Gallium còn có tên gọi khác là Soft Cell nổi tiếng với các cuộc tấn công nhắm mục tiêu vào các công ty viễn thông từ năm 2012. Nhóm tin tặc này được nhà nước hậu thuẫn có liên quan đến một loạt các cuộc tấn công nhắm vào 5 công ty viễn thông lớn ở Đông Nam Á kể từ năm 2017.
Tuy nhiên trong năm 2021, nhóm tin tặc này đã mở rộng phạm vi tấn công, bao gồm các tổ chức tài chính và các tổ chức chính phủ đặt tại Afghanistan, Australia, Bỉ, Campuchia, Malaysia, Mozambique, Philippines, Nga và cả Việt Nam.
Các nhà nghiên cứu cho biết PingPull là backdoor khó phát hiện vì nó sử dụng giao thức bản tin điều khiển Internet (Internet Control Message Protocol - ICMP) cho các giao tiếp lệnh và điều khiển (C&C).
PingPull dựa trên ngôn ngữ Visual C ++, giúp tin tặc có khả năng truy cập vào một reverse shell và chạy các lệnh tùy ý trên một máy chủ bị xâm nhập. Điều này bao gồm thao tác tệp, kiểm tra dung lượng lưu trữ và sửa đổi thuộc tính thời gian của tệp.
Các mẫu PingPull mà sử dụng giao thức ICMP Echo cho việc giao tiếp C&C sẽ giúp các gói truy vấn ICMP Echo (ping) kết nối được đến máy chủ C&C. Máy chủ C&C sau đó sẽ phản hồi các truy vấn Echo này bằng một gói Echo Reply để đưa ra các lệnh cho hệ thống.
Các biến thể PingPull cũng được xác định dựa trên HTTPS và TCP để giao tiếp với máy chủ C&C thay vì giao thức ICMP và hơn 170 địa chỉ IP được liên kết với nhóm tin tặc Gallium từ cuối năm 2020.
Chưa rõ các mạng lưới mục tiêu bị xâm phạm như thế nào, nhưng kẻ tấn công đã khai thác các ứng dụng có kết nối Internet để giành quyền truy cập ban đầu và triển khai phiên bản đã được sửa đổi của web shell Chopper đến từ Trung Quốc nhằm duy trì sự tồn tại trên hệ thống.
Các nhà nghiên cứu lưu ý: “Gallium vẫn là mối đe dọa nguy hiểm đối với các ngành viễn thông, tài chính và các tổ chức chính phủ Đông Nam Á, Châu Âu và Châu Phi. Mặc dù việc sử dụng giao thức ICMP không phải là một kỹ thuật mới, nhưng PingPull khiến cho việc phát hiện các kết nối giao tiếp C&C trở nên khó khăn hơn, vì rất ít tổ chức thực hiện kiểm tra lưu lượng ICMP trên mạng của họ".
Lê Phượng
14:00 | 06/06/2022
10:00 | 14/06/2022
14:00 | 20/05/2022
09:00 | 13/06/2022
DLL Side-Loading là một trong những kỹ thuật của DLL Hijacking được các tin tặc lợi dụng bằng cách thêm vào tính năng cho mã độc nhằm mục đích vượt qua chương trình diệt virus và các công cụ bảo mật của Windows. Bằng cách chiếm đoạt thứ tự tìm kiếm DLL của một ứng dụng hợp pháp, DLL chứa mã độc sẽ được gọi ngay khi ứng dụng đó được mở. Khi đó, mã độc sẽ được kích hoạt một cách hợp pháp trên máy tính nạn nhân. Tin tặc có thể lợi dụng phương pháp này để tiến hành tấn công vào các cơ quan, tổ chức để đánh cắp thông tin, dữ liệu quan trọng. Bài báo đưa ra phương pháp tiêm mã độc vào DLL của một ứng dụng hợp lệ, có chữ ký số của Microsoft.
13:00 | 01/06/2022
Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) thuộc Cục An toàn thông tin, Bộ TT&TT cho biết, thời gian vừa qua, cơ quan này thường xuyên nhận được phản ánh từ người dân về việc họ nhận được các cuộc gọi giả mạo. Theo đó Cục khuyến nghị, người dân có thể nâng cao kiến thức và mức độ nhận diện để tránh trở thành nạn nhân của các cuộc gọi lừa đảo bằng việc xem các video kể về quá trình bị lừa đảo của một số YouTuber.
15:00 | 15/04/2022
Ngày 12/4, RaidForums - một diễn đàn khét tiếng là nơi mua bán công khai cơ sở dữ liệu được đánh cắp từ khắp nơi trên thế giới đã bị lực lượng thực thi pháp luật của Mỹ đóng cửa và thu hồi các tên miền trong chiến dịch có tên TOURNIQUET.
17:00 | 01/04/2022
Các nhà nghiên cứu của công cụ tìm kiếm Internet Censys mới đưa ra báo cáo về việc các thiết bị QNAP đã bị nhắm mục tiêu trong một làn sóng tấn công bằng mã độc tống tiền DeadBolt mới.
17:00 | 10/06/2022 | Giải pháp khác
09:00 | 09/06/2022 | Chính sách - Chiến lược
09:00 | 09/06/2022|Hacker / Malware
09:00 | 09/06/2022|Giải pháp khác
14:00 | 03/06/2022|Hacker / Malware
09:00 | 25/05/2022|An toàn thông tin
Nhà cung cấp phần cứng QNAP (Đài Loan) đưa ra cảnh báo tới khách hàng về việc một số thiết bị ổ cứng kết nối mạng NAS (với cấu hình không phải mặc định) bị ảnh hưởng bởi một lỗ hổng nghiêm trọng trong PHP dẫn đến thực thi mã từ xa.
08:00 | 29/06/2022
