- Tham gia
- 5/10/17
- Bài viết
- 4,472
- Được thích
- 2,520
3959
#1
Theo đó, trình cài đặt này là một file giả được tung lên trên internet có tên là Telegram Desktop.exe để khiến người dùng nhầm lẫn rằng đây là trình cài đặt chính thức của ứng dụng Telegram. Trình cài đặt này này bao gồm 2 file, một là trình cài đặt Telegram thực sự và một là trình tải xuống các virus độc hại có tên TextInputh.exe. Một khi người dùng click chuột vào Telegram Desktop.exe, cả ứng dụng Telegram lẫn TextInputh.exe sẽ được cài đặt vào PC, laptop của người dùng.
Theo các chuyên gia bảo mật từ Minerva Lab , khi được khởi chạy thì TextInputh.exe sẽ tạo một folder mới có tên 1640618495 ở dường dẫn C:\Users\Public\Videos\. Trên thực tế, tệp TextInputh.exe này được sử dụng làm trình tải xuống cho giai đoạn tiếp theo của cuộc tấn công, vì nó liên hệ với máy chủ C&C và tải 2 file độc hại mới xuống folder 1640618495.
Bước tiếp theo là phần mềm độc hại TextInputh.exe sẽ thu thập thông tin hệ thống của PC, laptop người dùng, kiểm tra xem có bất kỳ công cụ bảo mật nào đang chạy hay không và cuối cùng gửi tất cả thông tin đó đến một địa chỉ C2 được mã hóa. Sau khi quá trình này hoàn tất, Purple Fox được tải xuống từ địa chỉ C2 dưới dạng file .msi chứa shellcode được mã hóa cho cả hệ thống 32 và 64 bit. PC bị nhiễm sẽ được khởi động lại để cài đặt registry mới cũng như tắt User Account Control (UAC).
Hiện tại vẫn chưa rõ trình cài đặt giả Telegram Desktop.exe được phát tán như thế nào nhưng các chiến dịch tấn công khác của các hacker đã được phát tán qua video YouTube, spam diễn đàn và các trang web phần mềm mờ ám. Cho nên bạn cần cẩn trọng trước khi tải xuống các ứng dụng mà mình hay sử dụng để tránh bị hacker tấn công.
Tổng hợp
Xem thêm:
