BKDR_VAWTRAK - Phần mềm độc hại tự bảo vệ

14:02 | 26/06/2014 | HACKER / MALWARE

Các chuyên gia của Trend Micro đã phát hiện thấy phần mềm độc hại BKDR_VAWTRAK lây nhiễm trên máy tính của người dùng Internet tại Nhật Bản. Lợi dụng tính năng của Windows, Trojan này đã đánh bại các phần mềm bảo mật trong hệ thống phòng thủ mạng của nạn nhân. Cũng giống như nhiều phần mềm độc hại ngân hàng khác, BKDR_VAWTRAK có khả năng ăn cắp dữ liệu từ các giao dịch trực tuyến tại một số ngân hàng Nhật Bản.

Phần mềm độc hại này lợi dụng tính năng Windows có tên là Software Restriction Policies (SRP) để ngăn chặn các chương trình bảo vệ mạng của nạn nhân, bao gồm cả phần mềm chống virus từ Trend Micro, ESET, AVG Symantec, Microsoft, Intel và các hãng bảo mật khác, với tổng số 53 ứng dụng khác nhau. Trên blog bởi Trend Micro vào ngày 11/6/2014 viết:

“Các tính năng đặc biệt được VAWTRAK sử dụng để vô hiệu hóa các phần mềm bảo mật được biết đến với tên là Software Restriction Policies. Tính năng này lần đầu tiên được giới thiệu trong Windows ® XP và Server 2003. “” Có một số phương pháp có thể được sử dụng để xác định các tập tin bị chặn chạy trên một hệ thống. Trong trường hợp của VAWTRAK,chúng sử dụng đường dẫn mà các ứng dụng được cài đặt để xác định xem chúng có được khóa hay không. Chúng tìm kiếm tại các thư mục chứa trong các sản phẩm bảo mật là:%Program Files% and %All Users Profile%\Application”.
Phần mềm độc hại BKDR_VAWTRAK tìm kiếm các thư mục liên quan đến quá trình chặn của Windows, khi có kết quả nó cho gán thêm các mục đăng ký sau đây để buộc các ứng dụng trong thư mục đó chạy với quyền hạn chế khác là:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\Paths\{generated GUID for the AV software} ItemData = “{AV software path}” SaferFlags = “0”
Kết quả là, bất kỳ tập tin trong thư mục cho biết sẽ không chạy, màn hình xuất hiện thông báo lỗi sau:
BKDR_VAWTRAK - Phần mềm độc hại tự bảo vệ

BKDR_VAWTRAK - Phần mềm độc hại tự bảo vệ

Tính năng Software Restriction Policies của Windows nhằm cung cấp công cụ cho các quản trị mạng kiểm soát các phần mềm vận hành trong hệ thống, các quản trị mạng có thể dễ dàng quản lý bằng cách theo dõi một danh sách các ứng dụng. Các chuyên gia nói rằng: “Software Restriction Policies (SRP) là nhóm chính sách cơ bản xác định các chương trình phần mềm chạy trên máy tính trong một miền và làm nhiệm vụ kiểm soát khả năng vận hành của các chương trình này. Các chính sách hạn chế phần mềm là một phần của chiến lược quản lý an ninh mạng của Microsoft nhằm hỗ trợ doanh nghiệp quản lý hệ thống máy tính và tăng cường độ tin cậy và tính toàn vẹn của thông tin “
Điều trớ trêu đã xảy ra là tác giả của phần mềm độc hại đã lợi dụng thành công các tính năng bảo vệ của hệ điều hành để bảo vệ bản thân mã độc tránh các cuộc kiểm soát của hệ thông an ninh mạng. Các chuyên gia cũng cho biết, đây không phải là phần mềm độc hại đầu tiên sử dụng kỹ thuật tương tự chống lại phần mềm bảo vệ, lần này trojan độc hại BKDR_VAWTRAK đã tấn công giao dịch trực tuyến của ngân hàng tại Nhật Bản.

‹ › ×

Tin liên quan

Học viện Kỹ thuật Mật mã khai giảng năm học 2012-2013

15:34 | 01/09/2012

Lễ khai giảng năm học 2012 - 2013 đã được Học viện Kỹ thuật Mật mã (KTMM), Ban Cơ yếu Chính phủ tổ chức tại Hà Nội vào ngày 13/9/2012 . Tới dự có đồng chí Thiếu tướng, Nhà giáo ưu tú, TS. Đào Quốc Trị - Phó trưởng Ban Cơ yếu Chính phủ; đại diện các cơ quan, đơn vị của Ban Cơ yếu Chính phủ....

Wikipedia và cuộc chiến chống những kẻ phá hoại nội dung bài viết

13:14 | 11/03/2014

Wikipedia hiện đang là một trong những trang từ điển bách khoa được nhiều người truy cập nhất thế giới, và vì bản chất "mở" nên ai cũng có thể tham gia biên tập, tạo mới hoặc chỉnh sửa nội dung trên website này. Vậy đã bao giờ bạn tự hỏi rằng vì sao có rất nhiều người cùng sửa chỗ này, chỉnh chỗ kia, xóa chỗ nọ trên Wikipedia nhưng chúng ta ít, thậm chí là không bao giờ, thấy những thông tin "tạp nham" xuất hiện đầy rẫy hay không? Wikipedia có cả một bộ máy phức tạp để kiểm soát việc này.

Chương trình hoạt động của VNISA năm 2012

13:13 | 29/03/2012

Ngày 11/02/2012, Hiệp hội An toàn thông tin Việt Nam (VNISA) đã tổ chức buổi họp mặt đầu xuân Nhâm Thìn tại Hà Nội. Tham dự sự kiện có ông Nguyễn Minh Hồng – Thứ trưởng Bộ TT&TT;, ông Trần Nguyên Bình, Trưởng Ban Cơ yếu Chính phủ, các thành viên Ban Chấp hành VNISA và khách mời.

Tin cùng chuyên mục

Nhà cung ứng chip quốc phòng Mỹ bị tấn công mạng

14:00 | 22/08/2024

Các máy chủ của Microchip Technology, nhà cung ứng chip quan trọng cho ngành công nghiệp quốc phòng Mỹ đã bị tấn công, buộc công ty này phải tạm ngừng một số hệ thống và giảm quy mô hoạt động.

Bản cập nhật bảo mật tháng 7 khiến nhiều máy tính Windows bị sự cố

09:00 | 02/08/2024

Chỉ vài ngày sau khi một lỗi trong phần mềm CrowdStrike khiến 8,5 triệu máy tính Windows bị sập, người dùng hệ điều hành này lại đang phải đối mặt với một vấn đề mới sau khi cài đặt bản cập nhật bảo mật tháng 7.

Phần mềm ghi hình tòa án JAVS bị tấn công chuỗi cung ứng nhiễm mã độc RustDoor

10:00 | 07/06/2024

Phần mềm ghi hình tòa án JAVS là một giải pháp được thiết kế để mang lại khả năng ghi âm kỹ thuật số và tích hợp A/V cho các tòa án, phòng họp và các môi trường tương tự khác. Nó được tạo ra bởi Justice AV Solutions (JAVS), một công ty chuyên về công nghệ âm thanh, hình ảnh cho các tòa án và chính phủ.

Ứng dụng độc hại mạo danh các nền tảng phổ biến để đánh cắp thông tin xác thực

10:00 | 27/05/2024

Nhóm nghiên cứu mối đe dọa Capture Labs của hãng bảo mật SonicWall (Mỹ) đã phát hiện một chiến dịch đánh cắp thông tin đăng nhập nhắm đến người dùng Android bằng cách phân phối ứng dụng độc hại giả mạo các nền tảng như Google, Instagram, Snapchat, WhatsApp và X (trước đây là Twitter).