Troldesh ໃນຫນ້າກາກໃຫມ່: ຄື້ນຂອງການສົ່ງຈົດຫມາຍຈໍານວນຫລາຍຂອງເຊື້ອໄວຣັສ ransomware

ຈາກຈຸດເລີ່ມຕົ້ນຂອງມື້ນີ້ເຖິງປະຈຸບັນ, ຜູ້ຊ່ຽວຊານ JSOC CERT ໄດ້ບັນທຶກການແຜ່ກະຈາຍທີ່ເປັນອັນຕະລາຍອັນໃຫຍ່ຫຼວງຂອງໄວຣັສເຂົ້າລະຫັດ Troldesh. ການເຮັດວຽກຂອງມັນແມ່ນກວ້າງກວ່າພຽງແຕ່ຕົວເຂົ້າລະຫັດ: ນອກເຫນືອຈາກໂມດູນການເຂົ້າລະຫັດ, ມັນມີຄວາມສາມາດໃນການຄວບຄຸມສະຖານີເຮັດວຽກຈາກໄລຍະໄກແລະດາວໂຫລດໂມດູນເພີ່ມເຕີມ. ໃນເດືອນມີນາຂອງປີນີ້ພວກເຮົາແລ້ວ ແຈ້ງໃຫ້ຊາບ ກ່ຽວກັບການລະບາດຂອງ Troldesh - ຫຼັງຈາກນັ້ນເຊື້ອໄວຣັສໄດ້ປິດບັງການຈັດສົ່ງຂອງມັນໂດຍໃຊ້ອຸປະກອນ IoT. ໃນປັດຈຸບັນ, ສະບັບທີ່ມີຄວາມສ່ຽງຂອງ WordPress ແລະການໂຕ້ຕອບ cgi-bin ຖືກນໍາໃຊ້ສໍາລັບການນີ້.

ໄປສະນີແມ່ນຖືກສົ່ງໄປຈາກທີ່ຢູ່ທີ່ແຕກຕ່າງກັນແລະມີຢູ່ໃນຕົວຂອງຈົດຫມາຍທີ່ເຊື່ອມຕໍ່ກັບຊັບພະຍາກອນເວັບໄຊຕ໌ທີ່ຖືກທໍາລາຍກັບອົງປະກອບ WordPress. ລິ້ງດັ່ງກ່າວມີບ່ອນເກັບມ້ຽນທີ່ມີສະຄຣິບໃນ Javascript. ເປັນຜົນມາຈາກການປະຕິບັດຂອງມັນ, ຕົວເຂົ້າລະຫັດ Troldesh ຖືກດາວໂຫຼດ ແລະເປີດຕົວ.

ອີເມວທີ່ເປັນອັນຕະລາຍບໍ່ໄດ້ຖືກກວດພົບໂດຍເຄື່ອງມືຄວາມປອດໄພສ່ວນໃຫຍ່ເພາະວ່າພວກມັນມີລິ້ງໄປຫາແຫຼ່ງເວັບທີ່ຖືກຕ້ອງ, ແຕ່ ransomware ຕົວມັນເອງຖືກກວດພົບໂດຍຜູ້ຜະລິດຊອບແວຕ້ານໄວຣັສສ່ວນໃຫຍ່. ໝາຍເຫດ: ເນື່ອງຈາກມັນແວຕິດຕໍ່ສື່ສານກັບເຊີບເວີ C&C ທີ່ຕັ້ງຢູ່ໃນເຄືອຂ່າຍ Tor, ມັນອາດຈະເປັນໄປໄດ້ທີ່ຈະດາວໂຫລດໂມດູນການໂຫຼດພາຍນອກເພີ່ມເຕີມໃສ່ເຄື່ອງທີ່ຕິດເຊື້ອທີ່ສາມາດ "ເພີ່ມ" ມັນໄດ້.

ບາງລັກສະນະທົ່ວໄປຂອງຈົດໝາຍຂ່າວນີ້ລວມມີ:

(1) ຕົວຢ່າງຂອງຫົວຂໍ້ຈົດຫມາຍຂ່າວ - "ກ່ຽວກັບການສັ່ງຊື້"

(2) ການເຊື່ອມຕໍ່ທັງຫມົດແມ່ນຄ້າຍຄືກັນພາຍນອກ - ພວກມັນປະກອບດ້ວຍຄໍາສໍາຄັນ / wp-content / ແລະ /doc/, ຕົວຢ່າງ:
Horsesmouth[.]org/wp-content/themes/InspiredBits/images/dummy/doc/doc/
www.montessori-academy[.]org/wp-content/themes/campus/mythology-core/core-assets/images/social-icons/long-shadow/doc/
chestnutplacejp[.]com/wp-content/ai1wm-backups/doc/

(3) malware ເຂົ້າເຖິງເຄື່ອງແມ່ຂ່າຍການຄວບຄຸມຕ່າງໆຜ່ານ Tor

(4) ໄຟລ໌ຖືກສ້າງຂື້ນ Filename: C:ProgramDataWindowscsrss.exe, ລົງທະບຽນຢູ່ໃນລີຈິດຊີໃນສາຂາ SOFTWAREMicrosoftWindowsCurrentVersionRun (ຊື່ພາລາມິເຕີ - Client Server Runtime Subsystem).

ພວກເຮົາຂໍແນະນໍາໃຫ້ເຮັດໃຫ້ແນ່ໃຈວ່າຖານຂໍ້ມູນຊອບແວຕ້ານເຊື້ອໄວຣັສຂອງທ່ານມີການປັບປຸງ, ພິຈາລະນາແຈ້ງໃຫ້ພະນັກງານກ່ຽວກັບໄພຂົ່ມຂູ່ນີ້, ແລະ, ຖ້າເປັນໄປໄດ້, ເພີ່ມຄວາມເຂັ້ມແຂງການຄວບຄຸມຈົດຫມາຍຂາເຂົ້າທີ່ມີອາການຂ້າງເທິງ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com