Tháng Năm 4, 2024
An ninh mạng

Tin tặc Trung Quốc sử dụng chuỗi lây nhiễm lén lút mới để triển khai phần mềm độc hại LODEINFO

Tác nhân đe dọa do nhà nước Trung Quốc tài trợ nhắm mục tiêu vào các tổ chức truyền thông, ngoại giao, chính phủ và khu vực công và các viện nghiên cứu ở Nhật Bản

Stone Panda, tác nhân đe dọa do nhà nước Trung Quốc tài trợ, đã được quan sát thấy đang sử dụng một chuỗi lây nhiễm lén lút mới trong các cuộc tấn công nhằm vào các thực thể Nhật Bản.

Các mục tiêu bao gồm các tổ chức truyền thông, ngoại giao, chính phủ và khu vực công cũng như các nhóm chuyên gia cố vấn ở Nhật Bản, theo hai báo cáo do Kaspersky công bố.

Stone Panda, còn được gọi là APT10, Bronze Riverside, Cicada và Kali, là một nhóm gián điệp mạng được biết đến với các cuộc xâm nhập chống lại các tổ chức được xác định là có ý nghĩa chiến lược đối với Trung Quốc. Kẻ đe dọa được cho là đã hoạt động ít nhất từ năm 2009.

Nhóm các cuộc tấn công mới nhất được phát hiện trong khoảng thời gian từ tháng 3 đến tháng 6 năm 2022. Các cuộc tấn công được quan sát liên quan đến việc sử dụng tệp Microsoft Word không có thật và tệp lưu trữ tự giải nén (SFX) ở định dạng RAR được lan truyền qua email lừa đảo trực tuyến, dẫn đến việc thực thi một cửa hậu có tên là LODEINFO.

Tin tặc Trung Quốc sử dụng chuỗi lây nhiễm lén lút mới để triển khai Phần mềm độc hại LODEINFO
Nguồn hình ảnh <a href="/vi/httpssecurelistcomapt10/" tracking down lodeinfo 2022 part i107742>danh sách bảo mật<a>

Mặc dù maldoc yêu cầu người dùng bật macro để kích hoạt killchain, nhưng chiến dịch tháng 6 năm 2022 đã loại bỏ phương pháp này để thay thế bằng tệp SFX, khi được thực thi, sẽ hiển thị một tài liệu Word mồi nhử vô hại để che giấu các hoạt động độc hại.

Macro, sau khi được bật, sẽ xóa một kho lưu trữ ZIP chứa hai tệp, một trong số đó (“NRTOLF.exe”) là tệp thực thi hợp pháp từ phần mềm K7Security Suite, sau đó được sử dụng để tải DLL giả mạo (“K7SysMn1.dll”) qua DLL phụ tải.

Bỏ qua việc lạm dụng ứng dụng bảo mật, Kaspersky cho biết họ cũng đã phát hiện ra vào tháng 6 năm 2022 một phương thức lây nhiễm ban đầu khác, trong đó một tệp Microsoft Word được bảo vệ bằng mật khẩu hoạt động như một đường dẫn để cung cấp một trình tải xuống không cần tệp có tên là DOWNIISSA khi bật macro.

“Macro được nhúng tạo ra mã shell DOWNIISSA và đưa nó vào quy trình hiện tại (WINWORD.exe)”, công ty an ninh mạng của Nga cho biết.

DOWNIISSA được định cấu hình để giao tiếp với máy chủ từ xa được mã hóa cứng, sử dụng máy chủ này để truy xuất tải trọng BLOB được mã hóa của LODEINFO, một cửa hậu có khả năng thực thi shellcode tùy ý, chụp ảnh màn hình và trích xuất các tệp trở lại máy chủ.
Phần mềm độc hại này, lần đầu tiên được nhìn thấy vào năm 2019, đã trải qua nhiều cải tiến, với việc Kaspersky đã xác định được sáu phiên bản khác nhau vào tháng 3, tháng 4, tháng 6 và tháng 9 năm 2022.

Những thay đổi bao gồm các kỹ thuật trốn tránh nâng cao để bay dưới radar, tạm dừng thực thi trên các máy có ngôn ngữ “en_US”, sửa đổi danh sách các lệnh được hỗ trợ và mở rộng hỗ trợ cho kiến trúc Intel 64-bit.

Các nhà nghiên cứu kết luận: “Phần mềm độc hại LODEINFO được cập nhật rất thường xuyên và tiếp tục nhắm mục tiêu tích cực vào các tổ chức Nhật Bản.

“Các TTP được cập nhật và các cải tiến trong LODEINFO và phần mềm độc hại có liên quan cho thấy kẻ tấn công đặc biệt tập trung vào việc phát hiện, phân tích

Trả lời

Email của bạn sẽ không được hiển thị công khai. Các trường bắt buộc được đánh dấu *

viTiếng Việt