81/VNCERT-ĐPƯC

Công văn 81/VNCERT-ĐPƯC năm 2019 về theo dõi, ngăn chặn kết nối máy chủ điều khiển mã độc GandCrab 5.2 do Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam ban hành BỘ THÔNG TIN VÀ TRUYỀN THÔNG TRUNG TÂM ỨNG C Ứ U KH Ẩ N C Ấ P MÁY TÍNH VI Ệ T NAM ------- CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc --------------- Số: 81/VNCERT-ĐPƯC V/v theo dõi, ngăn chặn k ế t n ố i m á y ch ủ điều khiển m ã đ ộc GandCrab 5.2 Hà Nội , ngày 15 tháng 3 năm 2019 Kính gửi: - Các đơn vị chuyên tr ách về CNTT, ATTT V ă n phòng Trung ươ ng Đảng , V ă n phòng Chủ tịch nước, Văn phòng Q uố c hội , V ă n phòng Chính phủ; - C á c đơn vị chuyên trách v ề CNTT , ATTT các Bộ, ngành; - Các S ở Thông ti n v à Truyền thông; - Các Tổng công ty, Tập đoàn kinh tế; T ổ ch ứ c tài chính và n gâ n hàng; các doanh nghi ệ p hạ tầng viễn thông, Internet, Điện lực, Hàng không, Giao thông vận tải; - Các thành viên tự nguyện Mạng lướ i ứ ng cứu sự cố ATTT mạng quốc gia. GandCrab 5.2 là phi ê n bản mới trong họ M ã độc tống tiền GandCrab lan rộng trên toàn c ầ u trong h ơn một năm qua. Ngày 05/04/2018 , Trung tâm Ứng cứu khẩn c ấ p máy tí nh Việt Nam (Trung lâm VNCERT) đ ã phát hành Công văn số 58/VNCERT-ĐPƯC về việc ngăn chặn kết nối máy ch ủ điều khiển m ã đ ộc GandCrab (phiên b ả n 1.0 và 2.0) và hiện nay cũng đ ã hỗ trợ giải m ã GandCrab phiên bản 5.1 tr ở về trước. Tuy nhiên, hiện nay qua theo d õ i không gian mạng, Trung tâm VNCERT phát hiện từ giữa tháng 3/2019 đ ến nay đ ang có chiến dịch phát tán M ã đ ộc tống tiền GandCrab 5.2 vào Việt Nam và các nước Đông Nam Á . Tại Việt Nam , GandCrab 5.2 đ ượ c phát tán thông qua thư điện t ử giả mạo Bộ Công an Việt Nam với tiêu đ ề “ Go i trong Cong an Nhan dan Viet Nam ” , có đ í nh kèm t ệ p documents.rar. Khi người dùng giải nén và mở tệp ti n đính kèm, m ã độc s ẽ được kích hoạt và toàn bộ dữ liệu người dùng bị mã hóa, đồ ng thời sinh r a m ộ t tệp nhằm yêu cầu và hướng d ẫ n người dùng tr ả ti ề n chuộc t ừ 400 - 1.000 USD bằ ng cách thanh toán qua đ ồng tiền đ iện tử đ ể gi ả i mã dữ liệu. Thực hiện Quy ết định số 05/2017/Q Đ -TTg và Thông t ư số 20/20 1 7/TT-BTTTT về điều phối, ứng cứu sự cố an t oàn thông tin mạng trên toàn quốc, Trung t â m VNC E RT yêu cầu L ã nh đ ạo đơn vị ch ỉ đ ạo các đơn vị thuộc phạm vi quản lý thực hiện khẩn cấp các việc sau để phòng ngừa, ngăn chặn việc t ấ n công c ủ a mã độc GandCrab 5.2 v à o Việt Nam như sau: 1. Theo dõi, ngăn chặn kết nối đế n các máy ch ủ máy chủ điều khiển m ã độc tống tiền GandCrab và cập nhật vào các hệ thống bảo vệ như: IDS/IPS, Firewall,... theo các thông t i n nhận dạng tại Phụ lục đ ính kèm; 2. Nếu phát hiện cần nhanh chóng cô lập vùng/máy đ ã phát hiện; 3. Thông báo ngư ờ i s ử dụng n â ng cao c ả nh giác, không m ở và click vào các li ê n kết cũng như các tập tin đ í nh kèm trong email có chứa các tập tin dạng . doc, .pdf, .zip, rar,... được gửi từ người lạ hoặc nếu email đ ược gửi từ người quen nhưng cách đặt tiêu đ ề hoặc ngôn ngữ khác thường. Và cần thông báo cho bộ phận chuyên tr ách quản trị hệ thống hoặc đảm bảo an toàn th ô ng tin khi gặp nghi ng ờ . M ã độc t ố ng tiền GandCrab rất nguy hiểm, có th ể đánh cắp th ô ng tin v à m ã hóa toàn bộ dữ liệu tr ê n máy b ị nhiễm. Tin tặc khai thác và tấn công s ẽ gây l ê n nhiều hậu qu ả nghiêm trọng khác, Trung t â m VNCERT yêu cầu L ã nh đạo các đơn vị nghiêm túc thực hiện lệnh điều phối. Mọi chi tiết xin liên hệ Cơ quan Điều ph ố i quốc gia: Trung tâm Ứ ng cứu khẩn cấp máy tính Việt Nam Địa ch ỉ : Tầ ng 5 - Tòa nhà 115 Trần Duy H ư ng - C ầu Gi ấ y - Hà Nội; Điện thoại: 024 3640 4423 s ố máy l ẻ 1 12; Đường dây nóng: 0869 100319/ 0888 609399; Hòm thư điện t ử tiếp nhận báo cáo sự cố: ir@vncert.gov.vn. Trân trọng./. Nơi nhận: - Như trên; - Bộ trưởng (để b/c); - Thứ trưởng Nguyễn Thành Hưng (để b/c); - Giám đốc (để b/c); - Các Phó Giám đốc (để p/h); - Các phòng, chi nhánh: KTHT&GS, NCPT, TV&BDNV, CNHCM, CNĐN; - Lưu: VT, ĐPƯC. KT. GIÁM ĐỐC PHÓ GIÁM ĐỐC Nguyễn Khắc Lịch PHỤ LỤC THÔNG TIN VỀ MÃ ĐỘC GRANDCRAB V5.2 (Kèm theo công văn s ố 81 /VNCERT-ĐPƯC ngày 1 5/ 03 / 201 8 của Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam) I. Hình th ứ c phát t á n mã độc. *Hình ả nh tệp tin chứa m ã độc đ í nh kèm thư điện t ử gi ả mạo từ Bộ Công an Việt Nam II. Danh sách các máy ch ủ điều khiển mã độc (C&C Server). TT Địa chỉ C&C Ghi chú 1 www.kakaocorp.link (IP:107.173.49.208) Phiên bản 5.2 Ill . Danh sách mã băm. Hash Ghi chú MD5 DDCA6B2B2623904A072A5AF0A9E26267 Phiên bản 5.2 SHA1 E081D35048E2DE07BE34C0EAD3B9FD16F6BADB74 Phiên bản 5.2