Tấn công ransomware Wannacry: 3 điều quan trọng cần biết

Các cuộc tấn công bằng ransomware, có tên là WannaCry, đã được các chuyên gia bảo mật Cyber ​​báo cáo trên toàn thế giới vào thứ Sáu và nhiều cảnh báo đã được đưa ra nhằm ngụ ý các biện pháp bảo mật gia tăng trên các thiết bị kết nối web như một đợt tấn công thứ hai dự kiến ​​trong tuần này.

Các cuộc tấn công ransomware - một thủ thuật hacker hàng chục năm tuổi - đã tấn công chủ yếu vào Nga, Ukraine, Tây Ban Nha, Anh và Ấn Độ.

Các quốc gia khác bao gồm Mỹ, Brazil, Trung Quốc, trong số các quốc gia khác từ Bắc Mỹ, Mỹ Latinh, Châu Âu và Châu Á đã bị tấn công bởi ransomware.

Phần mềm ransomware mã hóa các tệp trên thiết bị bằng phần mở rộng '.wcry' và được khởi tạo thông qua thực thi mã từ xa SMBv2 (Server Message Block Phiên bản 2).

Cũng đọc: Ransomware là gì và làm thế nào để bảo vệ chống lại nó? và điện thoại thông minh có dễ bị tấn công bởi WannaCry Ransomware Attack không?

Nhóm phân tích và nghiên cứu toàn cầu của Kaspersky Lab đã chỉ ra rằng 'các máy tính Windows chưa được vá lộ ra các dịch vụ SMB của họ có thể bị tấn công từ xa' và 'lỗ hổng này dường như là yếu tố quan trọng nhất gây ra dịch bệnh'.

Nhóm hack Môi giới bóng tối được báo cáo là chịu trách nhiệm làm cho phần mềm độc hại thực hiện cuộc tấn công này có sẵn trên internet vào ngày 14 tháng 4.

Làm thế nào rộng rãi là cuộc tấn công?

Tác động đầy đủ của cuộc tấn công này vẫn chưa được biết vì các chuyên gia an ninh mạng đang mong đợi các đợt tấn công bổ sung sẽ tấn công nhiều hệ thống hơn.

Theo báo cáo trên tờ New York Times, cuộc tấn công đã chiếm quyền kiểm soát hơn 200.000 máy tính tại hơn 150 quốc gia.

Các công ty và cơ quan chính phủ bao gồm các bộ của Nga, FedEx, Deutsche Bahn (Đức), Telefonica (Tây Ban Nha), Renault (Pháp), Qihoo (Trung Quốc) và Dịch vụ y tế quốc gia của Anh đã bị ảnh hưởng.

Nhóm ứng phó khẩn cấp máy tính Tây Ban Nha (CCN-CERT) cũng đã kêu gọi cảnh báo cao ở nước này vì họ nói rằng các tổ chức có thể đã bị ảnh hưởng bởi ransomware.

Phần mềm WannaCrypt độc hại nhanh chóng lan rộng trên toàn cầu và được rút ra từ các khai thác bị đánh cắp từ NSA ở Hoa Kỳ. Microsoft đã phát hành bản cập nhật bảo mật để vá lỗ hổng này nhưng nhiều máy tính vẫn chưa được cập nhật trên toàn cầu, Microsoft Microsoft tuyên bố.

Các phần mềm sau đây đã bị ảnh hưởng cho đến nay:

• Windows Server 2008 cho các hệ thống 32 bit
• Windows Server 2008 cho gói dịch vụ hệ thống 32 bit 2
• Windows Server 2008 cho các hệ thống dựa trên Itanium
• Windows Server 2008 cho gói dịch vụ hệ thống dựa trên Itanium 2
• Windows Server 2008 cho các hệ thống dựa trên x64
• Windows Server 2008 cho gói dịch vụ hệ thống dựa trên x64 2
• Windows Vista
• Gói dịch vụ Windows Vista 1
• Gói dịch vụ Windows Vista 2
• Phiên bản Windows Vista x64
• Gói dịch vụ Windows Vista x64 Edition 1
• Gói dịch vụ Windows Vista x64 Edition 2
• Windows 7
• Windows 8.1
• Windows RT 8.1
• Máy chủ Windows 2012 và R2
• Windows 10
• Máy chủ Windows 2016

Nó ảnh hưởng đến các hệ thống như thế nào?

Phần mềm độc hại mã hóa các tệp chứa phần mở rộng văn phòng, tệp tin, phương tiện truyền thông, cơ sở dữ liệu email và email, mã nguồn của nhà phát triển và tệp dự án, tệp đồ họa và hình ảnh và nhiều hơn nữa.

Một công cụ giải mã cũng được cài đặt cùng với phần mềm độc hại hỗ trợ kiếm tiền chuộc trị giá 300 đô la được yêu cầu bằng Bitcoin cũng như giải mã các tệp sau khi thanh toán được thực hiện.

Công cụ giải mã chạy hai bộ đếm thời gian đếm ngược - bộ hẹn giờ 3 ngày, sau đó nó chỉ ra rằng tiền chuộc sẽ tăng và bộ hẹn giờ 7 ngày cho biết lượng thời gian còn lại trước khi các tệp bị mất vĩnh viễn.

Do công cụ phần mềm có khả năng dịch văn bản của nó sang nhiều ngôn ngữ, rõ ràng là cuộc tấn công đang được nhắm đến trên toàn cầu.

Để đảm bảo rằng người dùng tìm thấy công cụ giải mã, phần mềm độc hại cũng thay đổi hình nền của PC bị ảnh hưởng.

Làm thế nào để giữ an toàn?

• Đảm bảo rằng cơ sở dữ liệu phần mềm chống vi-rút của bạn được cập nhật và nó bảo vệ hệ thống của bạn trong thời gian thực và quét.
• Nếu phần mềm độc hại: Trojan.Win64.EquationDrug.gen được phát hiện, hãy đảm bảo nó được cách ly và xóa và khởi động lại hệ thống.
• Nếu bạn chưa có, bạn nên cài đặt bản vá chính thức của Microsoft - MS17-010 - giúp giảm thiểu lỗ hổng SMB đang bị khai thác trong cuộc tấn công.
• Bạn cũng có thể vô hiệu hóa SMB trên máy tính của mình bằng hướng dẫn này của Microsoft.
• Các tổ chức có thể cách ly các cổng giao tiếp 137 và 138 UDP và các cổng 139 và 445 TCP.

Các hệ thống có trụ sở tại Hoa Kỳ được bảo mật một cách tình cờ

Một nhà nghiên cứu bảo mật người Anh 22 tuổi đã vô tình tắt phần mềm độc hại lây lan sang các mạng ở Mỹ khi anh ta mua tên miền chuyển đổi tiêu diệt phần mềm độc hại chưa được đăng ký.

Ngay khi trang web này hoạt động, cuộc tấn công đã ngừng hoạt động. Bạn có thể đọc báo cáo đầy đủ của anh ấy ở đây về cách anh ấy tiết lộ khóa chuyển đổi cho phần mềm độc hại và cuối cùng tắt nó đi.

Cũng đọc: Lỗ hổng bảo mật Android quan trọng này vẫn chưa được sửa bởi Google.

Đã có một biến thể khác của ransomware không có khóa chuyển đổi, khiến nó trở nên khó kiểm soát. Sharda Tickoo, Trưởng phòng kỹ thuật, Trend Micro Ấn Độ đã bắt đầu lây nhiễm các quốc gia ở châu Âu.

Vẫn chưa rõ ai chịu trách nhiệm về vụ tấn công và những suy đoán đã chỉ ra Shadow Brokers - người cũng chịu trách nhiệm phát hành phần mềm độc hại trực tuyến - hoặc nhiều tổ chức hack.

Xem video của GT Hindi cho Wannacry / Wannacrypt Ransomware bên dưới.