Emotet nhắm mục tiêu vào các nền tảng Windows để phát tán phần mềm độc hại và được coi là một trong những mối đe dọa tội phạm mạng phổ biến nhất trước khi bị các cơ quan thực thi pháp luật toàn cầu phá vỡ vào tháng 1/2021.
Sau 10 tháng gián đoạn, nó đã hoạt động trở lại mạnh mẽ hơn từ tháng 11/2021 và nhắm mục tiêu đến hàng nghìn người dùng với hàng chục nghìn tin nhắn ở các quốc gia khác nhau, với hơn một triệu tin nhắn được gửi đi trong mỗi chiến dịch trong một số trường hợp nhất định.
Tuy nhiên, một loạt các hoạt động được phát hiện trong khoảng thời gian từ ngày 4/4 đến ngày 19/4/2022 đã cho thấy một sự khác biệt đáng kể so với các hành vi tấn công điển hình của Emotet. Các chuyên gia cho rằng các vụ tấn công này là do nhóm tội phạm mạng TA542 (hay còn gọi là Mummy Spider hoặc Gold Crestwood) thực hiện. Hoạt động được diễn ra khi các chiến dịch phát tán Emotet quy mô lớn khác bị tạm dừng hoạt động.
Theo Proofpoint, chiến dịch email với quy mô nhỏ này liên quan đến việc sử dụng các nội dung phát tán theo chủ đề tiền lương và các email được nhắm mục tiêu chỉ chứa URL OneDrive chứ không có nội dung nào khác. Các URL OneDrive lưu trữ các tệp nén ZIP có chứa các tệp Microsoft Excel Add-in (XLL) khi được thực thi, mã độc phân phối Emotet sẽ bắt đầu hoạt động.
Phương thức lây lan sử dụng macro trong các tệp Microsoft Word và Exel đã không còn được sử dụng. Điều này cho thấy, tin tặc đang tích cực thay đổi và phát triển các cách thức tấn công mới để đối phó với kế hoạch chặn macro VBA của Microsoft theo mặc định bắt đầu từ tháng 4/2022.
Chia sẻ về những phát hiện này, Sherrod DeGrippo, Phó Chủ tịch Nghiên cứu và Phát hiện mối đe dọa tại Proofpoint cho biết: "Sau nhiều tháng hoạt động ổn định, Emotet đang chuyển đổi mọi thứ. Có khả năng tin tặc đang thử nghiệm các kỹ thuật mới ở quy mô nhỏ trước khi phân phối chúng đến nạn nhân trên phạm vi rộng hơn hoặc phân phối thông qua các TTP mới cùng với các chiến dịch quy mô lớn hơn. Các tổ chức nên biết các kỹ thuật mới và cần thực hiện triển khai các biện pháp phòng thủ cho phù hợp".
Nguyễn Chân
11:00 | 08/02/2021
09:54 | 07/08/2017
13:00 | 02/08/2022
17:00 | 20/06/2022
15:00 | 27/06/2022
14:00 | 19/07/2022
12:00 | 12/08/2022
10:00 | 08/04/2022
13:00 | 07/02/2024
Vừa qua, Trung tâm ứng cứu khẩn cấp máy tính Ukraine (CERT-UA) phát cảnh báo về việc hơn 2.000 máy tính ở nước này đã bị lây nhiễm một loại phần mềm độc hại có tên là DirtyMoe.
08:00 | 06/02/2024
GitLab vừa phát hành các bản vá lỗi để giải quyết một lỗ hổng bảo mật nghiêm trọng trong phiên bản dành cho cộng đồng (CE) và phiên bản dành cho doanh nghiệp (EE). Lỗ hổng có thể bị khai thác để ghi các tệp tùy ý trong khi tạo workspace.
08:00 | 11/01/2024
Các nhà nghiên cứu bảo mật từ Đại học Ruhr Bochum (Đức) phát hiện ra một lỗ hổng trong giao thức mạng mật mã Secure Shell (SSH) có thể cho phép kẻ tấn công hạ cấp bảo mật của kết nối bằng cách phá vỡ tính toàn vẹn của kênh an toàn.
12:00 | 15/12/2023
Các nhà nghiên cứu của công ty an ninh mạng Cisco Talos gần đây đã phát hiện một chiến dịch độc hại có khả năng bắt đầu từ tháng 8/2023, phát tán một Trojan truy cập từ xa (RAT) mới có tên gọi là “SugarGh0st”. Cisco Talos cho biết các tin tặc nhắm mục tiêu vào Bộ Ngoại giao Uzbekistan và người dùng tại Hàn Quốc đồng thời quy kết hoạt động này cho tin tặc Trung Quốc.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Các nhà nghiên cứu tại tổ chức bảo mật phi lợi nhuận Shadowserver Foundation (California) cho biết hàng nghìn thiết bị Ivanti VPN kết nối với Internet có khả năng bị ảnh hưởng bởi một lỗ hổng thực thi mã từ xa.
08:00 | 17/04/2024
