Vừa qua, các nhà nghiên cứu bảo mật từ Trend Micro đã báo cáo về một phần mềm độc hại mã hóa tiền điện tử có chứa loại mã độc không cần tệp tin PowerGhost, đang nhắm mục tiêu đến máy chủ và máy trạm của các doanh nghiệp.
Loại mã độc này được gọi là PowerGhost (được phát hiện với tên là TROJ_BLUTEAL.D, DDOS_NITOL.SMC và Coinminer_CryptoNight.SM-WIN64), được sử dụng kết hợp với Powershell và EternalBlue để nhúng mã lệnh độc hại và tự phát tán mà không bị hệ thống bảo mật phát hiện khi tấn công vào máy tính cũng như máy chủ trong doanh nghiệp. Tin tặc cũng có thể sử dụng nó để thực hiện các cuộc tấn công DDoS.
PowerGhost đã bị phát hiện khi đang sử dụng phần mềm hệ thống Windows Management Instrumentation (WMI), lây nhiễm trong hệ thống bằng cách sử dụng mã lệnh PowerShell bị xáo trộn chứa mã lỗi và mô đun khai thác tiền điện tử. Thông qua đó, phần mềm độc hại sẽ tải xuống thiết bị trình khai thác tiền điện tử mimikatz, các thư mục msvcp120.dll và msvcr120.dll để khởi chạy trình khai thác EternalBlue và mô đun PE đối xứng.
Không cần phải tải xuống ổ cứng, mã lệnh PowerShell sẽ hoạt động để giao tiếp với máy chủ C&C và cập nhật phiên bản mới nhất, lấy chi tiết tài khoản người dùng từ thiết bị bằng cách sử dụng mimikatz. Nó sẽ tìm kiếm và lây lan thông qua mạng cục bộ với WMI và EternalBlue, đánh cắp đặc quyền người dùng trên máy chủ bị xâm nhập thông qua khai thác lỗ hổng 32 và 64 bit (MS16-032, MS15-051 và CVE-2018-8120). PowerGhost lưu tất cả mô đun như một lớp WMI đặc biệt, kích hoạt dòng lệnh PowerShell mỗi 90 phút để đủ điều kiện khởi động trình khai thác tiền điện tử bằng cách sử dụng PE đối xứng. Một biến thể của phần mềm độc hại này đã được phát hiện, bao gồm cả công cụ cho DDoS khi nó tấn công vào môi trường ảo tương tự sandbox. Các nhà nghiên cứu từ Trend Micro đang nghiên cứu thêm về hành vi tấn công này, như một dấu hiệu cho thấy việc kẻ tấn công muốn tiến hóa mã độc với phương thức tấn công mới hơn.
Các tổ chức có thể chủ động bảo mật hệ thống với các khuyến nghị từ Trend Micro sau:
- Cập nhật thường xuyên bản vá lỗi bảo mật mới nhất từ nhà phát triển chính thức. Các bản vá ảo tạm thời cũng đã được hỗ trợ đối với các doanh nghiệp đang sử dụng hệ thống cũ.
- Hạn chế hoặc vô hiệu hóa quyền truy cập WMI nếu cần, hạn chế quyền truy cập vào hệ thống ngoại trừ quản trị viên công nghệ, vì không phải tất cả các thiết bị đều yêu cầu dịch vụ WMI.