Theo nhóm bảo mật của Microsoft, chiến dịch này hiện đang tận dụng một hướng tấn công phát tán thư rác hàng loạt bằng các email có chứa tệp PDF độc hại đính kèm. "Những kẻ tấn công đã sử dụng các tài khoản email bị xâm nhập để thực hiện chiến dịch tấn công bằng email”, Microsoft cho biết trên Twitter. “Các email chứa một tệp đính kèm có vẻ là một file PDF nhưng khi mở ra, nó được kết nối với một tên miền độc hại để tải xuống phần mềm độc hại STRRAT.”
Nội dung email giả mạo
Được phát hiện lần đầu tiên vào tháng 6/2020, STRRAT là một trojan truy cập từ xa (RAT) có thể hoạt động như một cửa hậu trên các máy chủ bị nhiễm.
Theo phân tích kỹ thuật của công ty bảo mật G DATA (Đức), RAT có nhiều tính năng khác nhau, từ khả năng lấy cắp thông tin đăng nhập đến khả năng giả mạo các tệp cục bộ.
Nhà phân tích phần mềm độc hại Karsten Hahn của G DATA cho biết, STRRAT có thể kết xuất và lấy cắp thông tin đăng nhập từ các trình duyệt và ứng dụng email như: Firefox, Internet Explorer, Chrome, Foxmail, Outlook và Thunderbird.
STRRAT cũng có thể chạy các lệnh shell hoặc PowerShell tùy chỉnh nhận được từ máy chủ điều khiển, khiến kẻ tấn công có toàn quyền kiểm soát máy chủ bất kỳ lúc nào.
Nếu kẻ tấn công không muốn tương tác với máy chủ bị nhiễm thông qua một máy chủ trung gian, chúng cũng có tùy chọn sử dụng STRRAT để cài đặt RDWrap, một công cụ mã nguồn mở cho phép kẻ tấn công kết nối với máy chủ thông qua giao thức truy cập máy tính từ xa (Remote Desktop Protocol - RDP).
Đặc điểm nổi bật so với hầu hết các chủng RAT khác nhau đó là thói quen mã hóa của STRRAT. “Cái gọi là mã hóa chỉ là đổi tên các tệp bằng cách thêm phần mở rộng .crimson," Hahn cho biết vào năm 2020 khi phân tích STRRAT v1.2.
Điều này có thể vẫn đúng đối với mã độc tống tiền vì các tệp như vậy không thể truy cập bằng cách nhấp đúp. Tuy nhiên, nếu tiện ích mở rộng bị xóa, các tệp có thể được mở như bình thường.
Phiên bản mới nhất của phần mềm độc hại STRRAT dựa trên Java (1.5), được phát hiện trong một chiến dịch email lớn trong tháng 5/2021, bởi hành vi giống như mã độc tống tiền là gắn phần mở rộng tên tệp .crimson vào các tệp mà không thực sự mã hóa chúng. Nhưng trong khi Hahn phân tích STRRAT v1.2, Microsoft cho biết hành vi mã hóa giả mạo này vẫn tồn tại trong STRRAT v1.5.
Các chuyên gia khuyến cáo, người dùng hoặc các công ty khi nhận thấy tệp của dữ liệu được mã hóa bằng phần mở rộng .crimson, thì cần xóa phần mở rộng này. Việc này nên được thực hiện trước trên một tệp thử nghiệm, vì các chủng mã độc tống tiền khác cũng có thể đang sử dụng phần mở rộng này. Nếu các tệp có thể được mở sau khi xóa phần mở rộng .crimson, thì rất có thể máy tính đã bị nhiễm STRRAT và việc lây nhiễm sẽ cần được chuyên gia bảo mật giải quyết.
Quốc Trung
(theo Therecord.media)
08:00 | 12/10/2017
15:00 | 11/06/2021
20:00 | 30/06/2021
16:00 | 14/05/2021
10:00 | 10/11/2021
14:00 | 22/02/2022
10:00 | 08/04/2022
08:00 | 03/02/2021
19:00 | 30/04/2024
Các nhà nghiên cứu tới từ nhóm tình báo mối đe dọa Cisco Talos đã phát hiện một tác nhân đe dọa mới có nguồn gốc từ Việt Nam là CoralRaider đang thực hiện chiến dịch đánh cắp thông tin đăng nhập, dữ liệu tài chính và tài khoản mạng xã hội của nạn nhân, bao gồm cả tài khoản doanh nghiệp và quảng cáo.
09:00 | 19/04/2024
Quảng Ninh xác định triển khai thực hiện chuyển đổi số toàn diện trên cả ba lĩnh vực chính quyền số, kinh tế số, xã hội số, phấn đấu trở thành mô hình mẫu của cả nước về chuyển đổi số nhằm thúc đẩy phát triển toàn diện về kinh tế, văn hóa, xã hội. Để đạt được mục tiêu đó, việc nâng cao chất lượng đội ngũ cán bộ, nhân viên Cơ yếu bắt kịp xu thế chuyển đổi số toàn diện là một trong những yếu tố then chốt.
16:00 | 02/04/2024
Trong quý I/2024, thông qua hệ thống giám sát an toàn thông tin, Trung tâm Công nghệ thông tin và Giám sát An ninh mạng (Ban Cơ yếu Chính phủ) đã phân tích phát hiện tổng số 32.265 nguy cơ tấn công mạng nhắm vào các mạng công nghệ thông tin trọng yếu, tăng 18,7% so với cùng kỳ năm 2023.
15:00 | 26/01/2024
Microsoft cho biết, nhóm tin tặc nước Nga có tên là Midnight Blizzard (hay còn biết đến dưới tên APT29, Cozy Bear) đã đột nhập hệ thống vào ngày 12/1 và đánh cắp một số email, tài liệu từ tài khoản nhân viên.
Hội nghị quốc tế lần thứ 12 Lãnh đạo cấp cao phụ trách an ninh được tổ chức dựa trên sự cần thiết vì nó mở ra cơ hội để trao đổi kinh nghiệm, tìm kiếm những cách tiếp cận mới và các giải pháp tổng hợp chung cho các vấn đề cấp bách về an ninh khu vực và toàn cầu.
09:00 | 28/04/2024
Trong 02 ngày 25-26/4, Đoàn công tác của Ban Cơ yếu Chính phủ do đồng chí Nguyễn Hữu Hùng, Phó Trưởng ban làm Trưởng đoàn đã đến thăm và làm việc với các Tỉnh ủy: Đồng Nai, Bình Dương và Bình Phước về công tác cơ yếu, bảo mật và an toàn thông tin.
19:00 | 30/04/2024
Công ty được mệnh danh là “Google của Trung Quốc” - Baidu cho biết chatbot AI của hãng này, Ernie Bot đã có hơn 200 triệu người dùng trong bối cảnh cạnh tranh ngày càng khốc liệt.
19:00 | 30/04/2024