Tin tặc tấn công chủ đích lây nhiễm mã độc Slingshot qua các router

13:00 | 19/03/2018 | HACKER / MALWARE

Các nhà nghiên cứu tại Kaspersky đã xác nhận, một nhóm tin tặc đã sử dụng phương thức tấn công chủ đích một cách tinh vi từ năm 2012 mà chưa từng bị phát hiện.

Tin tặc tấn công chủ đích lây nhiễm mã độc Slingshot qua các router

Nhóm tin tặc này sử dụng mã độc Slingshot để lây nhiễm cho hàng trăm nghìn nạn nhân tại Trung Đông và châu Phi bằng cách khai thác một lỗ hổng trong các router từ nhà cung cấp phần cứng mạng Mikrotik (Lavia, Phần Lan), bước đầu là bí mật phát tán phần mềm gián điệp qua máy tính nạn nhân.

Khi router bị xâm chiếm, kẻ tấn công sẽ thay một file trong thư viện liên kết động (Dynamic Link Library - DDL) bằng một mã độc từ file trên hệ thống, tải trực tiếp vào bộ nhớ máy tính của nạn nhân khi người dùng chạy phần mềm Winbox Loader.

Winbox Loader là một công cụ quản lý hợp pháp do Mikrotik thiết kế cho người dùng Windows dễ dàng cấu hình các router của họ để tải các file DLL từ router và thực thi chúng trên hệ thống.

Bằng cách này, mã độc có trong file DLL sẽ chạy trên máy tính mục tiêu, kết nối đến một máy chủ từ xa để tải về payload.

Mã độc Slingshot bao gồm 2 môđun là: Cahnadr (chế độ nhân) và GollumApp (chế độ người dùng), được thiết kế để thu thập, lưu thông tin và lọc dữ liệu.

Cahnadr hay aka NDriver phụ trách chống sửa lỗi (debug), ẩn giấu mã độc và chức năng phòng chống các kiểu tấn công (sniffing), lây nhiễm các môđun khác, giao tiếp mạng được yêu cầu theo chế độ người dùng.

Trong khi đó, GollumApp là môđun có chức năng thực hiện hành vi gián điệp trong phạm vi rộng, cho phép kẻ tấn công chụp ảnh màn hình, thu thập các thông tin liên quan trong mạng, mật khẩu được lưu trữ trên trình duyệt web, duy trì giao tiếp với các máy chủ C&C từ xa.

Khi GollumApp chạy chế độ nhân và có thể chạy các tiến trình mới với đặc quyền SYSTEM, mã độc sẽ trao toàn quyền kiểm soát của hệ thống bị lây nhiễm cho tin tặc.

Mặc dù các nhà nghiên cứu Kaspersky không cho biết nguồn gốc nhóm tin tặc này nhưng dựa trên các kỹ thuật thông minh mà họ sử dụng và các mục tiêu thì công ty an ninh đã kết luận rằng, đây chắc chắn là tin tặc do nhà nước bảo trợ, nói tiếng Anh có kỹ năng cao.

Nạn nhân phần lớn là các cá nhân và tổ chức chính phủ của nhiều quốc gia khác nhau như: Kenya, Yemen, Libya, Afghanistan, Iraq, Tanzania, Jordan, Mauritius, Somalia, Cộng hoà Congo, Thổ Nhĩ Kỹ, Sudan và các Tiểu vương quốc ả Rập thống nhất (United Arab Emirates – UAE).

Hồng Loan

Theo The Hacker News

‹ › ×

Tin liên quan

Tổng quan các giải pháp, thiết bị chống tấn công chủ đích

13:00 | 28/06/2018

Các cuộc tấn công chủ đích (Advanced Persistent Threat – APT) ngày càng trở nên nhanh và tinh vi hơn. Để phát hiện và chống lại những cuộc tấn công này, cần sự phối hợp giữa nhiều biện pháp bảo vệ khác nhau. Hiện nay, thị trường an toàn thông tin cũng đã cung cấp các giải pháp đồng bộ nhằm chống lại tấn công có chủ đích.

Mối nguy hiểm từ các router giá rẻ

13:00 | 14/12/2020

Các router giá rẻ đến từ những nhà sản xuất có nguồn gốc Trung Quốc đang là sự lựa chọn ưu tiên của người tiêu dùng trên các sàn thương mại điện tử, bởi giá thành rẻ và chất lượng khá tốt. Tuy nhiên, ít người biết rằng độ an toàn của các thiết bị này lại rất kém.

Biến thể botnet mới nhắm mục tiêu các router ASUS

14:00 | 28/03/2022

Hãng bảo mật Trend Micro phát hiện các router ASUS trở thành mục tiêu của mạng botnet mới có tên gọi Cyclops Blink. Trước đó, các chuyên gia phát hiện mã độc này đã lạm dụng các thiết bị tường lửa của một số hãng như một bước đệm để truy cập từ xa vào các mạng bị xâm nhập.

7 bước bảo mật hữu hiệu cho bộ định tuyến Wifi

02:00 | 30/10/2019

Việc thiết lập một bộ định tuyến tại gia đình là tương đối phức tạp đối với một số người dùng thông thường. Để việc thiết lập trở nên dễ dàng hơn, các nhà sản xuất bộ định tuyến đã thêm vào các nút bấm để thiết lập mặc định. Tuy nhiên, những thiết lập mặc định này hoàn toàn không đảm bảo được an toàn cho người dùng. Bài viết dưới đây của kaspersky.proguide sẽ giúp người dùng thực hiện những bước bảo mật an toàn cho bộ định tuyến.

Tin cùng chuyên mục

Lỗ hổng Kubernetes cho phép thực thi mã từ xa trên điểm cuối Windows

09:00 | 01/04/2024

Vừa qua, công ty bảo mật đám mây Akamai (Mỹ) đã đưa ra cảnh báo về việc khai thác lỗ hổng Kubernetes ở mức độ nghiêm trọng cao, có thể dẫn đến việc thực thi mã tùy ý với các đặc quyền hệ thống trên tất cả các điểm cuối Windows trong một cụm (cluster).

Tin tặc Earth Krahang của Trung Quốc xâm nhập 70 tổ chức tại 23 quốc gia

13:00 | 28/03/2024

Một chiến dịch tấn công tinh vi được cho là do nhóm tin tặc APT của Trung Quốc có tên Earth Krahang thực hiện, chúng đã xâm nhập 70 tổ chức tại 23 quốc gia và nhắm mục tiêu vào ít nhất 116 tổ chức của 45 quốc gia khác trên thế giới.

Vụ Công ty chứng khoán VNDIRECT bị tấn công, có thể là do mã độc tống tiền

16:00 | 26/03/2024

Theo nhận định của các chuyên gia, Công ty chứng khoán VNDIRECT có thể đã bị tin tặc tấn công bằng hình thức mã độc tống tiền. Cho đến chiều 26/3, hệ thống của VNDIRECT và một số hệ thống liên quan vẫn trong trạng thái ngừng trệ hoạt động.

Dự đoán phần mềm tội phạm và các mối đe dọa tài chính vào năm 2024

09:00 | 28/02/2024

Đội ngũ chuyên gia an ninh mạng tại Kaspersky liên tục theo dõi sự phức tạp của các mối đe dọa đối với tổ chức tài chính, bao gồm cả ngân hàng và các mối đe dọa có động cơ tài chính như phần mềm tống tiền đang lan rộng đến nhiều ngành công nghiệp khác nhau. Trong bài viết này, các chuyên gia bảo mật Kaspersky sẽ đánh giá lại các dự đoán của họ trong năm 2023 và đưa ra những xu hướng dự kiến sẽ nổi lên trong năm 2024.