Chuyên gia Kaspersky cho rằng tấn công Solarwinds có liên hệ với backdoor Kazuar

Thảo luận trong 'Tin tức 365' bắt đầu bởi News, 12/01/2021.

  1. Offline

    News Người đưa tin

    Số bài viết:
    6.832
    Đã được thích:
    2.076
    (MobileWorld.vn) - Vào ngày 13/12/2020 vừa qua, FireEye, Microsoft và SolarWinds cùng thông báo phát hiện một cuộc tấn công chuỗi cung ứng lớn và tinh vi phát tán một phần mềm độc hại chưa từng được biết đến. Phần mềm độc hại có tên Sunburst, đã tấn công những khách hàng sử dụng phần mềm Orion của SolarWinds. Các chuyên gia của Kaspersky đã tìm thấy nhiều điểm tương đồng về mã giữa Sunburst và các phiên bản đã biết của backdoor Kazuar - phần mềm độc hại cho phép quyền truy cập từ xa vào thiết bị của nạn nhân. Phát hiện mới cung cấp nhiều thông tin chi tiết, có thể giúp các nhà nghiên cứu tiến hành điều tra vụ tấn công.

    [IMG]

    Trong quá trình nghiên cứu backdoor Sunburst, các chuyên gia của Kaspersky đã phát hiện một số tính năng tương đồng với Kazuar - từng được xác định là backdoor được viết trên nền .NET framework. được phát hiện lần đầu tiên bởi Palo Alto vào năm 2017 và được sử dụng trong các cuộc tấn công gián điệp mạng trên toàn cầu. Nhiều điểm tương đồng về mã cho thấy mối liên hệ giữa Kazuar và Sunburst, tuy nhiên về bản chất vẫn chưa thể xác định chính xác sự liên quan này.

    Các tính năng tương đồng giữa Sunburst và Kazuar bao gồm thuật toán tạo mã định danh người dùng (UID), thuật toán phân tích giấc ngủ ban đầu và việc sử dụng rộng rãi hàm băm FNV1a. Theo các chuyên gia, các đoạn mã không giống hệt nhau, cho thấy Kazuar và Sunburst có thể liên quan đến nhau mặc dù bản chất sự liên quan chưa hoàn toàn rõ ràng.

    Sau khi Sunburst hoạt động lần đầu vào tháng 2/2020, Kazuar tiếp tục phát triển và đến cuối năm 2020 nhiều biến thể có nhiều điểm tương đồng với những biến thể của Sunburst.

    Trong suốt nhiều năm, các chuyên gia đã quan sát thấy sự phát triển liên tục của Kazuar, trong đó, những tính năng quan trọng, tương tự như Sunburst, đã được thêm vào phần mềm độc hại. Với những điểm tương đồng rất đáng chú ý giữa Kazuar và Sunburst, có rất nhiều lý do cho sự tồn tại của chúng, bao gồm việc Sunburst được phát triển bởi cùng một nhóm tin tặc với Kazuar, hoặc nhóm phát triển Sunburst lấy cảm hứng từ Kazuar, người phát triển Kazuar chuyển đến nhóm Sunburst làm việc, hoặc cả hai nhóm cùng đứng sau Sunburst và Kazuar đã lấy phần mềm độc hại từ cùng một nguồn.

    Chi tiết kỹ thuật về điểm tương đồng của Solarwinds và Kazuar có trong báo cáo tại Securelist.
    Nghiên cứu của Kaspersky về Sunburst được đăng tải tại link. Để tìm hiểu cách Kaspersky bảo vệ khách hàng trước backdoor Sunburst, vui lòng truy cập link.

    :mw:


Tags: Kaspersky

Chia sẻ trang này