Cảnh báo mã độc

Nhóm tấn công mạng Webworm (có liên kết với Trung Quốc) vừa bị phát hiện đang triển khai các backdoor tùy chỉnh mới là EchoCreep và GraphWorm. Những mã độc này lợi dụng các dịch vụ đám mây hợp pháp như Discord và Microsoft Graph API để thực hiện hành vi điều khiển và chiếm đoạt dữ liệu, khiến việc phát hiện trở nên cực kỳ khó khăn.

Phương thức tấn công của Webworm

Webworm đã hoạt động từ ít nhất năm 2022, chuyên nhắm mục tiêu vào các cơ quan chính phủ, ngành hàng không vũ trụ và năng lượng tại Nga, Georgia, Mông Cổ và nhiều quốc gia châu Á. Gần đây, nhóm này đã mở rộng phạm vi sang châu Âu và sử dụng các kỹ thuật tinh vi để ẩn mình.

Backdoor EchoCreep

Lợi dụng nền tảng Discord để làm máy chủ điều khiển (C2). Nó cho phép tin tặc tải lên/tải xuống tệp và thực thi các lệnh hệ thống thông qua cmd.exe.

Backdoor GraphWorm

Sử dụng Microsoft Graph API để giao tiếp. Mã độc này có thể quản lý tệp trên OneDrive, khởi tạo tiến trình mới và tự hủy để xóa dấu vết khi cần thiết.

Chiến thuật ẩn mình qua dịch vụ hợp pháp

Thay vì sử dụng các Trojan truy cập từ xa (RAT) truyền thống, Webworm đang chuyển dần sang các công cụ proxy tùy chỉnh như WormFrp, ChainWorm và lợi dụng các dịch vụ uy tín:

GitHub: Giả mạo các kho lưu trữ WordPress để lưu trữ mã độc và SoftEther VPN.
Amazon S3: Sử dụng các bucket bị chiếm quyền điều khiển để lấy cấu hình tấn công.
Kỹ thuật Brute-force: Sử dụng các công cụ mã nguồn mở như dirsearch và nuclei để tìm lỗ hổng trên máy chủ nạn nhân.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP

Giám sát chặt chẽ các kết nối mạng bất thường đến API của Discord (discordapp.com) và Microsoft Graph (graph.microsoft.com).
Kiểm tra và ngăn chặn việc sử dụng trái phép SoftEther VPN hoặc các công cụ proxy lạ trong mạng nội bộ.
Tăng cường kiểm tra các lỗ hổng trên máy chủ web để ngăn chặn hành vi brute-force thư mục.
Triển khai giải pháp EDR để phát hiện sớm các tiến trình cmd.exe được khởi tạo từ ứng dụng mạng.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo: Nhóm Webworm triển khai backdoor EchoCreep và GraphWorm qua Discord và Microsoft Graph API