Cloud9 thực chất là một trojan truy cập từ xa (RAT) trên trình duyệt Chromium, bao gồm cả Google Chrome và Microsoft Edge, cho phép tin tặc thực hiện các lệnh tùy ý từ xa. Tiện ích mở rộng này không có sẵn trên cửa hàng Chrome trực tuyến chính thức mà được phân phối thông qua các kênh thay thế, chẳng hạn như các trang web phát hành bản cập nhật Adobe Flash Player giả mạo.
Tiện ích mở rộng độc hại được phân phối qua Adobe Flash Player giả mạo
Cloud9 có khả năng tạo backdoor trên các trình duyệt Chromium để thực hiện một danh sách mở rộng các chức năng và khả năng độc hại. Nó bao gồm 3 tệp JavaScript để thu thập thông tin hệ thống, khai thác tiền điện tử bằng cách sử dụng tài nguyên của máy chủ, thực hiện các cuộc tấn công DDoS và chèn các tập lệnh chạy khai thác trình duyệt.
Zimperium nhận thấy tiện ích này khai thác các lỗ hổng CVE-2019-11708 và CVE-2019-9810 trong Firefox, CVE-2014-6332 và CVE-2016-0189 trên Internet Explorer và CVE-2016-7200 đối với Edge. Những lỗ hổng này được sử dụng để tự động cài đặt và thực thi phần mềm độc hại của Windows trên máy chủ, cho phép tin tặc tiến hành các cuộc xâm nhập hệ thống.
Tuy nhiên, ngay cả khi không có thành phần độc hại này, tiện ích mở rộng Cloud9 có thể đánh cắp cookie từ trình duyệt bị xâm nhập, từ đó các tin tặc có thể sử dụng để chiếm đoạt các phiên hợp lệ và tài khoản của người dùng.
Mã nguồn đánh cắp cookie của trình duyệt
Ngoài ra, phần mềm độc hại còn có tính năng keylogger để ghi lại và theo dõi các thao tác người dùng thực hiện trên bàn phím nhằm đánh cắp mật khẩu và các thông tin nhạy cảm khác.
Một môđun “clipper” cũng có trong tiện ích mở rộng Cloud9, nó liên tục giám sát bộ nhớ đệm tạm thời của hệ thống để tìm mật khẩu hoặc thẻ tín dụng được sao chép.
Mã nguồn mô-đun clipper của Cloud9
Cloud9 cũng có thể chèn quảng cáo bằng cách tải các trang web một cách âm thầm để tạo ra số lần hiển thị quảng cáo. Từ đó, tiện ích này mang lại doanh thu cho các nhà phát triển của nó. Cuối cùng, phần mềm độc hại có thể lợi dụng máy chủ để thực hiện các cuộc tấn công DDoS ở lớp 7 thông qua các yêu cầu HTTP POST đến mục tiêu.
“Các cuộc tấn công ở lớp 7 thường rất khó phát hiện vì kết nối TCP trông rất giống với các yêu cầu hợp lệ. Các tin tặc có khả năng sử dụng mạng botnet này để cung cấp dịch vụ thực hiện tấn công DDoS”, Zimperium nhận xét.
Các tin tặc đứng sau Cloud9 được cho là có liên hệ với nhóm phần mềm độc hại Keksec, vì các miền C2 được sử dụng trong chiến dịch gần đây đã được phát hiện trong các cuộc tấn công trước đó của Keksec Keksec được xác định là nhóm phát triển nhiều mạng lưới botnet, bao gồm: EnemyBot, Tsunamy, Gafgyt, DarkHTTP, DarkIRC và Necro. Bên cạnh đó, việc quảng bá công khai Cloud9 trên các diễn đàn tội phạm mạng khiến Zimperium tin rằng Keksec có khả năng bán hoặc cho các nhà khai thác khác thuê nó.
Hồng Đạt
10:00 | 19/09/2022
11:00 | 19/04/2023
22:00 | 15/08/2022
14:00 | 22/06/2023
09:00 | 25/12/2023
16:00 | 19/12/2023
21:00 | 12/12/2022
10:00 | 03/10/2022
13:00 | 02/12/2022
10:00 | 28/03/2024
Các nhà nghiên cứu phát hiện nhóm ransomware ShadowSyndicate đang quét các máy chủ tồn tại lỗ hổng directory traversal định danh CVE-2024-23334, hay còn gọi là lỗ hổng path traversal trong thư viện Aiohttp của Python.
09:00 | 06/03/2024
Tác nhân đe dọa liên quan đến Trung Quốc có tên là Mustang Panda đã nhắm mục tiêu vào nhiều quốc gia châu Á bằng cách sử dụng một biến thể mới của backdoor PlugX có tên là DOPLUGS.
14:00 | 22/02/2024
Các nhà nghiên cứu của hãng bảo mật Kaspersky đã phát hiện ra một dòng phần mềm độc hại mới được phân phối một cách bí mật thông qua các ứng dụng, phần mềm bẻ khóa (crack), nhắm mục tiêu vào ví tiền điện tử của người dùng macOS. Theo các nhà nghiên cứu, mối đe dọa mới này có những tính năng nổi trội hơn so với việc cài đặt trái phép Trojan trên các máy chủ proxy đã được phát hiện trước đó.
08:00 | 11/01/2024
Các nhà nghiên cứu bảo mật từ Đại học Ruhr Bochum (Đức) phát hiện ra một lỗ hổng trong giao thức mạng mật mã Secure Shell (SSH) có thể cho phép kẻ tấn công hạ cấp bảo mật của kết nối bằng cách phá vỡ tính toàn vẹn của kênh an toàn.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Các nhà nghiên cứu tại tổ chức bảo mật phi lợi nhuận Shadowserver Foundation (California) cho biết hàng nghìn thiết bị Ivanti VPN kết nối với Internet có khả năng bị ảnh hưởng bởi một lỗ hổng thực thi mã từ xa.
08:00 | 17/04/2024
