Nhóm hacker APT10 quốc tịch Trung Quốc hướng tấn công về Đông Nam Á

Thảo luận trong 'Tin tức 365' bắt đầu bởi News, 09/09/2019.

  1. Offline

    News Người đưa tin

    Số bài viết:
    6.181
    Đã được thích:
    2.068
    (MobileWorld.vn) - Sau quá trình theo dõi chặt chẽ các hoạt động của APT10, Kaspersky đã phát hiện nỗ lực lây nhiễm mới từ nhóm tấn công mạng khét tiếng này hướng vào những tổ chức ở khu vực Đông Nam Á. Làn sóng tấn công mới có khả năng nhắm vào các cơ sở y tế ở Malaysia trong khoảng từ tháng 10 đến tháng 12/2018 và Việt Nam từ tháng 2 đến tháng 5/2019.

    [IMG]
    Ông Suguru Ishimaru, Nhà nghiên cứu bảo mật tại Kaspersky

    Loại mã độc được sử dụng ở hai quốc gia lần này khác với các thủ thuật APT10 đã từng dùng, nhưng mục đích vẫn là đánh cắp thông tin riêng tư từ các máy bị nhiễm.

    Suguru Ishimaru, Nhà nghiên cứu bảo mật tại Kaspersky cho biết: “Chúng tôi đã theo dõi hoạt động của APT10, đặc biệt là tại Nhật Bản nơi chúng gây rò rỉ thông tin và thiệt hại nghiêm trọng về uy tín doanh nghiệp. Chúng được biết đến với các chiến dịch tấn công mạng lén lút và quy mô lớn, bị hấp dẫn bởi thông tin mật và thậm chí là bí mật thương mại. Hiện tại APT10 đang mở rộng tấn công vào Đông Nam Á, có khả năng để mắt đến một số tổ chức y tế và hiệp hội ở Malaysia và Việt Nam.”

    APT10 - còn được gọi là MenuPass, StonePanda, ChessMaster, Cloud Hopper và Red Apollo - được biết đến với một số cuộc tấn công chống lại các ngành công nghiệp khác nhau, bao gồm thông tin và công nghệ, Chính phủ và quốc phòng, viễn thông, học thuật, y tế và dược phẩm kể từ năm 2009.

    Báo cáo từ PwC vào tháng 12/2018 cho biết nhóm hacker bị cáo buộc được quốc gia hậu thuẫn đã lây nhiễm thành công vào các công ty MSP (nhà cung cấp dịch vụ quản lý) như Hewlett Packard Enterprise Co và IBM. Thông qua tấn công, tội phạm mạng đã đánh cắp dữ liệu cá nhân khách hàng của công ty là khách hàng của các đơn vị này. Các tập đoàn Úc nằm trong số những mục tiêu này.

    Báo cáo mới nhất cũng cho thấy tấn công APT10 xuất hiện ở Philippines, cũng như chống lại các công ty viễn thông ở Châu Âu, Châu Phi, Trung Đông và Châu Á.

    Nhóm hacker được biết đến là nhóm tội phạm mạng mang quốc tịch Trung Quốc. Mặc dù những lĩnh vực mục tiêu của chúng đã thay đổi kể từ cuộc tấn công đầu tiên, mục tiêu của APT10 vẫn là đánh cắp thông tin quan trọng bao gồm dữ liệu bí mật, thông tin quốc phòng và bí mật của công ty.

    APT10 sử dụng phương pháp thử và sai để thay đổi hoạt động

    Trước đây, APT10 được biết đến với việc sử dụng nhiều loại RAT hoặc Trojans truy cập từ xa, bao gồm Poison Ivy, PlugX, ChChes, Redleaves...

    Năm 2017, Kaspersky đã phát hiện mã độc PlugX trong các công ty dược tại Việt Nam để đánh cắp các công thức thuốc quý và thông tin kinh doanh. Mã độc này thường được phát tán thông qua hoạt động lừa đảo và trước đây đã được sử dụng bởi các nhóm hacker quốc tịch Trung Quốc trong những cuộc tấn công chống lại quân đội, Chính phủ và các tổ chức chính trị.

    Tại Nhật Bản, APT10 khét tiếng đã sử dụng Redleaves, một phần mềm độc hại chỉ chạy trong bộ nhớ và các biến thể của nó từ tháng 10 năm 2016 đến tháng 4 năm 2018. Các nhà nghiên cứu của Kaspersky đã phát hiện hơn 120 mô-đun độc hại của Redleaves và các biến thể của nó như Himawari và Lavender.

    Trong mẫu của Himawari, các nhà nghiên cứu đã tìm thấy thuật ngữ y tế cũng như tài liệu giải mã liên quan đến những tổ chức y tế, chăm sóc sức khỏe và dược phẩm. Tất cả các mẫu nhắm đến mục tiêu ngành y tế được bảo vệ bằng mật khẩu, làm cản trở các nhà nghiên cứu khi tiến hành phân tích sâu hơn.

    Ishimaru cho biết thêm: “Vào tháng 4 năm 2018, chúng tôi đã quan sát thấy một thủ thuật mới đang được APT10 - Zark20rk sử dụng. Nó là một biến thể của Redleaves nhưng các tin tặc đứng sau nhóm này đã cập nhật một số thuật toán mật mã, cấu trúc dữ liệu và các tính năng phần mềm độc hại cũng như thêm một số chuỗi khóa liên quan đến Nga. Dựa trên mô hình hành vi của chúng, có thể nói đây là tín hiệu giả để gây nhầm lẫn cho các nhà nghiên cứu trong quá trình theo dõi hoạt động của chúng.”

    Đối với các cuộc tấn công có khả năng chống lại những tổ chức chăm sóc sức khỏe ở Malaysia và Việt Nam, Kaspersky tiết lộ rằng nhóm hacker đã thay đổi RAT chính của mình từ Redleaves thành một cửa hậu nổi tiếng có tên là ANEL. ANEL thường bắt đầu bằng một tài liệu từ bị nhiễm có chứa macro VBA gây lây nhiễm cho các mô-đun ANEL.

    Để che giấu tốt hơn hành tung của mình, APT10 đã dùng các phương pháp someanti-AV và chống đảo ngược trong ANEL và những mô-đun của nó như: mã hóa chống đảo ngược, mã hóa nhiều lần cho cấu hình mã độc và kết nối với C2 (máy chủ chỉ huy và kiểm soát), cũng như mã độc không dây chỉ được thực thi trong bộ nhớ như Redleaves.

    :mw:


Tags: Kaspersky

Chia sẻ trang này