Nhóm gián điệp mạng khét tiếng Sofacy trở lại với công cụ lây nhiễm mới

pull-icon
logo-mobile

Danh mục

Nhóm gián điệp mạng khét tiếng Sofacy trở lại với công cụ lây nhiễm mới

Nhóm Nghiên cứu và Phân tích Toàn cầu Kaspersky Lab (GReAT) vừa phát hiện những cuộc tấn công mới từ nhóm Sofacy trong đó sử dụng nhiều kỹ xảo tiên tiến được thiết kế để phục vụ tấn công lâu dài và hoạt động ẩn danh nguy hiểm hơn trên hệ thống mục tiêu.

Sofacy (được biết với những cái tên “Fancy Bear”, “Sednit”, “STRONTIUM” và “APT28) là mối đe dọa cấp cao đến từ Nga hoạt động ít nhất từ năm 2008, phần lớn nhắm vào tổ chức quân đội và chính phủ trên toàn thế giới. Kể từ khi bị phát hiện vào năm 2014, nhóm này chưa từng dừng lại. Thêm vào đó, các chuyên gia Kaspersky Lab còn phát hiện nhiều công cụ mới và cao cấp hơn trong kho vũ khí tấn công của Sofacy.

Bộ công cụ mới:

  • Có thể hoán đổi cho nhau: Kẻ tấn công sử dụng hàng loạt công cụ ngầm để lây nhiễm một mục tiêu với nhiều công cụ độc hại khác nhau, một trong số đó hoạt động như một công cụ tái nhiễm khi một công cụ khác bị giải pháp an ninh chặn lại hoặc xóa sổ.
  • Có thể tách rời được: Kẻ tấn công dùng đơn bộ hóa phần mềm độc hại, thêm nhiều tính năng của công cụ ngầm vào những module riêng biệt nhằm ẩn mình tốt hơn trong hệ thống bị tấn công. Kaspersky Lab nhận thấy đây là xu hướng ngày càng phổ biến trong những cuộc tấn công có mục tiêu.
  • Hệ thống air-gapped: trong nhiều cuộc tấn công gần đây (2015), nhóm Sofacy đã sử dụng phiên bản lây nhiễm đánh cắp từ USB, cho phép chúng sao chép dữ liệu từ máy tính trong hệ thống air-gapped.

Thủ thuật khôi phục và công cụ đánh cắp dữ liệu: cách thức hoạt động

Vào năm 2015, năm của làn sóng tấn công, một tổ chức trong ngành quốc phòng bị tấn công bởi một phiên bản của AZZY – trojan thường được Sofacy sử dụng để thâm nhập vào thiết bị và tải xuống nhiều công cụ độc hại bổ sung. Sản phẩm của Kaspersky Lab đã chặn phần mềm độc hại này và sự việc đến đây có thể đã kết thúc. Nhưng những gì xảy ra tiếp theo lại khá bất thường: chỉ 1 tiếng đồng hồ sau khi chặn trojan, một phiên bản khác của nó được kẻ tấn công tạo ra và cài vào PC mục tiêu. Phiên bản này trốn công nghệ AV thông thường, nhưng vẫn bị phát hiện bởi hệ thống phụ phòng chống xâm nhập máy chủ (HIPS).

Tấn công nhanh chóng, đều đặn của Sofacy đã làm chuyên gia Kaspersky Lab chú ý và họ bắt đầu điều tra sâu hơn. Rất nhanh sau đó họ đã phát hiện ra phiên bản mới của trojan được tải xuống không thông qua khai thác zero-day (đây được xem là thói quen của Sofacy) mà bằng công cụ lây nhiễm khác (được đặt tên là “msdeltemp.dll”).

Trojan “msdeltemp.dll” là công cụ download cho phép tin tặc gửi lệnh và lấy dữ liệu từ máy bị lây nhiễm, cũng được dùng để tải trojan tinh vi hơn vào hệ thống. Nếu trojan thứ yếu bị phần mềm an ninh chặn lại, tin tặc vẫn có thể sử dụng trojan msdeltemp.dll để lấy phiên bản mới từ C&C và cài đặt lại trên máy bị tấn công.

Đây là ví dụ sử dụng nhiều trojan để đạt khả năng phục hồi cao nhất. Thủ thuật này không mới và Sofacy cũng đã sử dụng từ trước. Tuy nhiên, chúng sử dụng dropper để cài đặt 2 trojan SPLM và AZZY. Nếu 1 trong 2 bị phát hiện thì trojan còn lại vẫn giúp kẻ tấn công có quyền tiếp tục truy cập. Trong những đợt tấn công mới, phương thức của chúng đã thay đổi: chúng sẽ tải xuống phiên bản mới của AZZY để thay thế cho phiên bản bị chặn mà không cần phải thực hiện toàn bộ quá trình lây nhiễm như ban đầu.

Tách chức năng liên lạc của C&C khỏi trojan chính cũng là cách giảm sự chú ý đến nó. Vì nó không trực tiếp truyền dữ liệu ra ngoài máy tính bị tấn công nên dưới góc độ an ninh, nó sẽ ít gây sự nghi ngờ hơn.

Bên cạnh việc thay đổi phương thức phục hồi, các chuyên gia Kaspersky Lab còn phát hiện ra nhiều phiên bản module USB dùng để đánh cắp của Sofacy giúp lấy dữ liệu từ mạng air-gapped. Module USBSTEALER được thiết kế tùy thuộc vào quy luật mà kẻ tấn công đưa vào để theo dõi ổ đĩa di động và lấy file từ chúng. Dữ liệu bị đánh cắp được sao chép vào thư mục ẩn, sau đó kẻ tấn công sẽ lấy nó ra nhờ các phiên bản của AZZY.

Những phiên bản đầu tiên của thế hệ module USB dùng để đánh cắp đã có từ tháng 2/2015 và dường như chỉ tập trung vào mục tiêu cấp cao.

Costin Raiu, Giám đốc GReAT Team, Kaspersky Lab cho biết: “Thông thường, khi ai đó công bố nghiên cứu về một nhóm gián điệp mạng, chúng sẽ phản ứng lại bằng cách chúng sẽ dừng lại hoặc thay đổi phương thức và chiến thuật. Với Sofacy thì không phải lúc nào cũng như vậy. Chúng tôi đã chứng kiến chúng tấn công trong nhiều năm cho đến bây giờ và hoạt động của chúng cũng đã bị cộng đồng bảo mật phát hiện rất nhiều lần. Trong năm 2015, hoạt động của chúng tăng lên đáng kể, thực hiện không dưới 5 zero-day, khiến cái tên Sofacy trở thành mối đe dọa nhanh nhẹn và năng động nhất trên đấu trường. Chúng tôi có nhiều lí do tin rằng những cuộc tấn công sẽ vẫn tiếp diễn”.

Chiến lược bảo vệ

Sản phẩm của Kaspersky Lab phát hiện một số mẫu phần mềm độc hại mới được Sofacy sử dụng với những cái tên sau: Trojan.Win32.Sofacy.al, Trojan.Win32.Sofacy.be, Trojan.Win32.Sofacy.bf, Trojan.Win32.Sofacy.bg, Trojan.Win32.Sofacy.bi, Trojan.Win32.Sofacy.bj, Trojan.Win64.Sofacy.q, Trojan.Win64.Sofacy.s, HEUR:Trojan.Win32.Generic.

Để bảo vệ tổ chức trước các cuộc tấn công tinh vi có chủ đích, bao gồm từ Sofacy, Kaspersky Lab khuyến nghị sử dụng phương pháp đa tầng có kết hợp của:

  • Công nghệ truyền thống chống phần mềm độc hại
  • Quản lý bản vá lỗi
  • Phát hiện xâm nhập máy chủ
  • Chiến lược whilelist và chặn mặc định

Tìm hiểu thêm về sản phẩm Kaspersky Lab giúp bảo vệ trước tấn công của Sofacy tại blog Business của chúng tôi.

Tìm hiểu thêm về Sofacy tại Securelist.com.

Khách hàng của Kaspersky Intelligent Services có thể liên hệ intelreports@kaspersky.com để biết thêm thông tin về Sofacy.

Để biết thêm thông tin về các chiến dịch khác từ các nhóm gián điệp mạng Nga đã được Kaspersky Lab tìm ra, vui lòng truy cập https://apt.securelist.com/#secondPage/language=5.

Tìm hiểu về bối cảnh APT trong năm 2016, và cách các cuộc tấn công được điều tra:

Bài viết liên quan

Dự đoán 2022: Lừa đảo tinh vi, rò rỉ dữ liệu, đào tiền ảo và tấn công NFT là những xu hướng nổi bật tại Đông Nam Á
Dự đoán 2022: Lừa đảo tinh vi, rò rỉ dữ liệu, đào tiền ảo và tấn công NFT là những xu hướng nổi bật tại Đông Nam Á

Sau 2 năm đại dịch, cũng như các khu vực khác trên thế giới, Đông Nam Á đang chuẩn bị sẵn sàng cho một năm phục hồi 2022. Các cá nhân và tổ chức thuộc mọi lứa tuổi cũng đã sẵn sàng để trở lại cuộc sống bình thường như trước đây: làm việc tại văn phòng, đi học, và các chính sách về du lịch cũng đang dần được triển khai để hoạt động.

Kaspersky APAC dẫn đầu trong bảng xếp hạng Canalys về sự hài lòng từ đại lý năm thứ hai liên tiếp
Kaspersky APAC dẫn đầu trong bảng xếp hạng Canalys về sự hài lòng từ đại lý năm thứ hai liên tiếp

Kaspersky vừa được công nhận vị trí dẫn đầu trong Canalys Channel Leadership Matrix khu vực châu Á – Thái Bình Dương (APAC) năm thứ 2 liên tiếp với tổng tỷ lệ về sự hài lòng đạt 96,1% - tỷ lệ cao nhất trong tất cả các nhà cung cấp bảo mật.

Editor’s Choice Awards 2021: Kaspersky – Thương hiệu bảo mật hiệu quả và uy tín nhất
Editor’s Choice Awards 2021: Kaspersky – Thương hiệu bảo mật hiệu quả và uy tín nhất

Kaspersky được bình chọn là Thương hiệu bảo mật hiệu quả và uy tín nhất của giải Editor’s Choice 2021, vì đã có nhiều đóng góp không ngừng cho ngành an ninh mạng toàn cầu, liên tục phát hiện nhiều chiến dịch tấn công lừa đảo, và những giải pháp bảo mật hiệu quả rất cao. Đây là năm thứ 3 liên tiếp Kaspersky vinh dự nhận giải thưởng này do Tạp chí Thế Giới Số tổ chức.

Từ chuyện những trạm xăng dầu đến đảm bảo an ninh mạng cho cơ sở hạ tầng các ngành công nghiệp
Từ chuyện những trạm xăng dầu đến đảm bảo an ninh mạng cho cơ sở hạ tầng các ngành công nghiệp

Hệ thống điều khiển công nghiệp (Industrial Control Systems – ICS) là một tổ hợp có cấu trúc phức tạp bao gồm các phương tiện kỹ thuật đa nhiệm, các chương trình phần mềm và hệ điều hành chuyên dụng kèm theo những chức năng quan trọng. Do vậy, ICS yêu cầu các giải pháp phù hợp và cụ thể trong việc bảo đảm an toàn, an ninh mạng; và điều này không đơn giản chỉ là lý thuyết.

Gần 50% sự cố bảo mật do Nhóm ứng phó sự cố Kaspersky xử lý đều liên quan đến ransomware
Gần 50% sự cố bảo mật do Nhóm ứng phó sự cố Kaspersky xử lý đều liên quan đến ransomware

Nhóm ứng phó khẩn cấp toàn cầu của Kaspersky (Kaspersky’s Global Response Emergency Team - GERT) được các công ty liên hệ nhằm hạn chế thiệt hại và ngăn chặn cuộc tấn công lan rộng. Đây là giải pháp ứng phó sự cố (Incident response - IR) dành riêng cho các tổ chức quy mô vừa và lớn.

Nhận ưu đãi Bỏ qua