Một nhóm hacker, cũng có thể là một hacker duy nhất với trình độ chuyên nghiệp, đã thu được ít nhất 5,9 triệu USD từ mã độc tống tiền (ransomware) mang tên SamSam.
Màn hình máy tính khi bị SamSam lây nhiễm, đòi trả 0,7 Bitcoin để mở khóa một hệ thống hoặc 3 Bitcoin để mở khóa toàn bộ
Đó là kết luận đến từ hãng nghiên cứu bảo mật Sophos (Anh). Xuất hiện từ năm 2015, biến thể SamSam được các hacker phát tán thủ công vào một hệ thống nhất định được lên kế hoạch trước thay vì lây lan hàng loạt như những loại ransomware khác.
Một trong những nạn nhân lớn nhất của SamSam là thành phố Atlanta (Mỹ), phải mất nhiều tuần khôi phục lại hệ thống mạng máy tính trên khắp địa phương. Một số trung tâm y tế tại New Mexico, phòng thí nghiệm cũng bị SamSam tấn công.
Theo BleepingComputer, nhóm tin tặc đã 'tận dụng lỗ hổng trong các máy chủ của JBoss để tấn công những công ty có kết nối internet và sử dụng máy chủ JBoss chưa được vá lỗ hổng'. Nếu đã được vá, chúng chuyển hướng sang xâm nhập vào ứng dụng RDP (Remote Desktop Protocol) trên máy tính, dùng phương thức đoán mật khẩu (brute-force). Tất cả được thực hiện bài bản, lên kế hoạch kỹ càng từ trước (như thu thập sơ đồ hệ thống mạng, kiểm soát hệ thống quản lý) rồi tiến hành tấn công vào ban đêm hoặc cuối tuần.
Theo Gizmodo, cách thức đòi tiền chuộc của SamSam cũng rất đa dạng: chia theo cấp độ, trong đó cấp thấp hơn chỉ khôi phục dữ liệu trên một số hệ thống.
Số tiền SamSam thu được từ 233 nạn nhân ước tính là 5,9 triệu USD, trung bình hơn 25.000 USD trên mỗi cuộc tấn công.
Dựa trên dữ liệu có được, khoảng 3/4 nạn nhân trả tiền chuộc là ở Mỹ, một số khác ở Anh, Bỉ và Canada. Một nửa trong số đó là các công ty tư nhân, 1/4 là các tổ chức y tế, cơ quan chính phủ chiếm 13% và tổ chức giáo dục chiếm 11%.
Nhóm nghiên cứu từ Sophos cũng xác định 157 địa chỉ Bitcoin được dùng để nhận tiền chuộc, và 88 địa chỉ khác không có tiền.
Tin tặc đứng sau SamSam cũng rất cảnh giác, tung ra 3 bản cập nhật bổ sung phương pháp mã hóa hex (hệ thập lục phân), mã rác (garbage code) để đánh lừa hệ thống và payload yêu cầu mật khẩu để kích hoạt.
Nhiều bằng chứng khẳng định SamSam được phát triển và lây nhiễm bởi một hacker duy nhất. Lỗi ngữ pháp, chính tả trong mã nguồn cho thấy trình độ tiếng Anh không giỏi lắm, và hắn ngày càng tham lam hơn khi số tiền chuộc trung bình tăng theo thời gian lên đến 50.000 USD, lớn hơn nhiều so với những loại ransomware lây lan hàng loạt.
Số tiền chuộc trung bình cho SamSam
Số tiền chuộc trung bình cho thể loại mã độc tống tiền (ransomware)
Số tiền chuộc lớn cũng đúng bởi tin tặc chỉ phát tán SamSam vào những mục tiêu xác định trước như các tổ chức chính phủ và doanh nghiệp tư nhân, đối tượng có rất nhiều tiền và dữ liệu quan trọng thay vì người dùng bình thường.
Phúc Thịnh
