Một chiến dịch tấn công mạng gần đây phát tán tệp LNK độc hại qua WhatsApp với URL tiếng Bồ Đào Nha, nhắm mục tiêu cụ thể vào các nạn nhân tại Brazil. Để tránh bị phát hiện, máy chủ điều khiển và ra lệnh (C2) của kẻ tấn công sẽ xác minh từng lượt tải xuống để đảm bảo nó đến từ chính phần mềm độc hại. Toàn bộ chuỗi lây nhiễm này với mục đích cuối cùng là phát tán Trojan ngân hàng mới có tên Maverick, chứa nhiều code trùng lặp với mã độc Coyote. Dựa trên báo cáo của Kaspersky, bài viết sẽ trình bày chi tiết toàn bộ chuỗi tấn công, thuật toán mã hóa và các mục tiêu của chiến dịch, cũng như thảo luận về những điểm tương đồng với các mối đe dọa đã biết.

Vào tháng 9/2024, Kaspersky đã phát hiện hoạt động tấn công mạng nhắm vào các công ty tài chính (giao dịch và môi giới) thông qua việc phân phối các tệp .scr (trình bảo vệ màn hình) độc hại được ngụy trang thành tài liệu qua Skype Messenger. Kẻ tấn công đã phân phối một Trojan truy cập từ xa (RAT) mới có tên là GodRAT, dựa trên codebase của Gh0st RAT. Để tránh bị phát hiện, kẻ tấn công sử dụng kỹ thuật steganography (ẩn mã) để nhúng shellcode vào tệp hình ảnh. Shellcode này tải xuống GodRAT từ máy chủ điều khiển và ra lệnh do tin tặc kiểm soát (C2).

DanaBot là một loại mã độc mạnh mẽ được viết bằng Delphi với khả năng theo dõi thao tác bàn phím, chụp ảnh màn hình, quay video màn hình nền của nạn nhân, đánh cắp các tệp tin, đưa nội dung tùy ý vào trình duyệt web và triển khai phần mềm độc hại giai đoạn thứ hai. Mã độc này vận hành dựa trên nền tảng Malware-as-a-Service (MaaS), cho phép kẻ tấn công thực hiện nhiều cuộc tấn công mạng khác nhau. DanaBot triển khai một giao thức nhị phân tùy chỉnh được mã hóa bằng RSA 1.024 bit và AES 256 bit ở chế độ CBC. Các máy chủ điều khiển và ra lệnh (C2) được mã hóa cứng, nhưng Tor có thể được sử dụng làm kênh truyền thông dự phòng. Bài viết này sẽ cùng khám phá cơ chế hoạt động của dòng mã độc nguy hiểm này, dựa trên báo cáo của công ty bảo mật đám mây Zscaler (Mỹ).