Tin tặc lợi dụng ứng dụng Windows phát tán mã độc tống tiền

Nhà nghiên cứu bảo mật "ProxyLife" mới đây đã phát hiện app máy tính của Windows 7 bị tin tặc lợi dụng để lây nhiễm mã độc QBot vào thiết bị cài các phiên bản mới hơn. Thiết bị bị nhiễm mã độc có thể bị đánh cắp thông tin hoặc tống tiền.

Theo Bleeping Computer, tin tặc sẽ gửi email chứa file định dạng web (HTML) tới người dùng. Nếu người dùng mở file này, trình duyệt sẽ tải file nén (ZIP) được cài mật khẩu, một file khác dưới định dạng ISO ẩn chứa bên trong. Phần mềm diệt virus trên máy tính không thể quét và phát hiện điểm nghi ngờ do file này được đặt mật khẩu.

Bên trong tập tin ISO chứa một file phím tắt (LNK), app máy tính mặc định của Windows 7 là ứng dụng "calc.exe", 2 file DLL chứa liên kết đến file chứa mã độc có tên "102755.dll" và các đoạn mã giúp ứng dụng hoạt động.

Phím tắt LNK dẫn đến file "calc.exe" nằm cùng thư mục được ngụy trang dưới tài liệu báo cáo dạng PDF. Nếu mở file PDF thì sẽ kích hoạt ứng dụng máy tính "calc.exe", kèm các file DLL chứa mã độc để lây nhiễm QBot vào thiết bị.

Hệ thống bảo mật của Windows sẽ không cảnh báo khi người dùng truy cập do tập tin "calc.exe" được xem như ứng dụng tin cậy.

App máy tính mặc định của Windows 7 sẽ ưu tiên liên kết với file DLL nằm cùng thư mục (nếu có). Chính điều này là nguyên nhân tin tặc chọn nó để phát tán mã độc. App máy tính trên các bản Windows mới luôn tìm đến file DLL thuộc thư mục hệ thống.

"ProxyLife" phát hiện chiến dịch lây nhiễm QBot bằng ứng dụng máy tính từ giữa tháng 7. Hiện vẫn chưa rõ Microsoft có cập nhật Windows Defender để ngăn chặn kiểu tấn công này hay không. Trong khi chờ đợi, người dùng lưu ý không tải file từ trang web hoặc email lạ để đề phòng dính mã độc.

Theo The HackerNews