Các vụ tấn công được cho là do một tổ chức nhà nước liên kết với Iran với biệt danh Agrius. Các nhà nghiên cứu cho biết: “Phân tích cho thấy dường như đây là một cuộc tấn công bằng mã độc tống tiền, chúng tiết lộ biến thể mới đã được triển khai trong một loạt các cuộc tấn công nhằm vào các mục tiêu của Israel gần đây. Các nhà điều hành đằng sau các cuộc tấn công cố tình che giấu hoạt động của họ như là các cuộc tấn công ransomware, một hành vi không phổ biến đối với các nhóm có động cơ tài chính”.
Phương thức hoạt động của nhóm liên quan đến việc triển khai phần mềm độc hại trên nền tảng .NET tùy chỉnh có tên là Apostle. Phần mềm này được phát triển để trở thành ransomware có đầy đủ chức năng và khả năng tự nâng cấp. Ngoài ra, nhóm tin tặc Agrius đã phát tán một lây nhiễm .NET có tên là IPsec Helper, nó có thể được sử dụng để lấy dữ liệu hoặc triển khai phần mềm độc hại bổ sung. Hơn nữa, chiến thuật của chúng đã cho thấy sự chuyển đổi từ hoạt động gián điệp sang đòi tiền chuộc nếu nạn nhân muốn khôi phục quyền truy cập vào dữ liệu được mã hóa.
Quy trình tấn công của Agrius (theo SentinelLabs)
Bên cạnh việc sử dụng ProtonVPN để ẩn danh, chu kỳ tấn công của Agrius khai thác các lỗ hổng 1-day trong các ứng dụng dựa trên web (bao gồm CVE-2018-13379). Sau đó, Agrius cung cấp các trình duyệt web ASPXSpy để duy trì quyền truy cập từ xa vào các hệ thống bị xâm phạm và thực thi các lệnh tùy ý .
Nghiên cứu cũng bổ sung thêm bằng chứng cho thấy các tổ chức được nhà nước được bảo trợ có quan hệ với chính phủ Iran đang ngày càng xem các hoạt động của ransomware như một kỹ thuật để bắt chước các nhóm ransomware có động cơ tài chính khác.
Nguyễn Chân
(Theo The hacker news)
13:00 | 18/05/2021
13:00 | 12/05/2021
10:00 | 10/11/2021
22:00 | 01/01/2022
08:00 | 17/03/2022
10:00 | 28/12/2020
17:00 | 28/07/2021
13:00 | 05/04/2024
Trong một động thái mới nhất, AT&T cuối cùng đã xác nhận rằng họ bị ảnh hưởng bởi một vụ vi phạm dữ liệu ảnh hưởng đến 73 triệu khách hàng.
09:00 | 03/04/2024
Ngày 02/4, hệ thống công nghệ thông tin của Tổng công ty Dầu Việt Nam (PVOIL) bị tấn công bất hợp pháp có chủ đích theo hình thức mã hóa dữ liệu (ransomware). Vụ việc này đã khiến hệ thống công nghệ thông tin của PVOIL bị ngưng trệ, việc phát hành hóa đơn điện tử phục vụ việc bán hàng của PVOIL tạm thời không thể thực hiện được.
07:00 | 16/01/2024
Các nhà nghiên cứu an ninh mạng đã phát hiện một backdoor macOS mới có tên là SpectralBlur. Đặc biệt backdoor này có những điểm tương đồng với dòng phần mềm độc hại KandyKorn của các tin tặc Triều Tiên trong các chiến dịch tấn công mạng được xác định gần đây.
13:00 | 21/11/2023
Fortinet cảnh báo khách hàng về lỗ hổng chèn lệnh nghiêm trọng trong hệ điều hành máy chủ của FortiSIEM, lỗ hông này có thể bị khai thác bởi kẻ tấn công chưa xác thực từ xa để thực thi lệnh qua các truy vấn API tự tạo.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Các nhà nghiên cứu tại tổ chức bảo mật phi lợi nhuận Shadowserver Foundation (California) cho biết hàng nghìn thiết bị Ivanti VPN kết nối với Internet có khả năng bị ảnh hưởng bởi một lỗ hổng thực thi mã từ xa.
08:00 | 17/04/2024
