Cloud9 thực chất là một trojan truy cập từ xa (RAT) trên trình duyệt Chromium, bao gồm cả Google Chrome và Microsoft Edge, cho phép tin tặc thực hiện các lệnh tùy ý từ xa. Tiện ích mở rộng này không có sẵn trên cửa hàng Chrome trực tuyến chính thức mà được phân phối thông qua các kênh thay thế, chẳng hạn như các trang web phát hành bản cập nhật Adobe Flash Player giả mạo.
Tiện ích mở rộng độc hại được phân phối qua Adobe Flash Player giả mạo
Cloud9 có khả năng tạo backdoor trên các trình duyệt Chromium để thực hiện một danh sách mở rộng các chức năng và khả năng độc hại. Nó bao gồm 3 tệp JavaScript để thu thập thông tin hệ thống, khai thác tiền điện tử bằng cách sử dụng tài nguyên của máy chủ, thực hiện các cuộc tấn công DDoS và chèn các tập lệnh chạy khai thác trình duyệt.
Zimperium nhận thấy tiện ích này khai thác các lỗ hổng CVE-2019-11708 và CVE-2019-9810 trong Firefox, CVE-2014-6332 và CVE-2016-0189 trên Internet Explorer và CVE-2016-7200 đối với Edge. Những lỗ hổng này được sử dụng để tự động cài đặt và thực thi phần mềm độc hại của Windows trên máy chủ, cho phép tin tặc tiến hành các cuộc xâm nhập hệ thống.
Tuy nhiên, ngay cả khi không có thành phần độc hại này, tiện ích mở rộng Cloud9 có thể đánh cắp cookie từ trình duyệt bị xâm nhập, từ đó các tin tặc có thể sử dụng để chiếm đoạt các phiên hợp lệ và tài khoản của người dùng.
Mã nguồn đánh cắp cookie của trình duyệt
Ngoài ra, phần mềm độc hại còn có tính năng keylogger để ghi lại và theo dõi các thao tác người dùng thực hiện trên bàn phím nhằm đánh cắp mật khẩu và các thông tin nhạy cảm khác.
Một môđun “clipper” cũng có trong tiện ích mở rộng Cloud9, nó liên tục giám sát bộ nhớ đệm tạm thời của hệ thống để tìm mật khẩu hoặc thẻ tín dụng được sao chép.
Mã nguồn mô-đun clipper của Cloud9
Cloud9 cũng có thể chèn quảng cáo bằng cách tải các trang web một cách âm thầm để tạo ra số lần hiển thị quảng cáo. Từ đó, tiện ích này mang lại doanh thu cho các nhà phát triển của nó. Cuối cùng, phần mềm độc hại có thể lợi dụng máy chủ để thực hiện các cuộc tấn công DDoS ở lớp 7 thông qua các yêu cầu HTTP POST đến mục tiêu.
“Các cuộc tấn công ở lớp 7 thường rất khó phát hiện vì kết nối TCP trông rất giống với các yêu cầu hợp lệ. Các tin tặc có khả năng sử dụng mạng botnet này để cung cấp dịch vụ thực hiện tấn công DDoS”, Zimperium nhận xét.
Các tin tặc đứng sau Cloud9 được cho là có liên hệ với nhóm phần mềm độc hại Keksec, vì các miền C2 được sử dụng trong chiến dịch gần đây đã được phát hiện trong các cuộc tấn công trước đó của Keksec Keksec được xác định là nhóm phát triển nhiều mạng lưới botnet, bao gồm: EnemyBot, Tsunamy, Gafgyt, DarkHTTP, DarkIRC và Necro. Bên cạnh đó, việc quảng bá công khai Cloud9 trên các diễn đàn tội phạm mạng khiến Zimperium tin rằng Keksec có khả năng bán hoặc cho các nhà khai thác khác thuê nó.
Hồng Đạt
10:00 | 19/09/2022
11:00 | 19/04/2023
22:00 | 15/08/2022
14:00 | 22/06/2023
09:00 | 25/12/2023
16:00 | 19/12/2023
21:00 | 12/12/2022
10:00 | 03/10/2022
13:00 | 02/12/2022
10:00 | 22/04/2024
Trong một xu hướng đáng lo ngại được Bitdefender Labs (Hoa Kỳ) phát hiện gần đây, tin tặc đang tận dụng sự quan tâm ngày càng tăng đối với AI để phát tán các phần mềm độc hại tinh vi. Những kẻ tấn công này đang tung ra các chiến dịch quảng cáo độc hại trên mạng xã hội, giả dạng các dịch vụ AI phổ biến như Midjourney, DALL-E và ChatGPT để đánh lừa người dùng.
09:00 | 08/03/2024
Thông tin chi tiết về một lỗ hổng có độ nghiêm trọng mức cao trong ứng dụng Shortcut của Apple đã được công bố, trong đó lỗ hổng có thể cho phép một Shortcut truy cập thông tin nhạy cảm trên thiết bị mà không có sự đồng ý của người dùng.
08:00 | 10/02/2024
Các nhà nghiên cứu an ninh mạng của hãng bảo mật Fortinet (Mỹ) đã xác định được các gói độc hại trên kho lưu trữ Python Package Index (PyPI) mã nguồn mở nhằm phân phối phần mềm độc hại đánh cắp thông tin có tên là WhiteSnake trên hệ thống Windows. Bài viết này tập trung phân tích một số payload trên các gói trong kho lưu trữ PyPI.
13:00 | 17/01/2024
Các nhà cung cấp dịch vụ viễn thông, truyền thông, Internet, các nhà cung cấp dịch vụ công nghệ thông tin (CNTT) và các trang web của người Kurd ở Hà Lan đã trở thành mục tiêu của một chiến dịch gián điệp mạng mới được thực hiện bởi một nhóm tin tặc Türkiye-nexus có tên là (Rùa biển).
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Các nhà nghiên cứu tại tổ chức bảo mật phi lợi nhuận Shadowserver Foundation (California) cho biết hàng nghìn thiết bị Ivanti VPN kết nối với Internet có khả năng bị ảnh hưởng bởi một lỗ hổng thực thi mã từ xa.
08:00 | 17/04/2024
