DMA Locker 4.0 có thể là là mối đe dọa Ransomware lớn

Malwarebytes đã phân tích phiên bản mới nhất của mã độc đòi tiền chuộc DMA Locker cho biết nó đã có sự thay đổi quan trọng và sẵn sàng được dùng cho những chiến dịch phát tán trong phạm vi lớn .

 

Phiên bản DMA Locker đầu tiên xuất hiện trong tháng Một . Điều buồn cười ở đây đó là khóa giải mã lại tích hợp trong mã nhị phân của mã độc này và nó làm việc như là công cụ giải mã . Các nhà nghiên cứu đã dễ dàng tạo ra công cụ giải mã để khôi phục những file đã bị khóa . Vấn đề tương tự với bán DMA Locker 2.0 xuất hiện gần một tháng sau đó nhưng có sự cải tiến so với bản đầu tiên .

Bản 3.0 đã xuất hiện vào cuối tháng Hai , và là phiên bản đầu tiên của họ này mà những nhà nghiên cứu không bẻ khóa được . Điều đó cho thấy những dấu hiệu đầu tiên của hệ thống  mã hóa tốt hơn .

Sự phát triển của DMA Locker đã có bước tiến lớn trong thời gian gần đây khi Malwarebytes cho biết đó là bản DMA Locker 4.0 . Những tính năng của nó có nhiều sự cải tiến đã biến DMA Locker từ loại họ mã độc đòi tiền chuộc tầm thường lên vị trí gần đứng đầu .

Nó thường làm việc ở chế độ Offline và bây giờ dùng máy chủ CnC . Thay vì tự tạo ra một khóa mã hóa , DMA Locker đã tạo ra những khóa mã AES khác nhau cho mỗi file và mã hóa những khóa AES này với khóa RSA công cộng từ máy chủ CnC .

Để giải mã những file đã bị khóa người dùng cần phần khác của khóa RSA , có tên gọi khóa RSA cá nhân mà không bao giờ có trong máy tính của nạn nhân . Để lây được khóa này , người dùng cần liên hệ với tác giả của DMA Locker . Đó là sự thay đổi chính so với những phiên bản trước kia .

Trước kia nó yêu cầu người dùng gửi Email tới tác giá để lấy những khóa giải mã . Bây giờ DMA Locker 4.0 thực hiện hoàn toàn tự động với trang web riêng ở đó nạn nhân phải trả tiền chuộc .

Malwarebytes cho biết trang web này chưa đầy đủ những tính năng và cho biết giải mã thử nghiệm miễn phí không  trả lại file đã được giải mã . Thêm vào đó trang web này lại đặt trên IP đại chúng không phải Dark Web nên dễ bị loại bỏ . Thậm chí điều tồi tệ hơn đó là trang web lại đặt trên cùng IP của máy chủ CnC , lúc đó nếu bị sập thì người dùng  không có cách nào để khôi phục được dữ liệu đã bị mã hóa .

Malwarebytes nhận định DMA Locker đang chuẩn bị cho đợt phát tán với phạm vi lớn , một số tính năng quan trọng đã được thiết lập tự động .