Theo William Gamazo và Nathaniel Quist, hai nhà nghiên cứu từ Đơn vị 42 của công ty an ninh mạng Palo Alto Networks (Hoa Kỳ) cho biết: “PURPLEURCHIN mang đặc điểm của một chiến dịch Freejacking điển hình, đó là nhắm mục tiêu chủ yếu vào các nền tảng đám mây cung cấp các bản dùng thử tài nguyên trong thời gian giới hạn để thực hiện các hoạt động khai thác tiền điện tử trên các nền tảng này”.
PURPLEURCHIN lần đầu tiên được biết đến vào tháng 10/2022 khi công ty bảo mật Sysdig tiết lộ rằng các tin tặc đã tạo ra 30 tài khoản GitHub, 2.000 tài khoản Heroku và 900 tài khoản Buddy để mở rộng quy mô hoạt động của nó.
Theo thông tin từ Palo Alto Networks, cứ mỗi phút thì các tin tặc sẽ thiết lập từ 3 đến 5 tài khoản GitHub. Trong thời điểm hoạt động cao nhất của chiến dịch vào tháng 11/2022, các tin tặc đã tạo ra hơn 130.000 tài khoản giả trên các nền tảng Heroku, Togglebox và GitHub. Theo ước tính đã có hơn 22.000 tài khoản GitHub được tạo từ tháng 9 đến tháng 11/2022, trong đó có 3 tài khoản vào tháng 9, 1.652 vào tháng 10 và 20.725 vào tháng 11. Tổng cộng 100.723 tài khoản Heroku giả mạo cũng đã được phát hiện.
Số lượng các tài khoản giả mạo được tạo trên Github và Heroku bị phát hiện
Các nhà nghiên cứu của Palo Alto Networks cũng gọi việc lạm dụng tài nguyên đám mây là chiến thuật “play and run” được thiết kế để tránh việc phải thanh toán hóa đơn của nhà cung cấp nền tảng bằng cách sử dụng thẻ tín dụng giả hoặc bị đánh cắp để tạo tài khoản trả phí. Phân tích 250GB dữ liệu của Automated Libra cho thấy dấu hiệu sớm nhất của chiến dịch nhắm vào tiền điện tử xuất hiện từ tháng 8/2019, cùng với việc phát hiện ra tin tặc đã sử dụng hơn 40 ví và 7 loại tiền điện tử khác nhau.
Bên cạnh việc tự động hóa quy trình tạo tài khoản khi tận dụng các công cụ hợp pháp như Xdotool và ImageMagick, các tin tặc cũng bị phát hiện đã lợi dụng điểm yếu trong quá trình kiểm tra CAPTCHA trên GitHub để thực hiện các mục tiêu bất hợp pháp của mình.
Chiến thuật tin tặc sử dụng để vượt qua xác thực CAPTCHA
Điều này được các tin tặc thực hiện bằng cách sử dụng các lệnh “convert” của ImageMagick để biến đổi hình ảnh CAPTCHA thành các mô hình bổ sung vào mô hình màu RGB của chúng, sau đó sử dụng lệnh “identity” để trích xuất độ lệch của kênh màu đỏ và chọn giá trị nhỏ nhất. Sau khi tạo tài khoản thành công, Automated Libra sẽ tiến hành tạo kho lưu trữ GitHub và triển khai các quy trình để có thể khởi chạy các tập lệnh và vùng chứa Bash bên ngoài để bắt đầu các chức năng khai thác tiền điện tử.
Các nhà nghiên cứu kết luận: “Điều quan trọng cần lưu ý là Automated Libra thiết kế cơ sở hạ tầng của họ để tận dụng tối đa các công cụ CI/CD. Điều này đang trở nên dễ dàng đạt được hơn theo thời gian vì các dịch vụ mạng truyền thống đang đa dạng hóa danh mục dịch vụ của họ, bao gồm cả dịch vụ liên quan đến đám mây. Sự sẵn có của các dịch vụ liên quan đến đám mây này giúp tin tặc dễ dàng hơn vì họ không phải duy trì cơ sở hạ tầng để triển khai các ứng dụng của họ”.
Trường An
(The Hacker News)
16:00 | 03/08/2023
16:00 | 16/12/2022
18:00 | 01/07/2022
14:00 | 23/06/2023
07:00 | 15/09/2022
10:00 | 26/03/2024
Theo Bloomberg, cơ quan chức năng châu Âu đang có kế hoạch điều tra Apple, Meta và Google của Alphabet để xác định việc có hay không việc các công ty này vi phạm quy định trong Đạo luật Thị trường kỹ thuật số của Liên minh châu Âu (EU).
10:00 | 28/02/2024
Theo thông báo vào ngày 20/2/2024, FBI và các đồng minh quốc tế đã triệt phá và kiểm soát trang web tống tiền do nhóm tội phạm mạng nguy hiểm nhất thế giới LockBit sử dụng để tống tiền nạn nhân.
14:00 | 23/02/2024
Nhóm tin tặc mã độc tống tiền BlackCat đã bắt đầu lạm dụng các quy tắc báo cáo sự cố mạng của Ủy ban Chứng khoán và Giao dịch Mỹ (SEC) để gây áp lực lên các tổ chức từ chối đàm phán thanh toán tiền chuộc. Những kẻ tấn công đã nộp đơn khiếu nại lên SEC đối với một nạn nhân, trong một động thái có thể sẽ trở thành thông lệ sau khi các quy định mới đã có hiệu lực vào giữa tháng 12.
10:00 | 31/01/2024
Những kẻ tấn công đang sử dụng các video quảng cáo trên YouTube có nội dung liên quan đến phần mềm bẻ khóa để dụ dỗ người dùng tải xuống phần mềm độc hại đánh cắp thông tin có tên là Lumma Stealer.
Hội nghị quốc tế lần thứ 12 Lãnh đạo cấp cao phụ trách an ninh được tổ chức dựa trên sự cần thiết vì nó mở ra cơ hội để trao đổi kinh nghiệm, tìm kiếm những cách tiếp cận mới và các giải pháp tổng hợp chung cho các vấn đề cấp bách về an ninh khu vực và toàn cầu.
09:00 | 28/04/2024
Trong 02 ngày 25-26/4, Đoàn công tác của Ban Cơ yếu Chính phủ do đồng chí Nguyễn Hữu Hùng, Phó Trưởng ban làm Trưởng đoàn đã đến thăm và làm việc với các Tỉnh ủy: Đồng Nai, Bình Dương và Bình Phước về công tác cơ yếu, bảo mật và an toàn thông tin.
19:00 | 30/04/2024
Công ty được mệnh danh là “Google của Trung Quốc” - Baidu cho biết chatbot AI của hãng này, Ernie Bot đã có hơn 200 triệu người dùng trong bối cảnh cạnh tranh ngày càng khốc liệt.
19:00 | 30/04/2024