Cảnh báo mã độc ngân hàng

Chiến dịch Grandoreiro và BTMOB RAT: Hiểm họa tấn công đa nền tảng

Các chuyên gia bảo mật từ WatchGuard và ESET vừa phát hiện hai chiến dịch mã độc ngân hàng quy mô lớn: Grandoreiro nhắm vào Windows và BTMOB RAT tấn công Android, đe dọa trực tiếp đến tài khoản tài chính của người dùng tại châu Âu và Mỹ Latinh.

Grandoreiro: Kỹ thuật DLL Side-loading tinh vi trên Windows

Grandoreiro, loại mã độc ngân hàng hoạt động từ năm 2016, đã quay trở lại với các phương thức lẩn trốn mới. Trong chiến dịch mới nhất, nó sử dụng kỹ thuật DLL Side-loading để vượt qua các lớp bảo vệ truyền thống.

Giao thức STUN/ICE: Mã độc lạm dụng các giao thức hội thoại trực tuyến để ẩn mình trong lưu lượng mạng thông thường, khiến việc phát hiện trở nên cực kỳ khó khăn.

Mục tiêu tài chính: Chiến dịch nhắm vào các ngân hàng lớn như Santander, Revolut, Wise và các định chế tài chính tại Bồ Đào Nha, Tây Ban Nha.

Ngôn ngữ Delphi 11: Các tệp DLL độc hại được phát triển bằng Delphi 11, tích hợp thư viện sgcWebSockets để liên lạc P2P và WebRTC.

Kiểm tra CAPTCHA: Để chống lại các hệ thống phân tích tự động (Sandbox), mã độc yêu cầu người dùng giải CAPTCHA trước khi thực thi payload cuối cùng.

BTMOB RAT: Mã độc điều khiển từ xa trên Android

BTMOB RAT xuất hiện như một sự kế thừa nguy hiểm của CraxsRAT, được bán dưới dạng Malware-as-a-Service (MaaS) với giá từ 700 USD/tháng. Loại mã độc này cho phép kẻ tấn công kiểm soát hoàn toàn thiết bị Android của nạn nhân.

Lừa đảo qua Social Engineering: Nạn nhân bị dẫn dụ cài đặt các tệp APK giả mạo cửa hàng Google Play hoặc dịch vụ streaming.
Lạm dụng Accessibility Services: Sau khi cài đặt, mã độc yêu cầu quyền hỗ trợ (Accessibility) để tự cấp thêm các quyền hệ thống mà không cần sự tương tác của người dùng.
Tính năng nguy hiểm: Chụp màn hình, ghi lại thao tác bàn phím (keylogging), chiếm đoạt mã PIN Alipay và thực hiện các giao dịch ngân hàng giả mạo thông qua HTML injection.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP VÀ NGƯỜI DÙNG

Cảnh giác với Email: Tuyệt đối không nhấp vào liên kết hoặc tải tệp đính kèm từ các email yêu cầu cập nhật phần mềm (như Adobe Reader) không rõ nguồn gốc.
Bảo mật Android: Chỉ cài đặt ứng dụng từ Google Play Store. Kiểm tra kỹ danh sách các ứng dụng đang sử dụng quyền "Accessibility Service".
Triển khai giải pháp EDR: Sử dụng các công cụ giám sát hành vi để phát hiện sớm kỹ thuật DLL side-loading và các kết nối mạng bất thường qua STUN/ICE.
Đào tạo nhận thức: Nâng cao khả năng nhận biết các trang web giả mạo dịch vụ tài chính hoặc khai thác tiền điện tử.

Nguồn tham khảo: The Hacker News

Liên hệ đội ngũ ứng cứu sự cố TMGS

Cảnh báo mã độc Grandoreiro và BTMOB RAT tấn công người dùng Windows, Android