Cuộc so kè giữa 2 giới tội phạm mạng và bảo mật đã bước sang một giai đoạn mới với sự xuất hiện của Rombertik, một malware mới. Theo báo cáo, Rombertik có khả năng bắt các gói tin để thu thập dữ liệu cá nhân khi duyệt web, đồng thời sẽ tấn công và ghi đè lên MBR ổ cứng máy tính để xóa dấu vết nếu bị phần mềm bảo mật phân tích.
Đội phản ứng với nguy cơ bảo mật của Cisco cho biết, sau khi lây nhiễm vào máy tính người dùng, Rombertik sẽ chạy một loạt các bước kiểm tra chống phân tích xem có đang chạy trong sandbox của môi trường ảo hay không trước khi giải mã và có những hành động kế tiếp.
Infographic cho thấy cách thức hoạt động của Rombertik. Theo phân tích của Cisco, 97% dữ liệu đóng gói trong tập tin là thông tin về hình ảnh và tính năng không được sử dụng mà chỉ để mã độc có dung lượng trông giống thực tế hơn. Rombertik bắt đầu ghi đến 960 triệu byte ngẫu nhiên vào bộ nhớ để để phủ đầy tập tin log hệ thống với 100 GB dữ liệu rác.
Tiếp theo, Rombertik sẽ kiểm tra chống phân tích xem có đang chạy trong môi trường ảo hay không. Nếu không nằm trong môi trường hạn chế VM, Rombertik sẽ giải mã, tạo bản sao và khởi chạy các lệnh cần thực thi. Các lệnh thực thi là không cố định và được làm rắc rối với một số lệnh không cần thiết nhằm đánh lạc hướng chuyên gia bảo mật phân tích, dò tìm lại các bước phá hoại của Rombertik.
Nếu phát hiện đang chạy trong môi trường ảo sandbox, malware sẽ tìm cách truy cập và ghi đè lên MBR ổ cứng bằng byte rỗng, còn nếu không có quyền ghi lên MBR, nó sẽ mã hóa toàn bộ dữ liệu trong thư mục C:\Documents and Settings\Administrator với thuật toán RC4.
Việc ghi đè lên master boot record với các byte không có giá trị khiến việc khôi phục phân vùng hệ thống khó khăn hơn nhiều so với chỉ xóa thông tin master boot record. Rombertik là sự kết hợp giữa một mã độc truyền thống dùng để thu thập dữ liệu cá nhân khi người dùng duyệt web và cơ chế chống phát hiện của phần mềm bảo mật hoàn toàn mới.
Dù không có nhiều thông tin về tác giả và mục tiêu thật sự của Rombertik, tuy nhiên với những kỹ thuật phức tạp trên cho thấy Rombertik có khả năng được sử dụng trong các hoạt động tình báo mạng và được dùng để tấn công có chủ đích vào một mục tiêu nào đó.
Gửi ý kiến của bạn
%7Cutmcsr%3D(direct)%7Cutmcmd%3D(none)%3B%2B__utmv%3D119833362.-%3B)