Phân tích kỹ thuật mã độc tống tiền Beast: Bảng điều khiển ẩn và cơ chế tấn công tinh vi

• Cơ chế điều khiển độc đáo: Kẻ tấn công có thể kích hoạt bảng điều khiển đồ họa ẩn bằng tổ hợp phím ALT+CTRL+666 để tùy chỉnh mục tiêu mã hóa theo thời gian thực.
• Kỹ thuật mã hóa tinh vi: Sử dụng ChaCha20 kết hợp Curve25519 với phương pháp mã hóa ngắt quãng (intermittent encryption) để tối ưu hóa tốc độ và gây khó khăn cho việc khôi phục.
• Khả năng thích ứng cao: Hỗ trợ đa nền tảng bao gồm Windows, NAS và VMware ESXi, đồng thời tích hợp các kỹ thuật né tránh EDR và xóa Shadow Copies.

Các nhà nghiên cứu bảo mật vừa công bố báo cáo phân tích chuyên sâu về Beast Ransomware, một chiến dịch Ransomware-as-a-Service (RaaS) xuất hiện lần đầu trên diễn đàn ngầm RAMP vào tháng 6 năm 2024. Được cho là hậu duệ của Monster ransomware, Beast thể hiện sự tinh vi trong thiết kế khi cung cấp cho các chi nhánh (affiliates) một bảng điều khiển ẩn, cho phép can thiệp trực tiếp vào quy trình mã hóa thay vì chỉ chạy tự động qua dòng lệnh.

Kiến trúc tấn công và cơ chế điều khiển

Điểm khác biệt lớn nhất của Beast so với các dòng mã độc tống tiền truyền thống là giao diện đồ họa ẩn. Khi kẻ tấn công thực hiện tổ hợp phím ALT+CTRL+666 trên máy chủ bị nhiễm, một bảng điều khiển sẽ xuất hiện, hiển thị toàn bộ ổ đĩa cục bộ, các chia sẻ mạng (network shares) và các subnet có thể truy cập được. Điều này cho phép kẻ tấn công lựa chọn mục tiêu cụ thể, tạm dừng hoặc tiếp tục quá trình mã hóa, giúp tối ưu hóa tác động lên từng nạn nhân.

Về mặt kỹ thuật, Beast sử dụng các tham số dòng lệnh để ghi đè cấu hình mặc định, bao gồm các tính năng như: quét mạng, vô hiệu hóa các tiến trình bảo mật, xóa Shadow Copies và làm trống thùng rác. Để đảm bảo tính duy nhất, mã độc tạo một Mutex có tên BEAST HERE?, ngăn chặn việc chạy nhiều phiên bản cùng lúc trên một hệ thống.

Kỹ thuật mã hóa và thiết kế tệp tin

Beast áp dụng thuật toán ChaCha20 để mã hóa tệp tin và bảo vệ khóa bằng Curve25519. Mỗi tệp tin được gán một cặp khóa riêng biệt. Để tăng tốc độ, mã độc sử dụng kỹ thuật mã hóa ngắt quãng (intermittent encryption), chia tệp thành các khối 128 KiB và chỉ mã hóa một phần (thường là 25%).

Chiến lược phòng thủ và săn tìm mối đe dọa

Để đối phó với Beast, các đội ngũ SOC cần tập trung vào việc giám sát các hành vi bất thường liên quan đến WMI và SMB. Việc xóa Shadow Copies thông qua WMI là một chỉ số quan trọng (IOC) cho thấy một cuộc tấn công ransomware đang diễn ra. Ngoài ra, cần chú trọng giám sát các burst quét SMB trên cổng TCP 445.

⚠️ Cảnh báo quan trọng: Các nhóm tấn công hiện nay thường vô hiệu hóa EDR và các giải pháp sao lưu trước khi thực hiện mã hóa. Việc duy trì các bản sao lưu ngoại tuyến (offline backups) là biện pháp sống còn để đảm bảo khả năng phục hồi dữ liệu.

Dưới đây là các bước hardening cơ bản để giảm thiểu rủi ro:

• Giới hạn quyền quản trị: Hạn chế tối đa quyền Admin trên các máy trạm để ngăn chặn việc ghi vào Registry Run key.
• Giám sát tiến trình: Theo dõi danh sách 52 tiến trình và 73 dịch vụ mà Beast thường nhắm tới để vô hiệu hóa (bao gồm các công cụ sao lưu và phần mềm bảo mật).
• Phân đoạn mạng: Cô lập các phân đoạn mạng quan trọng và kiểm soát chặt chẽ lưu lượng SMB giữa các máy chủ.

Các nhà nghiên cứu cũng khuyến nghị sử dụng các nền tảng như AttackIQ để mô phỏng hành vi của Beast, từ đó kiểm tra hiệu quả của các chính sách bảo mật hiện tại trong tổ chức. Việc cập nhật các quy tắc phát hiện dựa trên các IOC đã được công bố là bước đi cần thiết để chủ động ngăn chặn các biến thể mới của nhóm Hyadina.