Kaspersky - Báo cáo tấn công APT năm 2019: Các nhóm tin tặc liên tục nhắm đến nguồn thông tin mật ở Đông Nam Á

Kaspersky tiết lộ một số nhóm tin tặc đã và vẫn đang hoạt động ở Đông Nam Á. Phát hiện của Kaspersky cho thấy xu hướng trong bối cảnh đe dọa mạng tại Đông Nam Á hiện nay chính là sự gia tăng hoạt động ngày càng tinh vi của các nhóm tấn công APT.

Với cơn “khát” thông tin và dữ liệu, năm 2019 là năm bận rộn của tội phạm mạng khi chúng tung ra nhiều công cụ tấn công mới, trong đó có công cụ gián điệp thông qua mã độc di động nhằm đánh cắp thông tin từ các tổ chức và chính phủ trong khu vực.

Ông Vitaly Kamluk, giám đốc Nhóm Nghiên cứu và Phân tích Toàn cầu (GreAT) khu vực APAC của Kaspersky cho biết: “Địa chính trị là một trong những yếu tố chính định hình toàn cảnh tình hình an ninh mạng ở Đông Nam Á. Các cuộc điều tra của chúng tôi về tấn công APT nhắm vào Đông Nam Á vào năm 2019 cho thấy động lực tấn công chủ yếu của tin tặc là thu thập thông tin tình báo địa chính trị và kinh tế. Do vậy, nạn nhân chủ yếu là các tổ chức chính phủ, các tổ chức ngoại giao và các đảng chính trị.”

Kamluk giải thích: “Đông Nam Á là khu vực có tính đa dạng về dân tộc, quan điểm chính trị, cũng như tình hình phát triển kinh tế. Điều này thúc đẩy sự đa dạng của các cuộc tấn công mạng và chạy đua vũ trang ở nhiều quốc gia trong khu vực. Chúng tôi nhận thấy những nhóm tấn công APT lâu năm đã và đang phát triển các công cụ tốt hơn, trở nên thận trọng hơn, cải tiến kỹ thuật cao hơn với mong muốn đạt được nhiều mục tiêu lớn hơn trong thời gian tới.”

Kaspersky tiết lộ các nhóm APT lớn và những phần mềm độc hại được cho rằng sẽ định hình bối cảnh an ninh mạng ở Đông Nam Á trong thời gian 2019 - 2020.

FunnyDream

(Mục tiêu ở Đông Nam Á: Malaysia, Philippines, Thái Lan, Việt Nam)

Đầu năm 2020, Kaspersky đã công bố báo cáo dựa trên điều tra về một chiến dịch tấn công mạng đang diễn ra có tên “FunnyDream”. Nhóm tin tặc mang quốc tịch Trung Quốc này đã hoạt động ít nhất vài năm và có nhiều khả năng tấn công khác nhau.

Kể từ giữa năm 2018, các nhà nghiên cứu tại Kaspersky đã nhận thấy các hoạt động liên tục từ nhóm tin tặc này. Trong số các mục tiêu của chúng có các tổ chức chính phủ cấp cao và đảng chính trị từ nhiều quốc gia châu Á bao gồm Philippines, Thái Lan, Việt Nam và Malaysia.

Chiến dịch này bao gồm một số công cụ gián điệp mạng với nhiều khả năng tấn công khác nhau. Theo dõi mới nhất của Kaspersky cho thấy các cuộc tấn công gián điệp của FunnyDream vẫn đang tiếp diễn.

Người dùng Kaspersky Threat Portal có thể nhận được những thông tin cập nhật nhất về nhóm tin tặc này.

Platinum

(Mục tiêu ở Đông Nam Á: Indonesia, Malaysia, Việt Nam)

Platinum là một trong những nhóm tin tặc APT sở hữu công nghệ tiên tiến nhất với trọng tâm tấn công là khu vực châu Á Thái Bình Dương (APAC). Vào năm 2019, các nhà nghiên cứu của Kaspersky đã phát hiện Platinum sử dụng một cửa hậu mới gọi là Titanium, được đặt theo mật khẩu của một trong những tài liệu lưu trữ được nhóm hacker tự thực hiện.

Titanium là kết quả của một chuỗi các giai đoạn thả, tải xuống và cài đặt mã độc. Phần mềm độc hại ẩn nấp bằng cách bắt chước những phần mềm bảo vệ, phần mềm điều khiển âm thanh, hay công cụ tạo video DVD phổ biến.

Các thực thể ngoại giao và chính phủ của Indonesia, Malaysia và Việt Nam được xác định là nạn nhân của Platinum.

Cycldek

(Mục tiêu ở Đông Nam Á: Lào, Philippines, Thái Lan, Việt Nam)

Một nhóm APT khác nhắm vào các nước Đông Nam Á vào năm 2019 là nhóm tin tặc quốc tịch Trung Quốc có tên “Cycldek”. Mặc dù mục tiêu chính của Cycldek là mạng lưới chính phủ ở Việt Nam và Lào, nhưng Kaspersky cũng đã nhận thấy 3% mục tiêu của nhóm là ở Thái Lan. Kaspersky cũng đã xác định được một mục tiêu ở Philippines trong làn sóng tấn công 2018-2019.

Cycldeck còn được gọi là Goblin Panda, nổi tiếng với các hành vi trộm thông tin và hoạt động gián điệp trên nhiều lĩnh vực của chính phủ, quốc phòng và năng lượng trong khu vực bằng cách sử dụng các biến thể phần mềm độc hại PlugX và HttpTunnel.

HoneyMyte

(Mục tiêu ở Đông Nam Á: Myanmar, Singapore, Việt Nam)

Năm 2019, Kaspersky đã công bố một số báo cáo liên quan đến các cuộc tấn công của nhóm tin tặc HoneyMyte. Nhóm đã bắt đầu một chiến dịch spearphishing mới vào giữa năm 2018, tiếp nối đến năm 2019 và nhắm vào các tổ chức chính phủ khác nhau từ các quốc gia Trung và Đông Nam Á. Trong số các nạn nhân, Kaspersky đã phát hiện những thực thể có trụ sở tại Singapore bị nhắm đến trong làn sóng tấn công này.

Các tổ chức chính phủ của Myanmar và Việt Nam cũng là những mục tiêu chính của HoneyMyte, sử dụng các mẫu độc hại Lnk, PlugX, powershell và .Net.

Finspy

(Mục tiêu ở Đông Nam Á: Indonesia, Myanmar, Việt Nam)

FinSpy là phần mềm gián điệp trên Windows, macOS và Linux. Nó có thể được cài đặt trên cả iOS và Android với cùng một bộ chức năng có sẵn cho mỗi nền tảng. Ứng dụng này cho phép kẻ tấn công gần như toàn quyền kiểm soát dữ liệu trên thiết bị nhiễm mã độc.

Mã độc có thể được cấu hình riêng cho từng nạn nhân và cung cấp cho kẻ tấn công thông tin chi tiết về người dùng, bao gồm danh bạ, lịch sử cuộc gọi, định vị địa lý, văn bản, sự kiện lịch, v.v. Mã độc cũng có thể ghi âm giọng nói và cuộc gọi VoIP, cũng như chặn tin nhắn tức thời.

Mã độc có khả năng nghe lén nhiều công cụ liên lạc như WhatsApp, WeChat, Viber, Skype, Line, Telegram, cũng như Signal và Threema. Bên cạnh các tin nhắn, FinSpy trích xuất các tệp được gửi và nhận bởi các nạn nhân trong các ứng dụng nhắn tin, cũng như dữ liệu về các nhóm và danh bạ.

Đầu năm 2019, Kaspersky đã báo cáo về phiên bản mới của FinSpy trên iOS và sau đó đã phát hiện ra phiên bản trên Android. Theo Kaspersky, người dùng tại Indonesia, Myanmar và Việt Nam nằm trong số các mục tiêu của hai loại phần mềm độc hại này.

PhantomLance

(Mục tiêu ở Đông Nam Á: Indonesia, Malaysia, Việt Nam)

Một mã độc di động khác ảnh hưởng đến một số quốc gia ở Đông Nam Á có tên PhantomLance - một chiến dịch gián điệp dài hạn với phần mềm gián điệp Trojans cho Android được triển khai ở các ứng dụng khác nhau, trong đó có Google Play. Sau khi phát hiện ra các mẫu tấn công, Kaspersky đã thông báo kịp thời cho Google.

RCS (Hệ thống điều khiển từ xa) được phát triển bởi một công ty cung cấp các giải pháp không gian mạng đã được tìm thấy nhắm mục tiêu đến các thực thể tại Indonesia, Malaysia và Việt Nam.

Ông Yeo Siang Tiong, Tổng giám đốc Kaspersky khu vực Đông Nam Á cho biết: “Những phát hiện của chúng tôi về bối cảnh mối đe dọa mạng tại Đông Nam Á vào năm 2019 cho thấy nhu cầu ngày càng cấp thiết đối với các tổ chức và cá nhân để tăng cường bảo mật mạng trong khu vực. Các nhóm tin tặc khác nhau với những kế hoạch và phương thức tấn công bí mật tiến hành nhiều chiến dịch gián điệp trong khu vực cho thấy an ninh mạng cần phải phát triển vượt xa những giải pháp chống virus và tường lửa thông thường. Tại Kaspersky, chúng tôi tin tưởng vào sự an toàn của cấu trúc an ninh mạng được xây dựng trên kiến thức chuyên sâu và thông tin tình báo kịp thời.”

“Với sự kết hợp giữa học máy và kiến ​​thức chuyên sâu, chúng tôi hiện đang theo dõi hơn 100 nhóm tin tặc APT đang hoạt động trên toàn cầu. Các báo cáo của chúng tôi mang đến cho các công ty, chính phủ và tổ chức phi thương mại góc nhìn toàn diện về bối cảnh đe dọa mạng hiện nay, từ đó hướng dẫn họ lập kế hoạch phòng thủ tốt hơn. Chúng tôi cũng ủng hộ việc chia sẻ thông tin trong ngành, như hiệp ước chia sẻ thông tin mà chúng tôi đã gia hạn năm ngoái với INTERPOL, vì chúng tôi tin rằng hợp tác là cách tốt nhất để chống lại các nhóm tấn công mạng.”

Để bảo mật an ninh mạng, giúp chống lại các cuộc tấn công APT, Kaspersky đề xuất các biện pháp:

• Cung cấp cho Trung tâm điều hành an ninh (SOC - Security Operation Center) các thông tin đe dọa mạng mới nhất để họ luôn cập nhật những công cụ và kỹ thuật được tội phạm mạng đang sử dụng.

• Để phát hiện, điều tra và khắc phục kịp thời những đe dọa mạng điểm cuối, hãy triển khai các giải pháp EDR như Kaspersky Endpoint Detection and Response.

• Ngoài việc áp dụng bảo vệ điểm cuối thiết yếu, cần triển khai giải pháp bảo mật giúp phát hiện các mối đe dọa nâng cao ở giai đoạn đầu, như Kaspersky Anti Targeted Attack Platform.