Mã nguồn ransomware Paradise được chia sẻ trên diễn đàn hacker

Toàn bộ mã nguồn của ransomware Paradise đã được chia sẻ trên diễn đàn dành cho hacker có tên XSS.is. Dựa vào mã nguồn này, kể cả tội phạm mạng mới vào nghề cũng có thể tạo ra ransomware tùy chỉnh của riêng mình.

Mã nguồn Paradise được chia sẻ công khai, cho phép tất cả thành viên còn hoạt động của diễn đàn XSS.is tải về. XSS.is là diễn đàn dành cho các hacker, đa số là hacker Nga.

Nhà nghiên cứu bảo mật Tom Malka đã tải về mã nguồn sau đó biên dịch và xác nhận rằng nó tạo ra ba tệp thực thi. Tệp thứ nhất là trình cấu hình ransomware, tệp thứ hai là trình mã hóa và tệp thứ ba là trình giải mã.

Nằm rải rác bên trong mã nguồn là các dòng chú thích bằng tiếng Nga. Điều này cho thấy tác giả của ransomware này sử dụng tiếng Nga làm tiếng mẹ đẻ.

Khi có trong tay mã nguồn, hacker có thể tạo ra các ransomware tùy chỉnh của riêng chúng. Các phần có thể tùy chỉnh bao gồm máy chủ điều khiển, câu lệnh tệp mở rộng được mã hóa và địa chỉ email liên hệ.

Sau khi tùy chỉnh xong, hacker có thể triển khai, phân phối tới nạn nhân.

Welcome to Paradise

Ransomware Paradise xuất hiện lần đầu vào tháng 9/2017 thông qua các email lừa đảo chứa tệp đính kèm IQY chứa mã độc. Nhấp vào tệp này, ransomware sẽ được tải xuống và cài đặt vào máy của nạn nhân.

Theo thời gian, nhiều phiên bản Paradise đã được trình làng bởi các phiên bản đầu tiên có chứa lỗ hổng nên các chuyên gia bảo mật có thể giải mã dễ dàng. Trên các phiên bản mới, Paradise đã sử dụng phương pháp mã hóa RSA nên khó giải mã hơn rất nhiều.

Theo Michael Gillespie, người tạo ra bộ giải mã cho phiên bản Paradise đầu tiên, ransomware Paradise có những phiên bản sau:

• Paradise - Phiên bản gốc với các lỗ hổng
• Paradise .NET - Phiên bản an toàn .NET chuyển sang sử dụng thuật toán mã hóa RSA
• Paradise B29 - Một biến thể chỉ mã hóa phần cuối của tệp

Ransomware Paradise được phân phối mạnh trong giai đoạn từ tháng 9/2017 đến tháng 01/2020 thì đột ngột giảm tần suất khủng bố nạn nhân. Cho đến nay, rất hiếm thấy máy tính bị nhiễm ransomware này.

Có thể Paradise sẽ trở lại sau khi mã nguồn được chia sẻ công khai.