Cảnh báo – Microsoft cảnh báo người dùng Android về mã độc tống tiền mới

Mới đây, Microsoft đã cảnh báo về một dòng mã độc tống tiền mới trên điện thoại, chiếm quyền thông báo những cuộc gọi đến và nút home của Android để khóa thiết bị sau một nội dung tống tiền.

Phát hiện liên quan đến một biến thể của họ ransomware Android được biết đến có tên là "MalLocker.B", hiện đã xuất hiện trở lại với các kỹ thuật mới, bao gồm một phương tiện mới để cung cấp nhu cầu tiền chuộc trên các thiết bị bị nhiễm cũng như cơ chế giải mã để tránh các giải pháp bảo mật.

Sự phát triển này diễn ra trong bối cảnh các cuộc tấn công ransomware gia tăng mạnh mẽ nhằm vào cơ sở hạ tầng quan trọng trên các lĩnh vực, với mức tăng trung bình hàng ngày của các cuộc tấn công ransomware – mã độc tống tiền là 50% trong ba tháng qua so với nửa đầu năm và tội phạm mạng ngày càng tăng gấp đôi khoản tiền tống tiền trong playbook của họ.

MalLocker đã được biết đến với việc lưu trữ trên các trang web độc hại và lưu hành trên các diễn đàn trực tuyến bằng cách sử dụng các chiêu trò kỹ thuật xã hội khác nhau bằng cách giả mạo là ứng dụng phổ biến, trò chơi đã bẻ khóa hoặc trình phát video.

Các phiên bản trước của ransomware Android đã khai thác các tính năng trợ năng của Android hoặc quyền được gọi là "SYSTEM_ALERT_WINDOW" để hiển thị một cửa sổ liên tục trên tất cả các màn hình khác để hiển thị thông báo đòi tiền chuộc, thường giả dạng thông báo hoặc cảnh báo giả mạo của cảnh sát về việc cố ý tìm thấy hình ảnh khiêu dâm trên thiết bị.

Nhưng cũng giống như phần mềm chống phần mềm độc hại bắt đầu phát hiện hành vi này, biến thể ransomware Android mới đã phát triển chiến lược của mình để vượt qua rào cản này. Điều thay đổi với MalLocker.B là phương pháp mà nó đạt được cùng một mục tiêu thông qua một chiến thuật hoàn toàn mới.

Để làm như vậy, nó sử dụng thông báo "cuộc gọi" được sử dụng để cảnh báo người dùng về các cuộc gọi đến để hiển thị một cửa sổ bao phủ toàn bộ diện tích của màn hình và sau đó kết hợp nó với phím Home hoặc Recents để kích hoạt ghi chú đòi tiền chuộc lên nền trước và ngăn nạn nhân chuyển sang bất kỳ màn hình nào khác.

Microsoft cho biết: “Điều này tạo ra một chuỗi các sự kiện kích hoạt cửa sổ bật lên tự động của màn hình ransomware mà không cần mở như một cửa sổ hệ thống”.

Bên cạnh việc từng bước xây dựng dựa trên một loạt các kỹ thuật nói trên để hiển thị màn hình ransomware, công ty cũng ghi nhận sự hiện diện của một mô hình học máy chưa được tích hợp có thể được sử dụng để phù hợp với hình ảnh ghi chú tiền chuộc trong màn hình mà không bị biến dạng, gợi ý về sự phát triển giai đoạn tiếp theo của phần mềm độc hại.

Hơn nữa, trong nỗ lực che giấu mục đích thực sự của nó, mã ransomware rất khó hiểu và không thể đọc được thông qua việc xáo trộn tên và cố ý sử dụng các tên biến vô nghĩa và mã rác để cản trở phân tích, công ty cho biết.

Nhóm nghiên cứu Microsoft 365 Defender cho biết: “Biến thể ransomware di động mới này là một khám phá quan trọng vì phần mềm độc hại thể hiện các hành vi chưa từng thấy trước đây và có thể mở ra cánh cửa cho các phần mềm độc hại khác theo sau,” Nhóm nghiên cứu Microsoft 365 Defender cho biết.

 "Nó củng cố nhu cầu phòng thủ toàn diện được hỗ trợ bởi khả năng hiển thị rộng rãi đối với các bề mặt tấn công cũng như các chuyên gia tên miền theo dõi toàn cảnh mối đe dọa và phát hiện ra các mối đe dọa đáng chú ý có thể đang ẩn náu giữa dữ liệu và tín hiệu đe dọa khổng lồ."

Hương – theo The Hacker New