Các chuyên gia của Công ty an ninh mạng Cybereason (Boston, Mỹ) cho biết: "Prometei khai thác các lỗ hổng Microsoft Exchange mới phát hiện trong các cuộc tấn công HAFNIUM để xâm nhập vào mạng nhằm phát tán mã độc, thu thập thông tin đăng nhập và thực hiện các hoạt động độc hại khác".
Được ghi nhận lần đầu bởi Cisco Talos vào tháng 7/2020, Prometei là mạng botnet đa mô-đun, khai thác các lỗ hổng đã được biết đến như EternalBlue và BlueKeep để thu thập thông tin xác thực và tăng số lượng hệ thống tham gia vào mạng khai thác Monero.
Theo đó, nhà nghiên cứu Lior Rochberger của Cybereason cho biết: Prometei có cả phiên bản dựa trên Windows và Linux, được điều chỉnh cho phù hợp với từng hệ điều hành. Botnet này được xây dựng kết nối với 4 máy chủ C&C khác nhau, giúp tăng cường cơ sở hạ tầng và duy trì liên lạc liên tục, giảm nguy cơ bị gỡ bỏ.
Tin tặc đã lợi dụng các lỗ hổng mới được vá gần đây trên Microsoft Exchange Server để khai thác Monero.
Trong chuỗi tấn công mà Cybereason quan sát được, tin tặc đã khai thác lỗ hổng CVE-2021-27065 và CVE-2021-26858 để cài web shell Chopper của Trung Quốc, từ đó xâm nhập hệ thống qua backdoor. Sau khi chiếm được quyền truy cập, tin tặc tiến hành khởi chạy PowerShell để tải xuống Prometei từ một máy chủ từ xa.
Các phiên bản gần đây của mô-đun bot đi kèm với các backdoor hỗ trợ một tệp lệnh mở rộng, bao gồm một mô-đun bổ sung có tên "Microsoft Exchange Defender" giả mạo sản phẩm của Microsoft. Mô-đun này có khả năng loại bỏ các web shell cạnh tranh khác trên máy để Prometei có quyền truy cập vào các tài nguyên cần thiết, nhằm khai thác tiền điện tử một cách hiệu quả.
Theo dấu vết trên VirusTotal, botnet này có thể đã xuất hiện vào đầu tháng 5/2016, cho thấy phần mềm độc hại đã không ngừng phát triển kể từ đó, bổ sung thêm các mô-đun và kỹ thuật mới.
Prometei nhắm tới nạn nhân trong nhiều lĩnh vực như tài chính, bảo hiểm, bán lẻ, sản xuất, tiện ích, du lịch và xây dựng, xâm phạm mạng lưới các tổ chức đặt tại Hoa Kỳ, Vương quốc Anh và một số quốc gia ở Châu Âu, Nam Mỹ và Đông Á.
Mai Hương
10:00 | 27/08/2021
10:00 | 22/12/2021
17:00 | 01/04/2022
09:00 | 06/10/2021
11:00 | 14/04/2021
15:00 | 26/05/2021
07:00 | 29/03/2021
09:00 | 02/04/2021
08:00 | 12/03/2024
Mới đây, các nhà nghiên cứu từ Trung tâm Ứng phó khẩn cấp bảo mật AhnLab - ASEC (Hàn Quốc) phát hiện phần mềm độc hại mới có tên WogRAT, đang được các tác nhân đe dọa triển khai trong các cuộc tấn công lạm dụng nền tảng Notepad trực tuyến có tên là aNotepad để bí mật lưu trữ và truy xuất mã độc trên cả Windows và Linux.
09:00 | 08/03/2024
Thông tin chi tiết về một lỗ hổng có độ nghiêm trọng mức cao trong ứng dụng Shortcut của Apple đã được công bố, trong đó lỗ hổng có thể cho phép một Shortcut truy cập thông tin nhạy cảm trên thiết bị mà không có sự đồng ý của người dùng.
10:00 | 21/02/2024
Một tác nhân đe dọa có động cơ tài chính đã sử dụng thiết bị USB để lây nhiễm phần mềm độc hại ban đầu và lạm dụng các nền tảng trực tuyến hợp pháp, bao gồm GitHub, Vimeo và Ars Technica để lưu trữ các payload được mã hóa.
07:00 | 08/01/2024
Mới đây, các nhà nghiên cứu an ninh mạng tới từ công ty bảo mật di động ThreatFabric (Hà Lan) cho biết một phiên bản cập nhật mới của Trojan ngân hàng Android có tên là Chameleon đang mở rộng mục tiêu nhắm tới người dùng ở Anh và Ý. Trojan này được phân phối thông qua Zombinder - một loại phần mềm Dropper dưới dạng dịch vụ (DaaS). Bài viết này sẽ tập trung phân tích biến thể mới của Chameleon với khả năng đặc biệt vượt qua tính năng xác thực sinh trắc học.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Các nhà nghiên cứu tại tổ chức bảo mật phi lợi nhuận Shadowserver Foundation (California) cho biết hàng nghìn thiết bị Ivanti VPN kết nối với Internet có khả năng bị ảnh hưởng bởi một lỗ hổng thực thi mã từ xa.
08:00 | 17/04/2024
