Cảnh báo mã độc nguy hiểm lợi dụng việc góp ý Dự thảo văn kiện đại hội XIV của Đảng
Thời gian qua, Bộ Chính trị tiến hành tổ chức lấy ý Nhân dân đối với dự thảo văn kiện Đại hội XIV của Đảng, lợi dụng tình hình trên, các thế lực thù địch, đối tượng xấu lợi dụng việc này để thực hiện các hoạt động phá hoại, vụ lợi.
Đặc biệt, cơ quan chức năng đã phát hiện mã độc Valley RAT liên kết đến địa chỉ máy chủ điều khiển (C2): 27.124.9.13, port 5689 được ẩn giấu trong tệp có tên “DỰ THẢO NGHỊ QUYẾT ĐẠI HỘI.exe” bị kẻ xấu lợi dụng hoạt động lấy ý kiến dự thảo nghị quyết để lừa người dùng cài đặt, thực hiện các hành vi nguy hiểm như đánh cắp thông tin nhạy cảm, chiếm đoạt tài khoản cá nhân, đánh cắp tài liệu, phát tán mã độc sang các máy tính khác.
Kết quả phân tích cho thấy mã độc sau khi được cài vào máy tính người dùng sẽ tự động được thực thi mỗi khi máy tính được khởi động; chúng kết nối đến máy chủ điều khiển từ xa do tin tặc chiếm giữ, từ đó tiếp tục thực hiện các hành vi nguy hiểm đối với người dùng như đã nêu trên.
Mở rộng rà soát, phát hiện các tập tin mã độc khác có kết nối đến máy chủ C2 mà tin tặc đã phát tán được trong thời gian gần đây:
(1) BÁO CÁO TÀI CHÍNH2.exe hoặc THANH TOÁN BẢO HIỂM DOANH NGHIỆP.exe
(2) CÔNG VĂN HỎA TỐC CỦA CHÍNH PHỦ.exe
(3) HỖ TRỢ KÊ KHAI THUẾ.exe
(4) CÔNG VĂN ĐÁNH GIÁ HOẠT ĐỘNG ĐẢNG.exe hoặc MẪU GIẤY ỦY QUYỀN.exe
(5) BIÊN BẢN BÁO CÁO QUÝ III.exe
Xuất phát từ tình hình trên, Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao - Công an tỉnh Quảng Ngãi kiến nghị người dân, cán bộ, công chức, viên chức nâng cao cảnh giác, không tải, cài đặt, mở các tập tin không rõ nguồn gốc (chú ý các tập tin thực thi có đuôi exe, dll, bat, msi,...), đặc biệt các tập tin có tên như đề cập ở trên. Đồng thời, thực hiện các biện pháp ứng phó như sau:
- Nhanh chóng rà soát trong hệ thống thông tin của đơn vị, địa phương các tập tin nghi ngờ nói trên. Khi ghi nhận sự cố, đề nghị cách ly máy tính bị nhiễm, ngắt kết nối Internet, báo cáo tình trạng cụ thể về Trung tâm An ninh mạng quốc gia để được hỗ trợ.
- Quét toàn bộ hệ thống bằng phần mềm bảo mật cập nhật mới nhất (EDR/XDR) có khả năng phát hiện và diệt mã độc ẩn trong bộ nhớ và các driver độc hại. Các giải pháp khuyến nghị trong trường hợp này: Avast bản free, AVG bản free, Bitdefender bản free, Windows Defender bản cập nhật mới nhất. Lưu ý: Kaspersky bản free chưa phát hiện được mã độc này.
- Trong trường hợp rà quét thủ công: (1) Kiểm tra trên Process Explorer, nếu phát hiện dấu hiệu tiến trình không có chữ ký số, xuất hiện tên tiến trình giả mạo tên tập tin văn bản. (2) Kiểm tra tcpview để xem kết nối mạng nếu phát hiện kết nối về IP máy chủ 27[.]124[.]9[.]13.
- Quản trị viên khẩn trương block trên firewall, ngăn chặn truy cập đến địa chỉ IP độc hại: 27.124.9.13.
Hoài Nhung
