DarkGate đã không hoạt động nhiều trong vài năm qua. Tuy nhiên, năm nay các nhà nghiên cứu của Trend Micro đã quan sát thấy nhiều hoạt động triển khai chiến dịch DarkGate, trong đó tập trung chính tại châu Mỹ, châu Á, châu Phi.
.png)
Hình 1. Phân phối chiến dịch DarkGate từ tháng 8 đến tháng 9/2023
DarkGate được phân loại là một trình tải độc hại được ghi nhận lần đầu tiên vào cuối năm 2017. Các phiên bản của phần mềm độc hại này đã được quảng cáo trên diễn đàn tiếng Nga eCrime kể từ tháng 5/2023. Kể từ đó, số lượng các cuộc tấn công ban đầu sử dụng DarkGate đã gia tăng.
DarkGate có nhiều tính năng khác nhau như: Thực hiện các lệnh tìm kiếm (bao gồm cả duyệt thư mục); Tự cập nhật và tự quản lý; Triển khai phần mềm truy cập từ xa (như Remote Desktop, Virtual Network Computing và AnyDesk); Kích hoạt chức năng khai thác tiền điện tử; Thực hiện ghi nhật ký bàn phím; Đánh cắp thông tin từ trình duyệt; Leo thang đặc quyền.
DarkGate cũng sử dụng một công cụ script và tự động hóa dành riêng cho Windows có tên AutoIt để cung cấp và thực thi các khả năng độc hại của nó. Mặc dù là một công cụ hợp pháp, nhưng AutoIt thường xuyên bị các dòng phần mềm độc hại khác lạm dụng để qua mặt các biện pháp phòng thủ và bổ sung thêm một lớp che giấu. Tuy nhiên, trong lịch sử, không có trình tải đáng chú ý nào như IcedID, Emote hoặc Qakbot bị phát hiện lạm dụng nó, giúp các nhà nghiên cứu hoặc nhóm bảo mật dễ dàng liên kết hoạt động với chiến dịch phần mềm độc hại hơn.
So sánh biến thể mới nhất này của DarkGate với một mẫu cũng lạm dụng AutoIt vào năm 2018, các nhà nghiên cứu nhận thấy rằng quy trình này dường như đã thay đổi một chút về giai đoạn khởi tạo ban đầu và việc bổ sung tính năng làm rối mã nguồn vào các dòng lệnh của nó. Tuy nhiên, chuỗi lây nhiễm phần lớn vẫn giữ nguyên.
Lây nhiễm qua Skype
Theo các nhà nghiên cứu, kẻ tấn công đã lợi dụng độ tin cậy giữa người gửi và người nhận để đánh lừa người dùng thực thi script VBA đính kèm. Việc truy cập vào tài khoản Skype của nạn nhân cho phép kẻ tấn công chiếm quyền điều khiển chuỗi tin nhắn hiện có và tạo ra quy ước đặt tên cho các tệp liên quan đến bối cảnh của lịch sử trò chuyện.
Hình 2. Chuỗi lây nhiễm DarkGate lợi dụng Skype
Các nạn nhân đã nhận được một tin nhắn từ một tài khoản Skype bị xâm nhập, trong đó có chứa script VBS lừa đảo có tên tệp theo định dạng sau: “<filename.pdf> www.skype[.]vbs”. Dấu khoảng cách trong tên tệp khiến người dùng tin rằng tệp đó là tài liệu PDF trong khi định dạng thực là “www.skype[.]vbs”. Trong mẫu mà Trend Micro đã nghiên cứu này, người nhận biết người gửi là người thuộc một nhà cung cấp bên ngoài đáng tin cậy.
Hình 3. Tin nhắn Skype có đính kèm tệp độc hại dưới dạng tệp PDF
Script VBA khi được nạn nhân thực thi sẽ bắt đầu bằng cách tạo một thư mục mới có tên “Random Char”, sau đó sao chép tệp “curl.exe” hợp pháp có cùng tên với thư mục được tạo là “Random Char.exe”. Tiếp theo, nó sẽ tải xuống script thực thi AutoIt3 và .AU3 từ máy chủ bên ngoài lưu trữ các tệp.
Hình 4. Ví dụ về nội dung script VBA
Hình 4 là ví dụ về nội dung script VBA, các script này đóng vai trò là trình tải xuống cho hai tệp: một bản sao hợp pháp của tệp thực thi AutoIt và một script .AU3 độc hại.
Trend Vision One™ đã phát hiện việc tải script VBA thông qua việc thực thi nó bằng tiến trình gốc “wscript.exe” của Windows. Script đã tạo thư mục Random Char và sao chép curl.exe sang Random Char.exe.
Hình 5. Phân tích nguyên nhân gốc (RCA) đối với việc thực thi script VBA từ Skype
Trong Hình 5, chúng ta có thể quan sát thấy lệnh curl đã được sử dụng để truy xuất ứng dụng AutoIt hợp pháp và fIKXNA.AU3 độc hại có liên quan (trong đó .AU3 đại diện cho tệp script AutoIt phiên bản 3). Curl được thực thi thông qua cmd.exe với các tham số sau để truy xuất hai tệp từ máy chủ lưu trữ từ xa:
Lây nhiễm qua Teams
Trong một mẫu phân tích khác, mối đe dọa được quan sát thấy khi gửi liên kết qua tin nhắn Microsoft Teams. Kẻ tấn công đã nhắm mục tiêu vào người dùng Teams thông qua các tài khoản Office 365 bị xâm nhập bên ngoài tổ chức của họ và một công cụ có sẵn công khai có tên TeamsPhisher. Công cụ này cho phép kẻ tấn công bỏ qua các hạn chế đối với các tệp đến từ đối tượng thuê bên ngoài và gửi tệp đính kèm lừa đảo tới người dùng Teams.
Cụ thể, trong trường hợp này, hệ thống của tổ chức đã cho phép nạn nhân nhận tin nhắn từ người dùng bên ngoài, điều này khiến họ trở thành mục tiêu tiềm ẩn của thư rác. Các nhà nghiên cứu từ Công ty an ninh mạng Truesec đã ghi nhận một kỹ thuật DarkGate tương tự vào đầu tháng 9/2023. Mặc dù quy trình của Skype giả mạo tệp VBS dưới dạng tài liệu PDF, nhưng trong phiên bản xâm phạm của Teams, những kẻ tấn công đã che giấu tệp LNK. Hơn nữa, mẫu lạm dụng Teams đến từ một người gửi bên ngoài không xác định.
Hình 6. Tin nhắn của nhóm có tệp đính kèm độc hại
Các nhà nghiên cứu của Trend Micro cũng quan sát thấy phương thức phân phối dịch vụ của script VBA, trong đó tệp .LNK dưới dạng tệp nén từ trang SharePoint của người khởi tạo. Nạn nhân bị dụ dỗ điều hướng đến trang SharePoint được cung cấp và tải xuống tệp có tên “Significant company changes September.zip”.
Sử dụng thực thi có điều kiện, lệnh đi kèm sẽ chỉ thực thi nếu lệnh trước đó thất bại. Tệp LNK chứa lệnh sau:
Sau khi thành công, script LoaderVBA sẽ được tải xuống và thực thi (hm3.vbs). Script VBA sẽ tiến hành sao chép và đổi tên curl.exe từ thư mục System32 thành Random Char.exe, đồng thời lệnh curl sẽ được sử dụng để truy xuất Autoit3.exe và mã DarkGate độc hại có liên quan.
.png)
Hình 7. Trend Vision One RCA sử dụng tệp .LNK làm mục nhập ban đầu
Script DarkGate AU3
Các nội dung được tải xuống chứa cả bản sao hợp pháp của AutoIt và tệp script AutoIt được biên dịch chứa các khả năng độc hại của DarkGate. Tệp AU3 trước tiên thực hiện các bước kiểm tra sau trước khi tải script. Nếu bất kỳ điều kiện nào sau đây không được đáp ứng, script sẽ bị chấm dứt:
Sau khi quá trình kiểm tra môi trường hoàn tất, chương trình sẽ tìm kiếm tệp có phần mở rộng .AU3 để giải mã và thực thi payload DarkGate. Nếu không thể tải tệp này, chương trình sẽ hiển thị thông báo lỗi và chấm dứt quá trình thực thi.
Sau khi thực thi thành công tệp .AU3, tệp sẽ sinh ra các tiến trình thay thế nằm trong thư mục C:\Program Files (x86)\. Các tiến trình này bao gồm “iexplore.exe”, “GoogleUpdateBroker.exe” và “Dell.D3.WinSvc.UILauncher.exe”. Chúng được chèn shellcode để thực thi payload DarkGate trong bộ nhớ.
Phần mềm độc hại đạt được sự tồn tại lâu dài bằng cách nhúng tệp LNK có tên ngẫu nhiên vào thư mục Windows User Startup, cho phép tự động thực thi tệp mỗi lần khởi động hệ thống, theo đường dẫn sau: “<C:\Users\<user>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\<random>.lnk>”.
Ngoài ra, quá trình thực thi sẽ tạo một thư mục trên máy chủ trong thư mục Program Data bằng cách sử dụng chuỗi gồm bảy ký tự được tạo ngẫu nhiên để lưu trữ dữ liệu nhật ký và cấu hình.
Hình 8. Đoạn mã .AU3
Hình 9. Cấu hình được trích xuất
Hoạt động sau cài đặt
Mối đe dọa được quan sát thấy hoạt động như một trình tải xuống các payload bổ sung. Sau khi cài đặt phần mềm độc hại DarkGate, nó đã “drop” các tệp trong thư mục C:/Intel/ và %appdata%/Adobe/, điều này giúp nó cố gắng giả mạo chính nó.
Các tệp này được phát hiện dưới dạng biến thể của DarkGate hoặc Remcos, có khả năng là một phương tiện để duy trì chỗ đứng của kẻ tấn công trong hệ thống bị nhiễm.
Các chiến dịch kỹ thuật xã hội phân phối phần mềm độc hại đã chứng kiến sự gia tăng trong những tháng gần đây, tận dụng các chiến thuật xâm nhập ban đầu như email lừa đảo và đầu độc tối ưu hóa công cụ tìm kiếm (SEO) để lôi kéo người dùng vô tình cài đặt nó.
Các nhà nghiên cứu cho biết, tội phạm mạng có thể sử dụng các payload để lây nhiễm nhiều loại phần mềm độc hại khác nhau vào hệ thống, bao gồm trình đánh cắp thông tin, phần mềm tống tiền, các công cụ quản lý từ xa độc hại hoặc bị lạm dụng cũng như các công cụ khai thác tiền điện tử. Miễn là việc nhắn tin bên ngoài được cho phép hoặc việc lạm dụng các mối quan hệ đáng tin cậy thông qua các tài khoản bị xâm nhập không được kiểm tra, thì kỹ thuật truy cập như chiến dịch DarkGate có thể được thực hiện với bất kỳ ứng dụng nhắn tin tức thời (IM) nào.
Sự gia tăng hoạt động DarkGate gần đây nhấn mạnh tầm ảnh hưởng ngày càng tăng của hoạt động phần mềm độc hại dưới dạng dịch vụ (MaaS) này trong lĩnh vực tội phạm mạng. Nó cũng nhấn mạnh quyết tâm của các tác nhân đe dọa trong việc tiếp tục các cuộc tấn công, điều chỉnh chiến thuật và phương pháp của chúng bất chấp sự gián đoạn và thách thức.
|
Tài liệu tham khảo |
Hồng Đạt
13:00 | 09/10/2023
14:00 | 01/03/2024
08:00 | 19/01/2024
07:00 | 08/04/2024
15:00 | 06/10/2023
08:00 | 10/02/2024
13:00 | 20/09/2023
10:00 | 24/04/2024
Một nhóm tin tặc được cho là từ Việt Nam đang nhắm mục tiêu vào các tổ chức tài chính ở châu Á để đánh cắp các dữ liệu tài chính.
15:00 | 16/04/2024
Công ty an ninh mạng Palo Alto Networks (Mỹ) chuyên cung cấp giải pháp tường lửa cảnh báo một lỗ hổng zero-day nghiêm trọng mới, với điểm CVSS tối đa 10/10. Nếu bị khai thác, kẻ tấn công có thể thực thi mã tùy ý với đặc quyền root mà không cần xác thực.
13:00 | 19/03/2024
Cơ quan an ninh mạng Hoa Kỳ (CISA) đã yêu cầu các cơ quan của Chi nhánh điều hành dân sự liên bang Hoa Kỳ (FCEB) bảo mật hệ thống Windows của họ trước một lỗ hổng nghiêm trọng trong Dịch vụ phát trực tuyến của Microsoft (MSKSSRV.SYS).
14:00 | 30/11/2023
Cơ quan tình báo Ukraine mới đây đã tuyên bố thực hiện chiến dịch tấn công mạng vào Cơ quan Vận tải Hàng không Liên bang Nga - Rosaviatsiya và đưa ra thông tin về tình trạng suy yếu hiện tại của ngành hàng không Nga.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Nhóm tình báo mối đe dọa Threat Intelligence của Microsoft cho biết, các tác nhân đe dọa đang tích cực khai thác các lỗ hổng nghiêm trọng trong OpenMetadata để có quyền truy cập trái phép vào khối lượng workload trong Kubernetes và lạm dụng chúng cho hoạt động khai thác tiền điện tử.
14:00 | 25/04/2024
