Mã độc Duqu 2.0 sử dụng chứng thư số để thu thập thông tin

14:04 | 26/06/2015 | HACKER / MALWARE

Hãng bảo mật Kaspersky thông báo đã tìm thấy mã độc trong các thiết bị hội nghị truyền hình tại 3 khách sạn ở Châu âu, nơi sẽ diễn ra hội đàm hạt nhân của nhóm gồm 6 nước mạnh về hạt nhân Mỹ, Nga,Trung Quốc, Anh, Pháp và Đức – nhóm "P5+1".

Mã độc Duqu 2.0 sử dụng chứng thư số để thu thập thông tin

Sau khi tiến hành phân tích, Kaspersky nhận thấy mã độc này sử dụng rất nhiều mã nguồn của mã độc Duqu và được gọi là Duqu 2.0, vốn bị nghi là do nhà nước Israel phát triển. Duqu được đặt tên xuất phát từ tiền tố “~DQ” của các tệp tin được tạo ra và sử dụng chứng thư số hợp pháp được đánh cắp từ hãng C-Media (Đài Loan). Nhiệm vụ của nó là thu thập thông tin để chuẩn bị cho các đợt tấn công trong tương lai. Cách thức hoạt động của nó rất giống Stuxnet.

Mã độc Duqu 2.0 sử dụng 3 lỗi bảo mật của Microsoft từng được công bố trước đây (chưa vá xong) để nhúng vào thiết bị viễn thông và thực hiện tấn công mà không để lại dấu vết.

Ông Costin Raiu, Giám đốc Bộ phận Phân tích và nghiên cứu toàn cầu của Kaspersky cho biết, khách sạn đầu tiên phát hiện bị nhiễm Duqu 2.0 là nơi tổ chức những cuộc đàm phán hạt nhân giữa nhóm P5+1 và Iran. Không lâu sau đó, Kaspersky tiếp tục tìm thấy virus cùng loại trong mạng máy tính ở khách sạn thứ 2. Sau lần phát hiện mã độc này, Costin Raiu nhận định có mối liên quan chặt chẽ giữa khách sạn và những cuộc đàm phán hạt nhân với Iran diễn ra tại đây. Trong cả hai trường hợp, mạng máy tính khách sạn bị nhiễm virus khoảng 2 đến 3 tuần trước khi diễn ra những cuộc đàm phán.

Cuộc truy lùng mã độc của Kaspersky tiếp tục phát hiện thêm khách sạn thứ 3, cũng là nơi tổ chức đàm phán hạt nhân với Iran. Mặc dù khách sạn này được phát hiện cuối cùng song có khả năng đã bị nhiễm Duqu 2.0 đầu tiên, khoảng cuối năm 2014. Kaspersky từ chối tiết lộ tên của 3 khách sạn nạn nhân của Duqu 2.0.

Mã độc Duqu 2.0 bao gồm hơn 100 môđun riêng biệt giúp hacker chiếm quyền điều khiển các máy tính bị lây nhiễm. Các môđun thực hiện các chức năng riêng biệt như: module nén các tập tin video từ hệ thống camera an ninh trong khách sạn; môđun theo dõi các cuộc giao tiếp từ điện thoại đến các mạng Wifi… Điều này giúp cho những kẻ tấn công biết rõ những người nào kết nối với các hệ thống bị nhiễm, cho phép nghe lén những cuộc điện đàm và đánh cắp hồ sơ điện tử. Virus cũng giúp nhóm hacker được cho là của Israel điều khiển các microphone 2 chiều trong các mạng thang máy, máy tính và báo động của khách sạn.

Ngoài ra, có khả năng mạng máy tính tại bàn tiếp tân của các khách sạn cũng bị xâm nhập để đánh cắp thông tin về số phòng lưu trú của thành viên các phái đoàn đàm phán hạt nhân. Duqu 2.0 cũng được thiết kế tự động lưu lại những file do thám nhỏ hơn trong các máy tính để nhóm hacker có thể giám sát chúng và thu thập dữ liệu khi quay lại về sau.

Cục Điều tra liên bang Mỹ (FBI) đang xem xét báo cáo và chưa khẳng định về kết luận của Kaspersky Lab. Tuy vậy, Kaspersky đã thông báo cho hãng C-Media để tăng cường bảo mật.

‹ › ×

Tin cùng chuyên mục

Tấn công mạng: Hiểm họa lớn đối với các tổ chức, doanh nghiệp

08:00 | 17/04/2024

Các chuyên gia bảo mật cảnh báo rằng thế giới đang phải đối mặt với sự phát triển của những công nghệ mới, mối đe dọa đang ngày càng gia tăng cả về phạm vi, lẫn cường độ của các cuộc tấn công.

Tin tặc Mustang Panda nhắm mục tiêu vào các quốc gia châu Á với biến thể mới của PlugX

09:00 | 06/03/2024

Tác nhân đe dọa liên quan đến Trung Quốc có tên là Mustang Panda đã nhắm mục tiêu vào nhiều quốc gia châu Á bằng cách sử dụng một biến thể mới của backdoor PlugX có tên là DOPLUGS.

Giải mã biến thể mới của phần mềm độc hại Bandook

09:00 | 29/01/2024

Các nhà nghiên cứu đến từ hãng bảo mật Fortinet (Mỹ) phát hiện một biến thể mới của Trojan truy cập từ xa có tên Bandook đang được phân phối thông qua các cuộc tấn công lừa đảo nhằm mục đích xâm nhập vào các máy tính Windows. Bài viết sẽ phân tích hành vi của Bandook, cung cấp thông tin chi tiết về các thành phần được sửa đổi trong biến thể mới và giải mã một số ví dụ về cơ chế giao tiếp máy chủ ra lệnh và điều khiển (C2) của phần mềm độc hại này.

Tập đoàn bán lẻ ô tô hàng đầu ở Australia bị tấn công mạng

08:00 | 08/01/2024

Eagers Automotive - Tập đoàn bán lẻ ô tô hàng đầu ở Australia và New Zealand xác nhận một sự cố tấn công mạng, gây ảnh hưởng đến một số hệ thống công nghệ thông tin khiến tập đoàn này phải tạm dừng mọi hoạt động giao dịch để ngăn chặn rò rỉ thông tin vào ngày 28/12 vừa qua.