Nhóm hacker Nga trộm file từ xa bằng mã độc nhúng trong phần mềm chính chủ Microsoft

Ngọc Phạm Thứ bảy, ngày 20/07/2019 15:15 PM (GMT+7)

Khi xâm nhập vào hệ thống, mã độc có thể giúp hacker thu thập dấu vân tay, chụp ảnh màn hình, lấy cắp tập tin từ xa,...

Các nhà nghiên cứu của Kaspersky vừa phát hiện một nhóm hacker đã cải tiến bộ công cụ của mình bằng cách nén mã độc JavaScript KopiLuwak vào tệp Topinambour, sau đó tạo hai phiên bản với ngôn ngữ khác nhau để tấn công mạng. Vì nằm sẵn trong những phần mềm hợp pháp nên chúng đã qua mặt được các bước kiểm duyệt. Các nhà nghiên cứu tin rằng công cụ này được phát triển để giảm thiểu khả năng bị phát hiện và tăng độ chính xác khi tấn công mục tiêu. Topinambour được phát hiện trong một phi vụ tấn công vào đầu năm 2019.

Mã độc ẩn mình trong các phần mềm hợp pháp rất khó bị phát hiện.

Turla là một nhóm hacker người Nga nổi tiếng với nhiều cuộc tấn công mạng chống chính phủ và các tổ chức ngoại giao. Nhóm hacker này đã tạo ra mã độc KopiLuwak, được phát hiện lần đầu tiên vào cuối năm 2016. Năm 2019, các nhà nghiên cứu của Kaspersky đã phát hiện ra những công cụ và kỹ thuật mới được cập nhật trên mã độc nhằm tăng khả năng “lẩn trốn” và giảm thiểu trường hợp bị phát hiện.

Topinambour là tên một dạng tệp mới trong hệ thống tệp .NET (một nền tảng lập trình được tạo ra bởi Microsoft). Topinambour được Turla sử dụng để phát tán mã độc JavaScript KopiLuwak nhưng vẫn qua mặt được các bước kiểm duyệt nhờ cài cắm vào gói cài đặt của những phần mềm hợp pháp như VPN.

KopiLuwak được Turla xây dựng để phục vụ hoạt động tấn công mạng và lây nhiễm mã độc mới nhất của nhóm tin tặc, bao gồm kỹ thuật để giúp mã độc không bị phát hiện. Ví dụ như cơ sở hạ tầng chỉ huy sẽ xuất hiện những IP bắt chước các địa chỉ LAN thường thấy. Ở giai đoạn lây nhiễm cuối cùng - lúc mã độc gần như vô hình, một trojan được mã hóa để quản trị từ xa sẽ được nhúng vào hệ thống ghi danh của máy tính, từ đó mã độc sẽ sẵn sàng tấn công khi có cơ hội.

Khi xâm nhập vào hệ thống, mã độc có thể lấy dấu vân tay, chụp ảnh màn hình, lấy cắp tập tin,...

Hai mã độc tương tự KopiLuwak là .NET RocketMan Trojan và PowerShell MiamiBeach Trojan cũng được dùng để tấn công mạng. Các nhà nghiên cứu cho rằng các phiên bản này được tạo ra để phòng trường hợp phần mềm bảo mật phát hiện ra KopiLuwak.

Sau khi được cài cắm thành công, cả ba phiên bản có thể:

- Thu thập dấu vân tay.

- Thu thập thông tin về hệ thống và mạng.

- Ăn cắp tập tin.

- Tải xuống và triển khai phần mềm độc hại bổ sung.

- MiamiBeach có thể chụp ảnh màn hình.

Kurt Baumgartner, nhà nghiên cứu bảo mật tại Kaspersky cho biết: “Vào năm 2019, Turla nổi lên nhờ bộ công cụ được cải tiến với một số tính năng có thể giảm thiểu sự phát hiện của các nhà nghiên cứu và giải pháp bảo mật. Bộ công cụ bao gồm tính năng hạn chế dấu chân điện tử (digital footprint) của mã độc và tạo ra hai phiên bản khác nhau của mã độc KopiLuwak. Việc lợi dụng các gói cài đặt VPN để qua mặt quy trình kiểm duyệt cho thấy kẻ tấn công đã xác định từ trước mục tiêu để thực hiện tấn công”.

Sự phát triển liên tục của Turla một lần nữa cho tầm quan trong của phần mềm bảo mật để chống lại những cuộc tấn công APT. Ví dụ, việc bảo vệ điểm cuối và kiểm tra tập tin sau khi tải xuống sẽ giúp chống lại các mối đe dọa như Topinambour.

Để giảm thiểu nguy cơ trở thành nạn nhân của các hoạt động tấn công mạng tinh vi, Kaspersky khuyên người dùng nên thực hiện các biện pháp sau:

- Đào tạo nâng cao nhận thức bảo mật cho nhân viên về cách nhận biết và phòng tránh những ứng dụng hoặc tệp có khả năng gây hại. Ví dụ, nhân viên không nên tải xuống và khởi chạy bất kỳ ứng dụng hoặc chương trình nào từ những nguồn không đáng tin cậy.

- Để phát hiện, điều tra và khắc phục kịp thời những đe dọa mạng điểm cuối, có thể triển khai các giải pháp EDR như Kaspersky Endpoint Detection and Response.

- Ngoài việc áp dụng phương pháp bảo vệ điểm cuối thiết yếu, hãy triển khai thêm giải pháp bảo mật giúp công ty phát hiện các mối đe dọa tinh vi ở giai đoạn đầu, chẳng hạn như Kaspersky Anti Targeted Attack Platform.

- Cung cấp cho Trung tâm điều hành an ninh (SOC - Security Operation Center) các thông tin đe dọa mạng mới nhất để họ luôn cập nhật những công cụ và kỹ thuật được tội phạm mạng sử dụng.