Hoạt động phối hợp đa quốc gia
Cụ thể, Bộ Tư pháp Hoa Kỳ (DoJ) phối hợp cùng các quốc gia khác (Pháp, Đức, Phần Lan, Đan Mạch, Bồ Đào Nha và Ukraine) đã phá vỡ và thu giữ bốn tên miền độc hại cùng máy chủ liên quan của các tin tặc. Các tên miền này bao gồm AvCheck[.]net, Cryptor[.]biz và Crypt[.]guru. DoJ thông báo: “Các tên miền bị tịch thu cung cấp dịch vụ cho tội phạm mạng, bao gồm các công cụ diệt vi-rút (CAV). Khi được sử dụng kết hợp cùng nhau, CAV và các dịch vụ mã hóa cho phép tội phạm mạng che giấu phần mềm độc hại, khiến nó không thể phát hiện được và cho phép truy cập trái phép vào hệ thống máy tính”.
DoJ cho biết các nhà chức trách đã thực hiện các giao dịch mua bí mật để phân tích các dịch vụ và xác nhận rằng chúng đang được sử dụng cho hoạt động tội phạm mạng. Trong một thông báo được phối hợp, các quan chức Hà Lan mô tả AvCheck là một trong những dịch vụ CAV lớn nhất được những các tin tặc trên khắp thế giới sử dụng.
AvCheck[.]net tự quảng cáo là “công cụ kiểm tra thời gian quét phần mềm diệt virrus tốc độ cao”, cung cấp cho người dùng đã đăng ký khả năng quét tệp của họ trên 26 công cụ diệt virrus, cũng như tên miền và địa chỉ IP bằng 22 công cụ diệt virus và danh sách chặn.
Việc tịch thu tên miền được thực hiện như một phần của Chiến dịch Endgame, một nỗ lực toàn cầu đang diễn ra được triển khai vào năm 2024 để phá vỡ các hoạt động liên quan đến tội phạm mạng. Đây là hành động lớn thứ tư trong những tuần gần đây, sau khi Lumma Stealer, DanaBot và hàng trăm tên miền cùng máy chủ được nhiều nhóm tin tặc khác nhau sử dụng để phân phối mã độc tống tiền bị phá vỡ.
Douglas Williams, đặc vụ Cục Điều tra Liên bang Hoa Kỳ (FBI) cho biết: “Bằng cách lạm dụng các dịch vụ CAV, tin tặc đã điều chỉnh kỹ thuật của chúng để chống lại các hệ thống bảo mật tiên tiến hiện nay, để dễ dàng vượt qua tường lửa, trốn tránh phân tích điều tra số và phá hoại trên hệ thống của nạn nhân”.
Diễn biến liên quan
Sự phát triển này diễn ra sau khi hãng bảo mật eSentire (Canada) trình bày chi tiết về PureCrypter, một giải pháp phần mềm độc hại dưới dạng dịch vụ (MaaS) đang được sử dụng để phân phối những phần mềm đánh cắp thông tin như Lumma và Rhadamanthys, bằng cách sử dụng vectơ truy cập ban đầu của ClickFix.
Được quảng cáo trên Hackforums[.]net bởi một tác nhân đe dọa có tên PureCoder với giá 159 USD trong ba tháng, 399 USD trong một năm hoặc 799 USD để truy cập trọn đời, PureCrypter được phân phối thông qua Telegram.
Công ty an ninh mạng của Canada cho biết: “Phần mềm độc hại này sử dụng nhiều kỹ thuật trốn tránh bao gồm vượt qua AMSI, hủy liên kết DLL, phát hiện chống VM, các biện pháp chống gỡ lỗi và các khả năng mới được bổ sung để vượt qua các tính năng bảo mật 24H2 của Windows 11 thông qua bản vá API NtManageHotPatch”.
