Cảnh báo tấn công APT

Nhóm tin tặc Ghostwriter nhắm mục tiêu vào các cơ quan Chính phủ Ukraine

Cơ quan Ứng cứu khẩn cấp máy tính Ukraine (CERT-UA) vừa phát hiện một chiến dịch tấn công mạng mới của nhóm Ghostwriter (còn gọi là UAC-0057 hoặc UNC1151). Nhóm này đã sử dụng các mồi nhử liên quan đến Prometheus - một nền tảng học trực tuyến phổ biến tại Ukraine - để phát tán mã độc tinh vi.

Chi tiết phương thức tấn công

Chiến dịch bắt đầu bằng việc gửi các email lừa đảo (phishing) từ những tài khoản bị chiếm đoạt. Quy trình lây nhiễm diễn ra qua nhiều giai đoạn phức tạp nhằm tránh sự phát hiện của các giải pháp an ninh:

Mồi nhử JavaScript

Tệp đính kèm PDF chứa liên kết tải về kho lưu trữ ZIP. Bên trong là tệp JavaScript có tên OYSTERFRESH, dùng để hiển thị tài liệu giả mạo nhằm đánh lạc hướng người dùng.

Mã độc OYSTER

Hệ thống sẽ thực thi mã độc OYSTERBLUES (ẩn trong Windows Registry) và OYSTERSHUCK chịu trách nhiệm giải mã, thu thập dữ liệu hệ thống.

Mục tiêu và Hậu quả

Mã độc OYSTER được thiết kế để thu thập một loạt thông tin nhạy cảm của hệ thống bao gồm: tên máy tính, tài khoản người dùng, phiên bản hệ điều hành và danh sách các tiến trình đang chạy. Dữ liệu này được gửi về máy chủ điều khiển (C2) qua giao thức HTTP POST.

Giai đoạn cuối của cuộc tấn công thường là triển khai Cobalt Strike - một khung giả lập tấn công thường bị tin tặc lạm dụng để duy trì quyền truy cập lâu dài và thực hiện các hoạt động hậu khai thác trong mạng lưới nội bộ.

Hành động khẩn cấp cho quản trị viên

Hạn chế thực thi: Ngăn chặn khả năng chạy tệp wscript.exe đối với các tài khoản người dùng tiêu chuẩn để cắt đứt chuỗi lây nhiễm JavaScript.
Giám sát Registry: Theo dõi các thay đổi bất thường trong Windows Registry, đặc biệt là các khóa lưu trữ dữ liệu mã hóa lớn.
Đào tạo nhận thức: Cảnh báo nhân viên về các email chứa tài liệu liên quan đến nền tảng Prometheus hoặc các thông báo đào tạo trực tuyến không rõ nguồn gốc.

Nguồn tham khảo: The Hacker News / CERT-UA

Liên hệ đội ngũ ứng cứu sự cố TMGS

Nhóm tin tặc Ghostwriter tấn công Chính phủ Ukraine bằng mã độc Phishing Prometheus