mục đích của tin tặc là cho phép quản trị viên mở khóa 2 tệp tin bất kì như một cách chứng tỏ rằng khóa giải mã hoạt động tốt. Khóa giải mã còn lại sẽ được gửi tới nạn nhân sau khi nạn nhận gửi tiền chuộc tới tin tặc. Tất cả nội dung website sẽ bị mã hóa và một định danh duy nhất được tạo ra dành cho website đó. Gần như tất cả các kiểu file đều bị ảnh hưởng bởi CTB-Locker Ransomware. Nếu nạn nhân không thanh toán đúng hạn, số tiền có thể sẽ tăng lên gấp đôi.

Xuân Dung