Cảnh báo chiến dịch giả mạo Google Meet để phát tán phần mềm độc hại

10:00 | 04/11/2024 | AN TOÀN THÔNG TIN

Người dùng Windows và MacOS đang là mục tiêu của một chiến dịch tấn công kỹ thuật xã hội mới mang tên “ClickFix”, sử dụng các trang web Google Meet giả mạo để cài phần mềm độc hại đánh cắp thông tin vào hệ thống của nạn nhân.

Cảnh báo chiến dịch giả mạo Google Meet để phát tán phần mềm độc hại

ClickFix là một chiến thuật tấn công mạng xuất hiện vào tháng 5/2024, lần đầu tiên được công ty an ninh mạng Proofpoint (Mỹ) báo cáo, theo đó các tác nhân đe dọa TA571 đã sử dụng các tin nhắn giả mạo với thông báo lỗi cho Google Chrome, Microsoft Word và OneDrive.

Lỗi này nhắc nhở nạn nhân sao chép vào clipboard một đoạn mã PowerShell để khắc phục sự cố bằng cách chạy đoạn mã đó trong CMD. Khi thực thi, đoạn mã sẽ phát tán các dòng phần mềm độc hại khác nhau như DarkGate, Matanbuchus, NetSupport, Amadey Loader, XMRig, trình chiếm quyền điều khiển clipboard và Lumma Stealer.

Vào tháng 7/2024, hãng bảo mật McAfee (Mỹ) báo cáo rằng các chiến dịch ClickFix đang trở nên thường xuyên hơn, đặc biệt là ở Mỹ và Nhật Bản. Một báo cáo mới từ công ty an ninh mạng Sekoia (Pháp) lưu ý rằng các chiến dịch ClickFix đã có sự thay đổi đáng kể và hiện sử dụng mồi nhử là Google Meet, Facebook, Github và email lừa đảo nhắm vào các công ty vận tải và hậu cần.

Hình 1. Dòng thời gian phát triển của ClickFix

Theo Sekoia, một số chiến dịch gần đây được thực hiện bởi hai nhóm tin tặc là Slavic Nation Empire (SNE) và Scamquerteo, được coi là một nhánh của băng nhóm lừa đảo tiền điện tử Marko Polo và CryptoLove.

Hình 2. Nhiều hình thức thông báo giả mạo được sử dụng trong các chiến dịch gần đây

Trong chiến dịch ClickFix gần đây, kẻ tấn công sẽ gửi cho nạn nhân những email trông giống như lời mời tham gia Google Meet hợp pháp liên quan đến cuộc họp/hội nghị hoặc một sự kiện quan trọng nào đó.

Các URL này rất giống với các liên kết Google Meet thực tế:

meet[.]google[.]us-join[.]com
meet[.]google[.]web-join[.]com
meet[.]googie[.]com-join[.]us
meet[.]google[.]cdm-join[.]us

Khi nạn nhân truy cập vào trang giả mạo, họ sẽ nhận được một tin nhắn hiển thị thông báo về sự cố kỹ thuật, chẳng hạn như sự cố về micrô hoặc tai nghe.

Hình 3. Thông báo lỗi giả mạo trên Google Meet

Nếu nạn nhân nhấp vào “Try Fix”, quy trình lây nhiễm ClickFix sẽ được thực hiện, trong đó mã PowerShell được trang web sao chép và dán vào Windows prompt sẽ lây nhiễm phần mềm độc hại vào máy tính của họ, lấy dữ liệu từ miền “googiedrivers[.]com”.

Các payload cuối cùng là phần mềm độc hại đánh cắp thông tin Stealc hoặc Rhadamanthys trên Windows. Trên hệ điều hành macOS, tác nhân đe dọa phát tán phần mềm độc hại AMOS Stealer dưới dạng tệp .DMG có tên “Launcher_v194”.

Dương Ngân

(Tổng hợp)

‹ › ×

Tin liên quan

Phần mềm độc hại TrickMo đánh cắp mã PIN Android bằng màn hình khóa giả mạo

10:00 | 18/10/2024

Công ty bảo mật Zimperium (Mỹ) đã xác định được 40 biến thể mới của trojan ngân hàng TrickMo trên Android. Các biến thể này được liên kết với 16 chương trình dropper (một loại trojan horse để cài đặt phần mềm độc hại) và 22 cơ sở hạ tầng của máy chủ điều khiển và ra lệnh (C2) riêng biệt, với các tính năng mới để đánh cắp mã PIN Android.

Tin tặc lợi dụng cụm từ tìm kiếm ít phổ biến trên Google để phát tán phần mềm độc hại

09:00 | 18/11/2024

Tin tặc đang lợi dụng cụm từ tìm kiếm "Mèo Bengal có hợp pháp ở Úc không" trên Google để phát tán phần mềm độc hại, gây nguy hiểm cho thiết bị của người dùng.

Google Cloud sẽ áp dụng xác thực đa yếu tố vào năm 2025 cho tất cả người dùng

14:00 | 12/11/2024

Bộ phận quản trị Google Cloud đã thông báo rằng họ sẽ thực thi xác thực đa yếu tố (MFA) bắt buộc đối với tất cả người dùng vào cuối năm 2025. Đây là một phần trong nỗ lực nâng cao khả năng bảo mật tài khoản của Google.

Website giả mạo Zalo có hàng triệu lượt truy cập mỗi ngày

07:00 | 14/10/2024

Theo cảnh báo từ các chuyên gia Công ty An ninh mạng Bkav, hiện có hai website giả mạo ứng dụng Zalo có địa chỉ là zaloweb.me và zaloweb.vn do tin tặc tạo ra để lừa người dùng với hàng triệu lượt truy cập mỗi ngày.

Tấn công giả mạo GPS đe dọa an toàn hàng không dân dụng

22:00 | 02/09/2024

Chuyên gia cảnh báo về một hình thức tấn công mạng mới, sử dụng công nghệ giả mạo GPS để can thiệp vào hệ thống định vị và liên lạc của máy bay, gây nguy hiểm cho an toàn hàng không.

Tin cùng chuyên mục

Interpol trấn áp tội phạm mạng và bắt giữ hơn 1 nghìn nghi phạm ở châu Phi

10:00 | 04/12/2024

Mới đây, Tổ chức Cảnh sát hình sự quốc tế Interpol đã bắt giữ hơn 1 nghìn nghi phạm ở châu Phi trong chiến dịch Serengeti kéo dài hai tháng, trấn áp tội phạm mạng đứng sau các phần mềm tống tiền, lừa đảo và xâm phạm email doanh nghiệp, gây ra thiệt hại tài chính lên tới hàng triệu USD.

Khám phá tương lai an ninh mạng qua Hội nghị AISA CyberCon 2024

13:00 | 02/12/2024

Từ ngày 26 - 28/11, tại Australia, Hội nghị AISA CyberCon 2024 đã diễn ra thành công, thu hút sự tham gia của hàng nghìn chuyên gia hàng đầu trong lĩnh vực an ninh mạng đến từ nhiều quốc gia trên thế giới. Với chủ đề "Future is Now", sự kiện đã mang đến góc nhìn toàn diện về những thách thức và cơ hội mới trong lĩnh vực an ninh mạng, đồng thời cung cấp những giải pháp và công cụ hữu ích để đối phó với các mối đe dọa ngày càng gia tăng.

Trưởng ban Ban Cơ yếu Chính phủ chúc mừng nhân kỷ niệm 20 năm đào tạo ngành An toàn thông tin tại Học viện Kỹ thuật mật mã

09:00 | 20/11/2024

Nhân dịp kỷ niệm 20 năm đào tạo ngành An toàn thông tin tại Học viện Kỹ thuật mật mã (2004 - 2024), Trưởng ban Ban Cơ yếu Chính phủ vừa gửi lời chúc tới Ban Giám đốc, các thầy cô giáo cùng toàn thể cán bộ, nhân viên, học viên và sinh viên của Học viện. Dưới đây là toàn văn bức thư.

Lừa đảo mạo danh: Vẫn còn nhiều nạn nhân sập bẫy

14:00 | 18/10/2024

Cục An toàn thông tin (Bộ TT&TT) cho biết tình trạng lừa đảo mạo danh trực tuyến vẫn đang diễn ra phổ biến, người dân cần hết sức cảnh giác để tránh trở thành nạn nhân.