Gã khổng lồ công nghệ đã đặt tên cho botnet này là CovertNetwork-1658, nêu rõ các hoạt động dò mật khẩu được sử dụng để đánh cắp thông tin đăng nhập từ nhiều khách hàng của Microsoft.
Nhóm Microsoft Threat Intelligence cho biết: “Storm-0940 hoạt động ít nhất từ năm 2021, nhóm có quyền truy cập ban đầu thông qua việc dò mật khẩu và tấn công hay khai thác hoặc sử dụng sai mục đích các ứng dụng và dịch vụ biên mạng. Storm-0940 nhắm vào các tổ chức ở Bắc Mỹ và Châu Âu, bao gồm các nhóm nghiên cứu, tổ chức chính phủ, tổ chức phi chính phủ, công ty luật, cơ sở công nghiệp quốc phòng và nhiều tổ chức khác”.
Quad7 còn gọi là 7777 hoặc xlogin là chủ đề của các phân tích sâu rộng của Công ty an ninh mạng châu Âu Sekoia (Pháp) và Team Cymru trong những tháng gần đây. Phần mềm độc hại botnet đã được phát hiện nhắm vào một số thương hiệu bộ định tuyến SOHO và thiết bị VPN, bao gồm TP-Link, Zyxel, Asus, Axentra, D-Link và NETGEAR.
Các thiết bị này bị khai thác qua các lỗ hổng bảo mật đã được công bố và cả những lỗ hổng chưa được xác định để giành quyền thực thi mã từ xa. Tên của botnet được đặt dựa trên việc các router bị nhiễm một backdoor hoạt động trên cổng TCP 7777 nhằm hỗ trợ truy cập từ xa.
Quy trình khai thác của botnet CovertNetwork-1658
Sekoia chia sẻ vào tháng 9/2024 rằng, mạng botnet chủ yếu được sử dụng để thực hiện các tấn công vào tài khoản Microsoft 365, đồng thời cho biết thêm rằng những kẻ điều hành có khả năng là các nhóm tấn công được Trung Quốc tài trợ.
Microsoft cũng đánh giá rằng những người duy trì mạng botnet có trụ sở tại Trung Quốc và nhiều nhóm tấn công đe dọa từ quốc gia này đang sử dụng mạng botnet để thực hiện các cuộc tấn công dò mật khẩu nhằm phục vụ cho các hoạt động khai thác mạng máy tính tiếp theo. Ước tính có tới 8.000 thiết bị bị xâm phạm đang hoạt động trong mạng tại bất kỳ thời điểm nào, mặc dù chỉ có 20% trong số các thiết bị đó tham gia vào hoạt động dò mật khẩu.
Nhà sản xuất Windows cũng cảnh báo rằng cơ sở hạ tầng botnet đã chứng kiến sự suy giảm mạnh mẽ sau khi công khai, làm dấy lên khả năng những kẻ tấn công có thể đang xây dựng cơ sở hạ tầng mới được sửa đổi để tránh bị phát hiện.
Microsoft lưu ý rằng: “Bất kỳ tác nhân đe dọa nào sử dụng cơ sở hạ tầng CovertNetwork-1658 đều có thể tiến hành các chiến dịch dò mật khẩu ở quy mô lớn hơn, làm tăng đáng kể khả năng xâm phạm thông tin đăng nhập thành công và truy cập ban đầu vào nhiều tổ chức trong một khoảng thời gian ngắn. Quy mô này, kết hợp với việc luân chuyển nhanh chóng các thông tin đăng nhập bị xâm phạm giữa CovertNetwork-1658 và các nhóm tấn công từ Trung Quốc, tạo ra khả năng xâm phạm tài khoản trên nhiều lĩnh vực và khu vực địa lý”.
Bá Phúc
10:00 | 24/12/2024
17:00 | 07/11/2024
11:00 | 05/12/2024
10:00 | 04/12/2024
07:00 | 07/11/2024
09:00 | 08/11/2024
17:00 | 18/12/2024
15:00 | 23/01/2025
Một trong những cách hiệu quả nhất để các chuyên gia công nghệ thông tin (CNTT) phát hiện ra điểm yếu của công ty trước khi tin tặc tấn công là kiểm thử xâm nhập. Bằng cách mô phỏng các cuộc tấn công mạng trong thế giới thực, kiểm thử xâm nhập, đôi khi được gọi là pentest, cung cấp những hiểu biết vô giá về tình hình bảo mật của tổ chức, phát hiện ra những điểm yếu có khả năng dẫn đến vi phạm dữ liệu hoặc các sự cố bảo mật khác.
09:00 | 23/01/2025
Mới đây, các chuyên gia an ninh mạng đã phát đi cảnh báo liên quan đến chiến dịch lừa đảo trên nền tảng nhắn tin, gọi điện miễn phí và được mã hóa 2 chiều Signal.
08:00 | 02/01/2025
Mới đây, hãng bảo mật McAfee đã phát hiện một ứng dụng độc hại có chứa mã gián điệp trên Amazon Appstore. Theo thông tin được công bố, ứng dụng độc hại dùng để tính chỉ số khối cơ thể (BMI) nhưng lại được cài cắm phần mềm gián điệp, có khả năng ghi lại màn hình và truy cập danh sách các ứng dụng của người dùng.
09:00 | 27/12/2024
Các tên miền mới như ".shop", ".xyz" đang ngày càng trở nên phổ biến với tội phạm mạng do giá rẻ và quy trình đăng ký đơn giản là cảnh báo được đưa ra trong báo cáo Cybercrime Supply Chain 2024 của Interisle Consulting Group (Mỹ).
Các trang web giả mạo quảng cáo Google Chrome đã được sử dụng để phân phối trình cài đặt độc hại cho một loại trojan truy cập từ xa có tên là ValleyRAT.
13:00 | 14/02/2025