Các nhà nghiên cứu về an ninh mạng
đang cảnh báo người dùng Internet về một chiến dịch tấn công quy mô lớn
chưa từng có, sử dụng các công nghệ và kỹ thuật tinh vi nhằm công kích
ngầm vào các chính phủ, các tổ chức trên khắp châu Á.
Hãng bảo mật Trend Micro đã gọi chiến dịch này là Naikon, dựa vào chuỗi
HTTP user-agent mang tên ““NOKIAN95/WEB” được tìm thấy trong những đợt
tấn công có chủ đích trên khắp lãnh thổ Ấn Độ, Malaysia, Singapore, Việt
Nam và những nơi khác.
Theo Maharlito Aquino, nhà phân tích hiểm họa của Trend Micro, những
cuộc tấn công này được thực hiện với cách thức quen thuộc là dùng một
email lừa đảo “spear-phishing” mang những thông điệp có liên quan đến
các vấn đề ngoại giao ở khu vực Châu Á Thái Bình Dương. Các mục tiêu tấn
công nhằm vào từ các chính phủ cho đến phương tiện truyền thông, các tổ
chức năng lượng, viễn thông...
Tập tin đính kèm email mang mã độc khai thác một lỗ hổng trong Windows
Common Controls có tên CVE-2012-0158, từng được sử dụng trong chiến dịch
“Safe” được phát hiện bởi các nhà nghiên cứu hồi tháng trước và được
cho là có liên quan đến “thế giới ngầm tội phạm mạng ở Trung Quốc”. Khi
tập tin đính kèm được mở, nạn nhân chỉ nhìn thấy một “văn bản mồi”, tuy
nhiên trong thực tế BKDR_RARSTONE Remote Access Tool (RAT) đang xâm nhập
vào hệ thống người dùng.
 |
| Phương thức hoạt động của BKDR_RARSTONE. |
Được phát hiện đầu tiên vào hồi tháng 2 và sau đó được dùng trong các
cuộc tấn công bằng email sử dụng dòng tiêu đề “Boston Marathon Bombings”
để thu hút người xem, RARSTONE dùng một số kỹ thuật để tránh né sự phát
hiện của các công cụ an ninh thông thường. Chẳng hạn, RAT thực hiện tải
thành phần cửa hậu (backdoor) của nó từ một máy chủ C&C trực tiếp
vào bộ nhớ, che giấu nó khỏi những phần mềm quét file thông thường.
Theo Aquino, điều khiến RARSTONE khác biệt với PlugX và những RAT khác
là ở khả năng lấy thông tin của các phần mềm cài đặt từ Uninstall
Registry Keys. Điều này có nghĩa là nó biết được những ứng dụng nào đã
được cài đặt vào hệ thống và bằng cách nào để gỡ bỏ chúng. RARSTONE cũng
sử dụng SSL để mã hóa việc truyền đạt thông tin giữa nó và máy chủ
C&C, điều đó không chỉ giúp bảo vệ kết nối này mà còn giúp nó trà
trộn vào lưu lượng truyền tải thông thường. Những kẻ tấn công cũng có ý
muốn che giấu những đợt tấn công của mình bằng việc sử dụng các tên miền
DNS động hay đăng ký bảo vệ riêng tư.
Không có bất kỳ thông tin chính xác về những gì mà những kẻ tấn công
đang nhắm đến trong chiến dịch này, dù BKDR_RARSTONE có thể thực hiện
tất cả các "chiêu" backdoor thông thường như truy cập, download/upload
dữ liệu, tự cập nhật, thay đổi những thiết lập trên máy tính.
Hiện Trend Micro đã kêu gọi các tổ chức tăng cường hàng rào phòng thủ
chống lại những cuộc tấn công dạng này bằng việc bổ sung những công cụ
để giám sát sự an toàn của dữ liệu và kiểm soát sự xâm nhập từ bên
ngoài.
---------------------------------------------------------------------------------------------------------
Không có nhận xét nào:
Đăng nhận xét