22A Hue Street, Hanoi, Vietnam 0904092014 info@binhminhitc.com

Cách tự bảo vệ trước ransomware WannaCry

by | Hướng dẫn kỹ thuật

Hôm nay, khách hàng của chúng tôi đã phát hiện rất nhiều cuộc tấn công ransomware trên khắp thế giới. Trong các cuộc tấn công này, dữ liệu bị mã hóa và tên tệp bị thêm phần mở rộng “.WCRY”.
Phân tích của chúng tôi cho thấy cuộc tấn công, gọi là “WannaCry”, được khởi phát qua lỗ hổng thực thi mã từ xa SMBv2 trong Microsoft Windows. Mã khai thác này (tên mã “EternalBlue”) đã bị phát tán trên Internet qua đợt rò rỉ của Shadowbrokers ngày 14/4/2017 và đã được Microsoft vá ngày 14/3.
Vì vậy, chúng tôi đặc biệt khuyến nghị thực hiện cẩn thận các lưu ý sau:

  • Cẩn thận khi nhấp vào liên kết độc hại trong email.
  • Cảnh giác khi truy cập website không an toàn hoặc không đáng tin cậy.
  • Không bao giờ nhấp vào liên kết không đáng tin trên trang web, Facebook hoặc ứng dụng nhắn tin như WhatsApp và các ứng dụng khác.
  • Nếu nhận tin nhắn có liên kết từ bạn bè, hãy hỏi lại họ trước khi mở để xác nhận (máy bị nhiễm gửi tin nhắn ngẫu nhiên kèm liên kết).
  • Sao lưu tệp thường xuyên và định kỳ: theo thời gian thực – trực tuyến – ngoại tuyến.
  • Cảnh giác với email lừa đảo dùng tên gần giống dịch vụ phổ biến, như PayePal thay cho PayPal, hoặc dùng tên dịch vụ phổ biến bị thiếu dấu chấm hay thừa ký tự.
  • Dùng phần mềm diệt virus và luôn cập nhật.
  • Dùng Windows Update để cập nhật Windows, vá lỗ hổng.
  • Đóng cổng 139, 445, 3389
  • Tắt dịch vụ SMB
  • Cập nhật toàn bộ hệ thống lên phiên bản mới nhất
  • Chặn IP của máy chủ điều khiển (C&C) ransomware trên IDS-IPS-Firewall…
  • Cập nhật hoặc sao lưu dữ liệu lên Dropbox, Owncloud, Google Drive …

WannaCryWannaDecrypt0r NSA-Cybereweapon-Powered Ransomware Worm

  • Tên virus: WannaCrypt, WannaCry, WanaCrypt0r, WCrypt, WCRY
  • Hướng tấn công: Mọi phiên bản Windows trước Windows 10 đều có lỗ hổng nếu chưa vá MS-17-010. Mã độc dùng EternalBlue MS17-010 để lây lan.
  • Tiền chuộc: từ 300 đến 600 USD. Virus có đoạn mã ‘rm’ (xóa) tệp. Có vẻ sẽ đặt lại nếu virus bị lỗi.
  • Cài backdoor: Sâu lặp qua mọi phiên RDP trên hệ thống để chạy ransomware dưới danh nghĩa người dùng đó. Nó cũng cài backdoor DOUBLEPULSAR, và làm hỏng shadow volume để việc khôi phục khó hơn. (nguồn: malwarebytes)
  • Kill switch: Nếu website www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com hoạt động, virus sẽ thoát thay vì lây nhiễm máy. (nguồn: malwarebytes). Tên miền này đã bị sinkhole, giúp chặn đà lây lan của sâu.

BẢN TIN BẢO MẬT VÀ CẬP NHẬT TẠI ĐÂY: https://technet.microsoft.com/en-us/library/security/ms17-010.aspx
Bản vá đầu tiên của Microsoft cho XP từ năm 2017: https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/
Nguồn về killswitch: https://blog.malwarebytes.com/threat-analysis/2017/05/the-worm-that-spreads-wanacrypt0r/

Các tổ chức bị lây nhiễm

Mẫu mã độc

Khối nhị phân trong PE được mã hóa bằng mật khẩu ‘WNcry@2ol7’, cảm ơn ens!

Các tweet hữu ích

Chi tiết mã hóa

  • mã hóa bằng AES-128-CBC (tự triển khai trong tệp nhị phân)
  • khóa AES được tạo bằng CSPRNG, CryptGenRandom
  • khóa AES được mã hóa bằng RSA-2048 (triển khai RSA của Windows)
  • https://haxx.in/key1.bin (public key của ransomware, dùng để mã hóa các khóa AES)
  • https://haxx.in/key2.bin (private key giải mã dll) – khối khóa RSA của CryptImportKey() do blasty trích xuất từ DLL.

Địa chỉ bitcoin nhận tiền chuộc

3 địa chỉ được gán cứng trong mã độc.

Máy chủ điều khiển (C&C)

  • gx7ekbenv2riucmf.onion
  • 57g7spgrzlojinas.onion
  • xxlvbrloxvriy2c5.onion
  • 76jdd2ir2embyv47.onion
  • cwwnhwhlz52maqm7.onion

Ngôn ngữ

Thông báo đòi tiền chuộc có ở mọi ngôn ngữ sau:
undefined

Loại tệp

Các loại tệp mà mã độc tìm để mã hóa gồm
undefined
cảm ơn herulume đã trích xuất danh sách này từ tệp nhị phân.

Một số chuỗi đáng chú ý khác

BAYEGANSRV\administrator Smile465666SA wanna18@hotmail.com
nguồn: nulldot https://pastebin.com/0LrH05y2

Định dạng tệp bị mã hóa

<64-bit SIGNATURE>        - WANACRY!
 - 256 for 2048-bit keys, cannot exceed 4096-bits
           - 256 bytes if keys are 2048-bits
<32-bit value>            - unknown
<64 bit file size>        - return by GetFileSizeEx
          - with custom AES-128 in CBC mode

cảm ơn cyg_x11 đã dịch ngược thông tin định dạng tệp này

Công bố lỗ hổng

Lỗ hổng cụ thể mà mã độc dùng để lây lan là ETERNALBLUE.
Mã khai thác này do “equation group”, nhóm phát triển mã khai thác có liên hệ với NSA, phát triển và bị “the shadow brokers” làm lộ ra công chúng. Microsoft đã vá lỗ hổng này ngày 14/3/2017. Tại thời điểm phát tán, đây không còn là lỗ hổng zero-day.