Công ty an ninh mạng Mandiant của Mỹ cho biết, các hoạt động tấn công này là một phần của chiến dịch lớn được thiết kế để triển khai tấn công trên các giải pháp của Fortinet và Vmware, đồng thời duy trì quyền truy cập liên tục vào môi trường của nạn nhân.
Công ty ứng phó sự cố và tình báo mối đe dọa thuộc sở hữu của Google đang theo dõi hoạt động tấn công dưới tên gọi UNC3886 và mô tả nó như một tác nhận đe dọa mối quan hệ với Trung Quốc.
Trong một phân tích kỹ thuật, các nhà nghiên cứu của Mandiant cho biết: “UNC3886 là một nhóm gián điệp mạng tiên tiến với các khả năng độc đáo về cách thức hoạt động trên mạng cũng như các công cụ mà chúng sử dụng trong các chiến dịch của mình. UNC3886 đã được quan sát nhắm mục tiêu vào các công nghệ tường lửa và ảo hóa thiếu hỗ trợ EDR. Khả năng thao túng tường lửa cơ sở và khai thác lỗ hổng zero-day của nhóm tin tặc cho thấy chúng đã có mức độ hiểu biết sâu về các công nghệ đó”.
Trước đó, nhóm tin tặc này đã cùng với một nhóm khác nhắm mục tiêu vào các máy chủ VMware ESXi và Linux vCenter như một phần của chiến dịch siêu tấn công, được thiết kể để loại bỏ các đường đột nhập như VIRTUALPITA và VIRTUALPIE.
Các tổ chức chính phủ và tổ chức lớn đã trở thành nạn nhân của một tác nhân đe dọa không xác định bằng cách tận dụng lỗ hổng zero-day trong phần mềm Fortinet FortiOS để đánh cắp dữ liệu, làm hỏng hệ điều hành và tệp. Lỗ hổng này có định danh CVS-2022-41328 liên quan đến lỗi truyền tải đường dẫn trong FortiOS có thể dẫn đến thực thi mã tùy ý. Lỗ hổng này đã được Fortinet vá vào ngày 7/3/2023.
Cũng theo Mandiant, các cuộc tấn công do UNC3886 thực hiện đã nhắm vào các thiết bị FortiGate, FortiManager và FortiAnalyzer của Fortinet để triển khai 2 bộ mã độc THINCRUST và CASTLETAP khi các thiết bị này kết nối với internet.
Vòng đời tấn công khi FortiManager kết nối với internet
THINCRUST là mã độc viết bằng Python có khả năng thực thi các lệnh tùy ý cũng như đọc và ghi các tệp trên ổ đĩa. Sự bền bỉ mà THINCRUST cung cấp sau đó được tận dụng để cung cấp các tập lệnh FortiManager khai thác lỗ hổng truyền tải đường dẫn FortiOS để ghi đè lên các tệp hợp pháp và sửa đổi hình ảnh của chương trình cơ sở. Điều này bao gồm cả mã độc CASTLETAP được thêm vào có tên “/bin/fgfm” báo hiệu cho máy chủ chấp nhận các lệnh đến, cho phép nó chạy lệnh và lọc dữ liệu từ máy chủ bị xâm phạm.
Hành vi của TABLEFLIP
Các nhà nghiên cứu giải thích: “Sau khi CASTLETAP được triển khai cho tường lửa FortiGate, tác nhân đe dọa đã kết nối với các máy ESXi và vCenter, cho phép tiếp tục truy cập vào các trình ảo hóa và máy khách”.
Ngoài ra, trên các thiết bị FortiManager triển khai các hạn chế truy cập internet, tác nhân đe dọa được cho là từ tường lửa FortiGate bị xâm phạm bằng CASTLETAP để cấy vào một mã độc có tên REPTILE (“/bin/klogd”) trên hệ thống quản lý mạng để lấy lại quyền truy cập.
Cũng được UNC3886 sử dụng ở giai đoạn này là một tiện ích có tên là TABLEFLIP, một phần mềm chuyển hướng lưu lượng mạng để kết nối trực tiếp với thiết bị FortiManager bất kể quy tắc danh sách kiểm soát truy cập (ACL) được áp dụng.
Đây không phải là lần đầu tiên các nhóm tin tặc của Trung Quốc nhắm mục tiêu vào thiết bị mạng để phân phối phần mềm độc hại riêng biệt, với các cuộc tấn công gần đây chúng đã lợi dụng các lỗ hổng khác trong thiết bị Fortinet và SonicWall.
Theo Rapid7, các tác nhân đe dọa đang phát triển và khai khai thác nhanh hơn bao giờ hết, với 28 lỗ hổng bị khai thác trong vòng bảy ngày kể từ ngày tiết lộ công khai tăng 12% so với năm 2021 và tăng 87% so với năm 2020.
Các nhóm tin tặc có liên kết với Trung Quốc đã trở nên thành thạo trong việc khai thác các lỗ hổng zero-day và triển khai phần mềm độc hại tùy chỉnh để đánh cắp thông tin đăng nhập của người dùng và duy trì quyền truy cập lâu dài vào các mạng mục tiêu.
Theo Mandiant, đây là bằng chứng cho thấy các tác nhân đe dọa gián điệp mạng tiên tiến đang lợi dụng bất kỳ công nghệ nào có sẵn để tồn tại và vượt qua môi trường mục tiêu, đặc biệt là những công nghệ không hỗ trợ giải pháp EDR.
Bùi Thanh (Theo The Hacker News)
08:00 | 05/04/2021
17:00 | 11/08/2023
09:00 | 06/06/2023
13:00 | 09/12/2020
14:00 | 14/06/2023
15:00 | 20/09/2023
22:00 | 28/09/2023
09:00 | 05/02/2024
08:00 | 24/10/2023
10:00 | 13/05/2020
07:00 | 22/05/2023
14:00 | 19/02/2024
Tin tặc có thể giành quyền truy cập root trên nhiều bản phân phối chính của Linux trong cấu hình mặc định bằng cách khai thác lỗ hổng leo thang đặc quyền cục bộ mới được tiết lộ trong Thư viện GNU C (glibc).
08:00 | 10/02/2024
Các nhà nghiên cứu an ninh mạng của hãng bảo mật Fortinet (Mỹ) đã xác định được các gói độc hại trên kho lưu trữ Python Package Index (PyPI) mã nguồn mở nhằm phân phối phần mềm độc hại đánh cắp thông tin có tên là WhiteSnake trên hệ thống Windows. Bài viết này tập trung phân tích một số payload trên các gói trong kho lưu trữ PyPI.
09:00 | 24/11/2023
Phân tích mới đây của công ty nghiên cứu bảo mật Blackwing Intelligence (Mỹ) cho biết nhiều lỗ hổng có thể bị khai thác để vượt qua xác thực Windows Hello trên máy tính xách tay Dell Inspiron 15, Lenovo ThinkPad T14 và Microsoft Surface Pro X. Các nhà nghiên cứu đã tìm ra điểm yếu trong cảm biến vân tay của Goodix, Synaptics và ELAN được nhúng vào thiết bị.
10:00 | 22/11/2023
Các nhà nghiên cứu an ninh mạng của Palo Alto Networks Unit 42 (Đơn vị 42) đã phát hiện ra các hoạt động mạng độc hại do các nhóm tin tặc nổi tiếng của Trung Quốc dàn dựng nhằm vào 24 tổ chức thuộc chính phủ Campuchia.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Công ty an ninh mạng Palo Alto Networks (Mỹ) chuyên cung cấp giải pháp tường lửa cảnh báo một lỗ hổng zero-day nghiêm trọng mới, với điểm CVSS tối đa 10/10. Nếu bị khai thác, kẻ tấn công có thể thực thi mã tùy ý với đặc quyền root mà không cần xác thực.
15:00 | 16/04/2024
