Thư rác ngon: ransomware ẩn đằng sau hồ sơ

Không phải tất cả các cuộc tấn công dựa trên email dường như đến từ các gia đình của những kẻ đê tiện bị lật đổ, những người bán hàng chào mời các loại thuốc thần kỳ hoặc các công ty vận chuyển nhắc nhở bạn về việc giao hàng. Một số trông giống như những cá nhân không may mắn tìm kiếm một công việc. Và trong nền kinh tế này, tất cả chúng ta đều biết ít nhất một người gửi sơ yếu lý lịch cho mọi người mà họ biết với hy vọng đạt được một cuộc phỏng vấn.

Nhưng như Cloudmark đã nói trong bài nộp Tasty Spam mới nhất của mình, "Đừng bị cám dỗ bởi những bản lý lịch bất ngờ". Họ có thể cắn bạn, khó khăn.

Cloudmark gần đây đã thấy một chiến dịch ransomware được phân phối dưới dạng một bản lý lịch giả, nhà nghiên cứu Andrew Conway cho biết. Cuộc tấn công tự nó không đơn giản và công thức phải mở tệp độc hại nhiều lần, nhưng nó vẫn đủ hiệu quả để nhiều nạn nhân bị ảnh hưởng.

Conway đã mô tả các bước khác nhau của chiến dịch:

Email tấn công đến từ Yahoo! Tài khoản thư và có một mục đích tập tin là một sơ yếu lý lịch đính kèm. Conway chỉ ra bốn dấu hiệu cảnh báo trong tin nhắn: đó là một tin nhắn không mong muốn; người gửi không cung cấp họ; sơ yếu lý lịch đã được gửi dưới dạng tệp .zip; và có lỗi về lỗi ngữ pháp, dấu câu hoặc chính tả.

"Ai đó thực sự gửi một bản lý lịch sẽ chứng minh công việc của họ, " Conway nói.

Khi người nhận mở tệp .zip, người đó sẽ tìm thấy tệp html có tên như sơ yếu lý lịch7360.html . Thực tế là sơ yếu lý lịch có định dạng .html là một lá cờ đỏ khác, xem xét hầu hết các sơ yếu lý lịch được gửi dưới dạng tài liệu văn bản, PDF hoặc Word. "Tất nhiên, đó cũng là một ý tưởng tồi để mở các tệp PDF và Word không được yêu cầu", Conway nói.

Một mẫu của tệp HTML tấn công trông như thế này:

Khi người nhận cố gắng mở tệp, trình duyệt sẽ cố tải url trong thẻ IFRAME. "Nó giống như việc buộc người dùng nhấp vào một liên kết", Conway nói, lưu ý rằng trong trường hợp này, liên kết trỏ đến một máy chủ web bị xâm nhập. URL tải thêm một tệp HTML khác, có liên kết chuyển hướng trỏ đến liên kết Google Docs.

Chuyển hướng sử dụng thẻ meta refresh, thường được sử dụng để cập nhật nội dung của trang Web trong thời gian thực. Việc làm mới meta cho một trang web trên một tên miền khác thường là độc hại. Hầu hết mọi người sẽ sử dụng chuyển hướng HTTP hoặc JavaScript để thực hiện việc này, không phải làm mới meta. Chỉ cần thông tin của bạn, HTML từ trang đích bị xâm nhập trông như thế này:

Liên kết Google Docs tải xuống một tệp zip khác có tên my_resume.zip và nó chứa một tệp có tên như my_resume_pdf_id_8412-7311.scr . "Một tập tin được tải xuống ngẫu nhiên từ Internet. Nguy hiểm, Will Robinson!" Conway nói.

Hậu tố .scr dành cho trình bảo vệ màn hình Windows, nhưng về cơ bản chúng là các tệp thực thi được định dạng đặc biệt cho Windows. Phần mở rộng .scr thường được sử dụng để phân phối phần mềm độc hại cho người dùng không nghi ngờ. Khi nạn nhân mở tệp .scr, điều đó sẽ kích hoạt ransomware. Tất cả các tập tin của họ được mã hóa và họ được trình bày với một hóa đơn hàng trăm đô la để lấy lại chúng.

Conway nêu lên một điểm thú vị về chiến dịch ransomware này. Kẻ tấn công đã phải thực hiện rất nhiều bước phức tạp vì các công cụ lọc thư rác và chống spam hiện đại đủ hiệu quả để cách duy nhất để thành công là xâu chuỗi nhiều bước để vượt qua sự phòng thủ. Nếu bạn cảm thấy như bạn phải nhảy nhiều bước nhảy chỉ để xem một bản lý lịch, đó sẽ là một cảnh báo rằng có gì đó không ổn. Có lẽ người đứng sau email không thực sự quan tâm đến công việc.