Sơ đồ phân tích tập tin .JAR chứa mã độc Crisis. Nguồn: Symantec.

Hãng bảo mật Symantec vừa phát đi thông báo về mã độc OSX.Crisis có phương thức lây lan rất tinh vi - sử dụng tới 3 phương pháp để phát tán sự lây nhiễm gồm: tự động sao chép chính nó và một tệp tin có tên autorun.inf tới một ổ đĩa di động; lén lút lây nhiễm vào một máy ảo VmWare; gắn các mô đun của nó vào một thiết bị di động chạy hệ điều hành Windows Mobile.

Đặc biệt trong các môi trường ảo hóa, mối đe dọa mới này tìm kiếm các ảnh (image) của máy ảo VmWare trên máy tính bị lây nhiễm, và nếu tìm được một ảnh máy ảo, nó sẽ nối tới ảnh này và tự động sao chép chính nó tới ảnh bằng cách sử dụng công cụ VmWare Player. Mã độc không sử dụng lỗ hổng trên phần mềm của VmWare mà thay vào đó nó lợi dụng một thuộc tính phổ biến trên tất cả các phần mềm ảo hóa, đó là: máy ảo đơn thuần chỉ là một tệp tin hoặc một loạt các tệp tin nằm trên ổ đĩa của máy chủ (host machine). Những tệp tin này có thể thường xuyên được kết nối và thao tác trực tiếp, kể cả khi máy ảo không hoạt động.

“Đây có lẽ là mã độc đầu tiên sử dụng phương thức lây lan trên máy ảo. Nhiều mối đe dọa bảo mật đã từng được biết đến trước đây sẽ “tự hủy” khi chúng phát hiện một ứng dụng giám sát trên môi trường ảo hóa (chẳng hạn như sản phẩm của VmWare) để tránh bị phân tích. Do vậy, đây có thể là một bước tiến dài của những kẻ chuyên viết mã độc”, Symantec nhận định.

Liên quan tới OSX.Crisis, hãng bảo mật Kaspersky cho rằng mã độc này đến máy tính bị nhiễm thông qua một tập tin JAR bằng cách sử dụng kỹ thuật xã hội. Các tập tin JAR chứa hai tập tin thực thi cho cả Mac và Windows.

Do sử dụng giao thức lập trình ứng dụng từ xa (Remote Application Programming Interface – RAPI) nên OSX.Crisis hiện chỉ có thể gây ảnh hưởng trên các thiết bị Windows Mobile. Các thiết bị di động sử dụng hệ điều hành Android và iOS vẫn đang “vô can”.

Theo Ictnews.vn