Các nhà nghiên cứu của công ty tư vấn rủi ro và điều tra doanh nghiệp Kroll (Mỹ) cho biết: "Khi ở trong mạng, CACTUS cố gắng liệt kê các tài khoản người dùng và thiết bị mạng đầu cuối có thể truy cập trước khi tạo tài khoản người dùng mới, sau đó tận dụng các tập lệnh tùy chỉnh để tự động triển khai và kích hoạt bộ mã hóa ransomware thông qua các tác vụ theo lịch trình". Sau khi khai thác thành công các thiết bị VPN dễ bị tổn thương, một cửa hậu SSH được thiết lập để duy trì quyền truy cập liên tục và một loạt các lệnh PowerShell được thực thi để tiến hành quét mạng và xác định danh sách các máy để mã hóa.
Các cuộc tấn công CACTUS cũng sử dụng Cobalt Strike và một công cụ có tên là Chisel để ra lệnh và kiểm soát, cùng với phần mềm quản lý và giám sát từ xa (RMM) như AnyDesk để đẩy các tệp đến máy chủ bị nhiễm mã độc. Sau đó tin tặc thực hiện các bước để vô hiệu hóa và gỡ cài đặt các giải pháp bảo mật cũng như trích xuất thông tin đăng nhập từ trình duyệt web và dịch vụ hệ thống để leo thang đặc quyền. Việc leo thang đặc quyền được thực hiện thành công nhờ chuyển động ngang, lọc dữ liệu và triển khai phần mềm tống tiền, bước cuối cùng đạt được bằng tập lệnh PowerShell cũng đã được Black Basta sử dụng.
Một khía cạnh mới của CACTUS là việc sử dụng tập lệnh để trích xuất mã nhị phân ransomware bằng 7-Zip, sau đó xóa tệp lưu trữ .7z trước khi thực thi. CACTUS có thể tự mã hóa, khiến nó khó bị phát hiện hơn và giúp trốn tránh các công cụ giám sát mạng và chống virus.
Công ty phần mềm an ninh mạng Trend Micro (Nhật Bản) nhận định: "Biến thể ransomware mới có tên CACTUS tận dụng lỗ hổng trong thiết bị VPN, cho thấy các tác nhân đe dọa tiếp tục nhắm mục tiêu vào các dịch vụ truy cập từ xa và các lỗ hổng chưa được vá để tiến hành truy cập". Nhận định này được đưa ra vài ngày sau khi Trend Micro làm sáng tỏ một loại ransomware khác có tên là Rapture có một số điểm tương đồng. CACTUS và Rapture là những cái tên mới nhất bổ sung vào danh sách dài các họ ransomware mới được đưa ra ánh sáng trong thời gian gần đây, bao gồm Gazprom , BlackBit , UNIZA , Akira và một biến thể ransomware NoCry có tên là Kadavro Vector.
Trường An
(Theo The Hacker News)
13:00 | 09/05/2023
14:00 | 14/04/2023
09:00 | 05/06/2023
13:00 | 19/05/2021
12:00 | 18/05/2022
16:00 | 29/05/2023
Theo một báo cáo gần đây dựa trên phân tích toàn cầu của công ty an ninh mạng Imperva (Mỹ), bot chiếm 47,4 % tổng lưu lượng truy cập Internet vào năm 2022. Ngoài ra, Imperva cũng nêu lên những lo ngại đáng kể liên quan đến sự phát triển của công nghệ bot độc hại.
15:00 | 26/05/2023
Theo thông báo của Google, các tài khoản không hoạt động từ 2 năm trở lên sẽ bị xóa. Việc này sẽ được tiến hành từ tháng 12/2023.
09:00 | 26/05/2023
Ngày 24/5, tại Hà Nội, Viện 10/Bộ Tư lệnh 86 tổ chức Hội thảo Ngày an toàn thông tin miền Bắc với chủ đề “Chuyển đổi số gắn với an toàn thông tin, an ninh mạng trong Bộ Quốc phòng”. Hội thảo là diễn đàn trao đổi, thảo luận các chuyên đề về thực trạng, nhu cầu và các giải pháp công nghệ trong chuyển đổi số tại các cơ quan, đơn vị trong Quân đội; các vấn đề kỹ thuật, công nghệ trong triển khai Chuyển đổi số gắn với an toàn thông tin, an ninh mạng trong Bộ Quốc phòng.
07:00 | 22/05/2023
Một nhóm tin tặc Trung Quốc có tên “Mustang Panda” được cho là liên quan đến các cuộc tấn công tinh vi và có mục tiêu nhằm vào các cơ quan đối ngoại của châu Âu kể từ tháng 1/2023. Theo các nhà nghiên cứu an ninh mạng phân tích về những vụ xâm nhập đã cho thấy đã có một bộ cấy phần sụn tùy chỉnh được thiết kế rõ ràng để khai thác bộ định tuyến TP-Link nhằm mục đích duy trì tấn công một cách liên tục.
16:00 | 09/11/2022 | Tin tức sản phẩm
08:00 | 07/11/2022 | GP ATM
10:00 | 19/09/2022|An toàn thông tin
15:00 | 16/09/2022|Tin tức sản phẩm
Mới đây, GitLab đã phát hành bản cập nhật khẩn cấp, phiên bản 16.0.1 cho GitLab Community Edition (CE) và Enterprise Edition (EE) để giải quyết lỗ hổng nghiêm trọng trong phiên bản 16.0.0 có điểm CVSS 10/10.
09:00 | 05/06/2023
