Trong những ngày qua, đã có trên 10.500 máy tính dính loại worm (sâu máy tính) mới từ Yahoo! Messenger và Skype
Chỉ vài ngày sau khi worm (sâu máy tính, một loại phần mềm độc hại có sức lây lan nhanh) có tên Ymfocard phát tán qua Yahoo! Messenger xuất hiện, cộng đồng sử dụng phần mềm hội thoại trực tuyến lại thêm một phen lo lắng khi Trung tâm An ninh mạng Bkis (gọi tắt là Bkis) ngày 7-5, tiếp tục phát hiện một loại worm mới, tinh vi hơn, nhắm vào cả Skype lẫn Yahoo! Messenger vào ngày 7-5.
Bkis cho hay vẫn với phương thức chèn link độc hại vào các cửa sổ chat giống như Ymfocard, tuy nhiên, cách thức lừa đảo của loại worm này tinh vi hơn rất nhiều. Mỗi lần phát tán đường link chứa mã độc, worm này lại gửi các tin nhắn có nội dung khác nhau, ví dụ “Does my new hair style look good? bad? perfect?” (Trông kiểu tóc mới của tôi thế nào? Đẹp? Xấu? Hoàn hảo?), hay “My printer is about to be thrown through a window if this pic won’t come out right. You see anything wrong with it?” (Tôi sẽ ném cái máy in ra cửa sổ nếu cái ảnh này không chui ra ngay lập tức. Bạn có thấy điều gì không ổn trong cái ảnh này không?)...
Những thông điệp trên dễ kích thích người nhận tin nhắn click vào đường link độc vì cho rằng “bạn bè” của mình đang cần được tư vấn. Bên cạnh đó, đường link thể hiện một file có đuôi là .JPG càng khiến người sử dụng nghĩ rằng đó là một file ảnh. Nếu người nhận bấm vào đường link trên, trình duyệt ngay lập tức sẽ chuyển tới một website có giao diện gần giống với Rapidshare, và một file .zip được yêu cầu tải về. File được giải nén thực chất là virus. Tuy nhiên file này được ngụy trang như một file ảnh có định dạng .JPG và đuôi .COM (định dạng file thực thi) được khéo léo che đậy, khiến người sử dụng nghĩ rằng đó là phần mở rộng .com của tên miền.
Sau khi phân tích loại worm này, Bkis nhận thấy nó có nhiều tính năng và hoạt động phức tạp hơn so với Ymfocard. Bkis xác định worm này là W32.Skyhoo.Worm.
Trước đó, từ ngày 3-5, một loại sâu mới, tấn công qua Yahoo! Messenger, vừa xuất hiện và đang lây lan nhanh trong cộng đồng người sử dụng phần mềm hội thoại trực tuyến này. Theo đó, trong những ngày gần đây, nhiều người sử dụng nhận được từ nick Yahoo của bạn bè các tin nhắn có kèm đường link được thể hiện giống như một file ảnh. Nếu bấm vào link này, trình duyệt sẽ tải về một file exe có chứa mã độc.
Khi người sử dụng mở file exe vừa tải về, lập tức máy tính sẽ bị nhiễm virus. Khi đó, chính phần mềm Yahoo! Messenger chạy trên máy tính này trở thành nguồn phát tán mã độc tới những người sử dụng Yahoo! Messenger khác. Virus sẽ tiếp tục tự động gửi link độc tới các tài khoản trong friend list Yahoo! Messenger của người sử dụng.
Cách thức tấn công của loại virus mới này giống với các loại sâu từng lây lan qua Yahoo! Messenger trước đây nhưng mức độ nguy hiểm lớn hơn nhiều vì kiểu ngụy trang của loại sâu này khiến người sử dụng tưởng rằng bạn bè chia sẻ ảnh nên không đề phòng, dễ dàng bấm vào link và mở file độc. Bkis nhận diện loại sâu này là W32.Ymfocard.Worm (và các biến thể của nó là W32.Ymfocard.fam.Botnet), khi lây nhiễm trên máy tính của người sử dụng, sâu này tự động bật lên cửa sổ mở tới một trang web và tự động gửi link phát tán qua Yahoo! Messenger.
Bkis cho hay người sử dụng Yahoo! Messenger và Skype cần hết sức cẩn trọng trước khi bấm vào các link nhận được ngay cả từ người thân hay bạn bè của mình. Bên cạnh đó, cần thường xuyên cập nhật phiên bản mới cho phần mềm diệt virus trên máy tính của mình.
Theo số liệu thống kê từ hệ thống giám sát virus – Bkav Honeypot của Bkis, tính đến nay, đã có trên 10.500 máy tính tại VN bị nhiễm virus từ Ymfocard. Tuy nhiên, tốc độ lây lan của virus này trong khoảng một ngày trở lại đây đã chậm lại do nhiều người sử dụng đã cảnh giác hơn với các đường link lạ gửi qua Yahoo! Messenger đồng thời sử dụng phần nmềm diệt virus để làm sạch máy tính.
Tiến trình hoạt động của worm
- Worm tự động kết thúc nếu máy tính của nạn nhân không cài Skype và Yahoo! Messenger.
- Kết nối tới IRC server để nhận lệnh điều khiển của hacker.
- Chặn máy tính truy cập vào hơn 700 website về security hoặc anti-virus.
- Chặn không cho các phần mềm Anti-virus hoạt động.
- Chống máy ảo và sandbox.
- Sử dụng kỹ thuật rootkit để ẩn file và tiến trình của worm.
- Tự động copy bản thân kèm theo file Autorun.inf vào các ổ USB để phát tán.
Tác giả: Bảo Trân
Báo Người Lao động
Chỉ vài ngày sau khi worm (sâu máy tính, một loại phần mềm độc hại có sức lây lan nhanh) có tên Ymfocard phát tán qua Yahoo! Messenger xuất hiện, cộng đồng sử dụng phần mềm hội thoại trực tuyến lại thêm một phen lo lắng khi Trung tâm An ninh mạng Bkis (gọi tắt là Bkis) ngày 7-5, tiếp tục phát hiện một loại worm mới, tinh vi hơn, nhắm vào cả Skype lẫn Yahoo! Messenger vào ngày 7-5.
Bkis cho hay vẫn với phương thức chèn link độc hại vào các cửa sổ chat giống như Ymfocard, tuy nhiên, cách thức lừa đảo của loại worm này tinh vi hơn rất nhiều. Mỗi lần phát tán đường link chứa mã độc, worm này lại gửi các tin nhắn có nội dung khác nhau, ví dụ “Does my new hair style look good? bad? perfect?” (Trông kiểu tóc mới của tôi thế nào? Đẹp? Xấu? Hoàn hảo?), hay “My printer is about to be thrown through a window if this pic won’t come out right. You see anything wrong with it?” (Tôi sẽ ném cái máy in ra cửa sổ nếu cái ảnh này không chui ra ngay lập tức. Bạn có thấy điều gì không ổn trong cái ảnh này không?)...
Những thông điệp trên dễ kích thích người nhận tin nhắn click vào đường link độc vì cho rằng “bạn bè” của mình đang cần được tư vấn. Bên cạnh đó, đường link thể hiện một file có đuôi là .JPG càng khiến người sử dụng nghĩ rằng đó là một file ảnh. Nếu người nhận bấm vào đường link trên, trình duyệt ngay lập tức sẽ chuyển tới một website có giao diện gần giống với Rapidshare, và một file .zip được yêu cầu tải về. File được giải nén thực chất là virus. Tuy nhiên file này được ngụy trang như một file ảnh có định dạng .JPG và đuôi .COM (định dạng file thực thi) được khéo léo che đậy, khiến người sử dụng nghĩ rằng đó là phần mở rộng .com của tên miền.
Sau khi phân tích loại worm này, Bkis nhận thấy nó có nhiều tính năng và hoạt động phức tạp hơn so với Ymfocard. Bkis xác định worm này là W32.Skyhoo.Worm.
Trước đó, từ ngày 3-5, một loại sâu mới, tấn công qua Yahoo! Messenger, vừa xuất hiện và đang lây lan nhanh trong cộng đồng người sử dụng phần mềm hội thoại trực tuyến này. Theo đó, trong những ngày gần đây, nhiều người sử dụng nhận được từ nick Yahoo của bạn bè các tin nhắn có kèm đường link được thể hiện giống như một file ảnh. Nếu bấm vào link này, trình duyệt sẽ tải về một file exe có chứa mã độc.
Khi người sử dụng mở file exe vừa tải về, lập tức máy tính sẽ bị nhiễm virus. Khi đó, chính phần mềm Yahoo! Messenger chạy trên máy tính này trở thành nguồn phát tán mã độc tới những người sử dụng Yahoo! Messenger khác. Virus sẽ tiếp tục tự động gửi link độc tới các tài khoản trong friend list Yahoo! Messenger của người sử dụng.
Cách thức tấn công của loại virus mới này giống với các loại sâu từng lây lan qua Yahoo! Messenger trước đây nhưng mức độ nguy hiểm lớn hơn nhiều vì kiểu ngụy trang của loại sâu này khiến người sử dụng tưởng rằng bạn bè chia sẻ ảnh nên không đề phòng, dễ dàng bấm vào link và mở file độc. Bkis nhận diện loại sâu này là W32.Ymfocard.Worm (và các biến thể của nó là W32.Ymfocard.fam.Botnet), khi lây nhiễm trên máy tính của người sử dụng, sâu này tự động bật lên cửa sổ mở tới một trang web và tự động gửi link phát tán qua Yahoo! Messenger.
Bkis cho hay người sử dụng Yahoo! Messenger và Skype cần hết sức cẩn trọng trước khi bấm vào các link nhận được ngay cả từ người thân hay bạn bè của mình. Bên cạnh đó, cần thường xuyên cập nhật phiên bản mới cho phần mềm diệt virus trên máy tính của mình.
Theo số liệu thống kê từ hệ thống giám sát virus – Bkav Honeypot của Bkis, tính đến nay, đã có trên 10.500 máy tính tại VN bị nhiễm virus từ Ymfocard. Tuy nhiên, tốc độ lây lan của virus này trong khoảng một ngày trở lại đây đã chậm lại do nhiều người sử dụng đã cảnh giác hơn với các đường link lạ gửi qua Yahoo! Messenger đồng thời sử dụng phần nmềm diệt virus để làm sạch máy tính.
Tiến trình hoạt động của worm
- Worm tự động kết thúc nếu máy tính của nạn nhân không cài Skype và Yahoo! Messenger.
- Kết nối tới IRC server để nhận lệnh điều khiển của hacker.
- Chặn máy tính truy cập vào hơn 700 website về security hoặc anti-virus.
- Chặn không cho các phần mềm Anti-virus hoạt động.
- Chống máy ảo và sandbox.
- Sử dụng kỹ thuật rootkit để ẩn file và tiến trình của worm.
- Tự động copy bản thân kèm theo file Autorun.inf vào các ổ USB để phát tán.
Tác giả: Bảo Trân
Báo Người Lao động