35000 máy tính bị hack thành mạng lưới bonet nhiễm mã độc đào tiền ảo

www.tuoitre.vn -   01/05/2020 12:00:00 1051

Cuối tháng Tư vừa qua, các nhà nghiên cứu an ninh mạng từ ESET thông báo họ đã triệt tiêu một phần của mạng lưới botnet có ít nhất 35.000 máy tính Windows. Những máy này bị kẻ tấn công bí mật sử dụng để khai thác tiền điện tử Monero.

35000 máy tính bị hack thành mạng lưới bonet nhiễm mã độc đào tiền ảo

Được đặt tên là “VictoryGate”, botnet này hoạt động từ tháng 5/2019 chủ yếu ở Mỹ Latinh. Đặc biệt số máy bị nhiễm ở Peru chiếm 90% số máy trong mạng lưới.

ESET phát biểu “Hoạt động chính của VictoryGate là khai thác tiền điện tử Monero. Các nạn nhân là các tổ chức công và tư nhân, bao gồm cả các tổ chức tài chính”.

ESET cho biết họ đã làm việc với nhà cung cấp DNS động No-IP để gỡ các máy chủ C2 (command-and-control – chỉ huy và kiểm soát) của botnet. Những máy chủ này đã thiết lập các tên miền giả (còn gọi là sinkholes) để giám sát hoạt động của botnet.

Dữ liệu về sinkhole cho thấy có khoảng 2.000 đến 3.500 máy tính bị nhiễm đã được kết nối với máy chủ C2 hàng ngày trong suốt tháng 2 và tháng 3 năm nay.

Theo các nhà nghiên cứu tại ESET, VictoryGate truyền qua các thiết bị di động như ổ USB. Khi được kết nối với máy nạn nhân, chúng sẽ cài đặt một payload độc hại vào hệ thống.

Ngoài ra, mô-đun cũng kết nối với máy chủ C2 để nhận một payload thứ cấp chèn mã tùy ý vào các tiến trình hợp pháp của Windows như đưa phần mềm đào tiền ảo XMRig vào tiến trình ucsvc.exe (hoặc Boot File Servicing Utility – Tiện ích phục vụ tệp khởi động). Từ đó tạo điều kiện cho việc khai thác Monero.

35000 máy tính bị hack thành mạng lưới bonet nhiễm mã độc đào tiền ảo

Các nhà nghiên cứu cho biết “Từ dữ liệu được thu thập trong các hoạt động bí mật, chúng tôi có thể xác định rằng trung bình có 2.000 thiết bị khai thác trong 1 ngày. Nếu ước tính tốc độ băm trung bình là 150H/giây, chúng ta có thể nói rằng những kẻ đứng sau botnet đã thu được ít nhất 80 Monero (khoảng $6000, hay ~140.000.000 VNĐ)”.

Với các ổ USB được sử dụng làm phương tiện lây nhiễm, ESET cảnh báo rằng chúng có khả năng gây ra đợt lây lan botnet mới trong tương lai. Do một lượng đáng kể máy chủ C2 đã bị gỡ nên các máy bị nhiễm sẽ không còn nhận được payload thứ cấp. Tuy nhiên, những máy bị lây nhiễm trước khi máy chủ C2 bị gỡ vẫn sẽ tiếp tục khai thác Monero.

Nhóm nghiên cứu kết luận “Một trong những đặc điểm thú vị về VictoryGate là nó luôn cố gắng tránh bị phát hiện so với các chiến dịch tương tự trước đây trong khu vực”.

“Vì botmaster (máy điều khiển botnet) có thể cập nhật chức năng của các payload được tải xuống và chuyển các thiết bị trong mạng lưới từ khai thác tiền điện tử sang bất kỳ hoạt động độc hại nào khác tại bất kỳ thời điểm nào nên có khả năng sẽ gây ra rủi ro đáng kể”.

Theo TheHackerNews

TIN CÙNG CHUYÊN MỤC

Cổng bảo mật 2 bước MFA vẫn có thể bị tấ...

13/02/2024 07:00:00 210
Trong bài viết trước, Kaspersky Proguide đã đề cập 2 chiêu thức tinh vi mà tin tặc sử dụng. Hôm nay,...

4 chiêu thức tin tặc sử dụng kỹ thuật xã...

12/02/2024 08:00:00 326
Trong bài viết này, hãy cùng Kaspersky Proguide khám phá 4 chiêu thức ứng dụng kỹ thuật xã hội mà ti...

Phần mềm độc hại Android MoqHao mới bị p...

08/02/2024 08:00:00 308
Các chuyên gia bảo mật vừa phát hiện được một biến thể mới của phần mềm độc hại Android có tên MoqHa...

73 lỗ hổng bảo mật Windows được Microsof...

08/02/2024 08:00:00 270
Microsoft đã phát hành các bản vá bảo mật để giải quyết 73 lỗi bảo mật trên dòng phần mềm của mình n...

Google bắt đầu chặn tải các ứng dụng And...

07/02/2024 08:00:00 316
Google công bố chương trình thí điểm mới tại Singapore nhằm ngăn chặn người dùng tải một số ứng dụng...

Cẩn trọng tìm việc làm qua Facebook bị đ...

06/02/2024 08:00:00 237
Những kẻ tấn công an ninh mạng đang tận dụng các quảng cáo việc làm không có thật trên Facebook để d...
Xem thêm

TAGS

LIÊN HỆ

Thông tin liên hệ