| |
Cảnh báo chiến dịch tấn công mới do tin tặc Việt Nam tiến hành |
Theo VNCERT/CC, Cyble Research and Intelligence Labs (CRIL) vừa phát hiện một chiến dịch tấn công mạng tinh vi do một nhóm tin tặc có nguồn gốc từ Việt Nam thực hiện, với mục tiêu chính là các chuyên gia kinh tế số, đặc biệt là những người liên quan đến tiếp thị số và các nền tảng quảng cáo như Meta Ads (Facebook và Instagram).
Cuộc tấn công sử dụng mã độc nhiều giai đoạn để chiếm quyền kiểm soát hệ thống và triển khai Quasar RAT, một phần mềm trojan điều khiển từ xa (RAT) mạnh mẽ, giúp kẻ tấn công có thể thực hiện các hành vi độc hại như đánh cắp dữ liệu và giám sát hệ thống từ xa.
Những chiến thuật và phương thức tấn công này đã được nhận diện từ một chiến dịch tương tự vào tháng 7-2022, khi một nhóm tin tặc Việt Nam phát tán mã độc Ducktail nhằm đánh cắp thông tin từ các tài khoản quảng cáo Meta.
Về phương thức tấn công, chiến dịch này bắt đầu từ việc phát tán các email lừa đảo chứa tệp LNK giả mạo thành tài liệu PDF liên quan đến công việc. Khi nạn nhân mở tệp LNK này, một chuỗi lệnh PowerShell sẽ được kích hoạt để tải xuống và thực thi các tệp mã độc từ các nguồn lưu trữ bên ngoài như Dropbox.
Mã độc được mã hóa nhiều lớp và sử dụng các kỹ thuật tránh phát hiện tiên tiến để qua mặt các hệ thống bảo mật.
Cuộc tấn công sử dụng nhiều kỹ thuật nhằm lẩn tránh các hệ thống giám sát và leo thang quyền hạn để chiếm quyền kiểm soát hệ thống. Ở giai đoạn cuối của cuộc tấn công, Quasar RAT được triển khai, cho phép kẻ tấn công chiếm quyền điều khiển hoàn toàn hệ thống bị nhiễm.
Quasar RAT là một công cụ mã nguồn mở được sử dụng phổ biến bởi nhiều nhóm tin tặc để thực hiện các hành vi như: Trộm cắp dữ liệu; Giám sát hệ thống; Cài đặt thêm phần mềm độc hại.
Khi hệ thống bị nhiễm Quasar RAT, các tác động có thể bao gồm giảm hiệu suất hệ thống: CPU và băng thông mạng có thể tăng đột ngột do các hoạt động độc hại ngầm của mã độc; Lưu lượng mạng bất thường; Xuất hiện tệp lạ trong hệ thống như tệp: LNK, batch file, hoặc các tệp PDF giả mạo trong hệ thống.
Nhằm đảm bảo an toàn thông tin cho hệ thống thông tin của đơn vị, Trung tâm VNCERT/CC khuyến nghị người dùng và quản trị viên nên thường xuyên kiểm tra và phát hiện các tệp tin, quy trình hoặc hành vi đáng ngờ trong hệ thống;
Kiểm tra lưu lượng mạng: Phân tích lưu lượng mạng để phát hiện các kết nối không rõ nguồn gốc đến các máy chủ điều khiển từ xa.
Đồng thời, các đơn vị đào tạo và nâng cao nhận thức cho nhân viên, cập nhật hệ thống và phần mềm với các bản vá mới nhất.