Kể từ khi được phát hiện lần đầu vào năm 2016,ãđộcDharmagiảlàmphầnmềmdiệtvirusđểđánhlừangườidùkeo truc tuyen mã độc Dharma (hay còn gọi là Đạt Ma) đã không ngừng phát triển và liên tục “đòi tiền chuộc” từ người dùng Internet trên toàn thế giới.

Gần đây, các chuyên gia từ Trend Micro đã phát hiện hình thái tấn công mới từ loại mã độc này: ngụy trang như một phần mềm an toàn  để người dùng tải về máy, sau đó mới phát tán mã độc tống tiền.

Hậu quả lớn nhất được ghi nhận là vào tháng 11 năm 2018 khi mã độc này làm tê liệt toàn bộ hệ thống của một bệnh viện bang Texas, Mỹ. Dharma đã mã hóa gần như toàn bộ hồ sơ lưu trữ, may mắn là bệnh viện này sau đó đã có thể phục hồi dữ liệu mà không phải trả tiền chuộc.

Hình thái mới được phát hiện gần đây của Dharma sử dụng giao diện cài đặt của phần mềm diệt virus ESET, đây được xem như là 1 cách “tung hỏa mù” của mã độc này khiến nạn nhân mất cảnh giác.

Mã độc này được các hacker phân tán trên mạng Internet thông qua hình thức spam email có đính kèm Dharma lưu trữ dưới dạng nhị phân, mỗi email kèm theo mật khẩu riêng, trong đó sẽ có 1 định dạng file là Defender.exe.

Minh họa cách mã độc Dharma phát tán.

Hacker cung cấp mật khẩu để mở tệp độc hại đính kèm trong email spam khiến nạn nhân tò mò mở file, từ đó lây nhiễm mã độc Dharma trên máy của họ.

Một email spam phát tán Dharma.

Mỗi khi file Defender.exe được nạn nhân bấm vào, nó sẽ hiển thị bằng giao diện cài đặt cũ của phần mềm diệt virus ESET dưới tên là Defender_nt32_othy.exe, và song song là một file taskhost.exe được thêm vào thư mục tự động khởi chạy. Đây chính là lúc Dharma cài đặt và bắt đầu tiến trình mã hóa dữ liệu của nạn nhân cho mục đích tống tiền.

Thư mục được giải nén và xuất hiện taskhost.exe (mã độc Dharma).

Phần mềm diệt virus ESET do mã độc Dharma ngụy trang sẽ tiến cài hành cài đặt tự động khi được kích hoạt trong thư mục đã giải nén, trong lúc sự chú ý tập trung vào việc cài đặt thì mã độc Dharma sẽ mã hóa các nội dung một cách âm thầm mà nạn nhân không hề hay biết.

Giao diện cài đặt phần mềm ESET.