Tổng quan về Imperial Kitten
Imperial Kitten còn được gọi là Tortoiseshell, TA456, Crimson Sandstorm và Yellow Liderc, đây là nhóm tin tặc có liên quan đến Lực lượng Vệ binh Cách mạng Hồi giáo Iran (IRGC) và đã hoạt động ít nhất từ năm 2017.
Các nhà nghiên cứu cho biết, Imperial Kitten có khả năng thực hiện các nhiệm vụ tình báo chiến lược của Chính phủ Iran liên quan đến các hoạt động của IRGC. Trong quá khứ, nhóm tin tặc này đã thực hiện các cuộc tấn công mạng nhằm vào các tổ chức trong nhiều lĩnh vực khác nhau, bao gồm quốc phòng, công nghệ, viễn thông, hàng hải, năng lượng, tư vấn và các dịch vụ chuyên nghiệp. Các cuộc tấn công gần đây được phát hiện bởi các nhà nghiên cứu tại công ty an ninh mạng CrowdStrike. Họ đã đưa ra nhận định dựa trên sự trùng lặp về cơ sở hạ tầng với các chiến dịch trước đây, các chiến thuật, kỹ thuật và quy trình (TTP) được quan sát, việc sử dụng phần mềm độc hại IMAPLoader.
Cuộc tấn công của Imperial Kitten
Các tin tặc đã cố gắng xâm phạm nạn nhân dựa trên lợi ích chung của họ bằng cách đánh lừa các nạn nhân đến một trang web do tin tặc kiểm soát. Cho đến nay, các tên miền của Imperial Kitten đã đóng vai trò là vị trí chuyển hướng từ các trang web bị xâm nhập (chủ yếu của Israel).
Các nhà nghiên cứu xác định được phần mềm độc hại đang theo dõi có tên IMAPLoader, được nhóm Imperial Kitten sử dụng làm payload cuối cùng cho các hoạt động tấn công. IMAPLoader được phân phối dưới dạng thư viện liên kết động (DLL) và được tải thông qua việc chèn AppDomainManager. Nó sử dụng email để ra lệnh và kiểm soát và được cấu hình thông qua các địa chỉ email được nhúng trong phần mềm độc hại. Ngoài ra, IMAPLoader cũng sử dụng tệp đính kèm trong email để nhận nhiệm vụ và gửi phản hồi.
Một dòng phần mềm độc hại khác được Imperial Kitten triển khai trong chiến dịch mới này có tên là StandardKeyboard. Điều này có nhiều đặc điểm IMAPLoader, với mục đích chính là thực thi các lệnh được mã hóa Base64 nhận được trong nội dung email. Cụ thể, trong một báo cáo được công bố đầu tuần này, các nhà nghiên cứu nói rằng Imperial Kitten đã phát động các cuộc tấn công lừa đảo vào tháng 10/2023, bằng cách sử dụng chủ đề liên quan đến tuyển dụng việc làm trong các email có tệp đính kèm Microsoft Excel độc hại.
Khi mở tài liệu, mã macro độc hại bên trong sẽ trích xuất hai tệp batch thông qua sửa đổi registry và chạy payload Python để truy cập Reverse shell. Sau đó, tin tặc di chuyển ngang trên mạng bằng cách sử dụng các công cụ như PAExec để thực thi các quy trình từ xa và NetScan để trinh sát mạng. Ngoài ra, chúng còn sử dụng ProcDump để lấy thông tin xác thực từ bộ nhớ hệ thống.
Việc giao tiếp với máy chủ C2 được thực hiện thông qua phần mềm độc hại tùy chỉnh IMAPLoader và StandardKeyboard, cả hai đều dựa vào email để trao đổi thông tin. Các nhà nghiên cứu cho biết StandardKeyboard vẫn tồn tại trên máy bị xâm nhập dưới dạng Keyboard Service Windows và thực thi các lệnh được mã hóa base64 nhận được từ máy chủ C2. CrowdStrike cho biết rằng các cuộc tấn công mạng này xảy ra vào tháng 10/2023 và nhắm vào các tổ chức của Israel trong bối cảnh xung đột Israel - Hamas đang diễn biến hết sức phức tạp.
Các chiến dịch trước đây
Trong hoạt động trước đó, Imperial Kitten đã thực hiện các cuộc tấn công Watering Hole bằng cách xâm phạm một số trang web của Israel bằng mã JavaScript và nhằm thu thập thông tin về khách truy cập, chẳng hạn như dữ liệu trình duyệt và địa chỉ IP, lập hồ sơ các mục tiêu tiềm năng.
Trong các trường hợp khác, Crowdstrike đã chứng kiến tin tặc xâm nhập hệ thống mạng trực tiếp, tận dụng mã khai thác công khai, sử dụng thông tin xác thực VPN bị đánh cắp, thực hiện chèn lệnh SQL hoặc thông qua email lừa đảo được gửi đến tổ chức mục tiêu.
Hồng Đạt
(Tổng hợp)
10:00 | 25/10/2024
10:00 | 07/11/2023
10:00 | 25/10/2024
16:00 | 01/12/2023
09:00 | 09/01/2024
14:00 | 08/11/2023
15:00 | 21/05/2024
09:00 | 27/10/2023
09:00 | 30/12/2024
Năm 2024, các cuộc tấn công mạng diễn ra trên mọi lĩnh vực, từ y tế đến tài chính, ngân hàng.... Tin tặc không chỉ đánh cắp dữ liệu cá nhân, mà còn thực hiện các cuộc tấn công ransomware tinh vi, đe dọa trực tiếp đến sự hoạt động của các cơ sở y tế. Nguy hiểm hơn là sự tinh vi và quy mô ngày càng tăng của các cuộc tấn công gián điệp của tin tặc Trung Quốc nhằm vào Hoa Kỳ và các đồng minh. Các chuyên gia tin rằng đây là một động thái chiến lược của Bắc Kinh nhằm có khả năng phá vỡ hoặc phá hủy các dịch vụ quan trọng trong trường hợp căng thẳng địa chính trị leo thang hoặc xung đột quân sự.
08:00 | 22/12/2024
Trang web chuyên đăng tải các bài báo về phòng chống lừa đảo mạng Scam Sniffer cho biết, trong thời gian gần đây kẻ tấn công đã cài phần mềm chứa mã độc vào các trang web giả mạo được lập ra với mục đích để xác thực tài khoản Telegram của người dùng.
10:00 | 12/12/2024
Các nhà nghiên cứu của công ty bảo mật đám mây Aqua Nautilus (Mỹ) cho biết một tác nhân đe dọa có tên là Matrix đã được liên kết với một chiến dịch từ chối dịch vụ phân tán (DoD) trên diện rộng, lợi dụng các lỗ hổng và cấu hình lỗi trong các thiết bị Internet vạn vật (IoT) để biến chúng thành một mạng lưới botnet tinh vi.
14:00 | 24/10/2024
Trong tháng 9/2024, Trung tâm Giám sát an toàn không gian mạng quốc gia (Cục An toàn thông tin, Bộ TT&TT) đã ghi nhận 125.338 địa chỉ website giả mạo các cơ quan, tổ chức tăng hơn 100 địa chỉ so với tháng 8 trước đó.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Trong tháng 12, Microsoft, Adobe và SAP đã phát hành bản vá cho các sản phẩm của mình. Người dùng cần khẩn trương cài đặt bản vá để phòng tránh rủi ro mất an toàn thông tin.
16:00 | 22/01/2025
