Tình báo mối đe dọa

Nhóm Ghostwriter Tấn Công Chính Phủ Ukraine Bằng Mã Độc Prometheus

Đội Ứng cứu khẩn cấp máy tính Ukraine (CERT-UA) vừa phát hiện chiến dịch tấn công mạng quy mô lớn của nhóm Ghostwriter (còn gọi là UAC-0057) nhắm vào các thực thể chính phủ bằng cách sử dụng các mồi nhử liên quan đến Prometheus - một nền tảng học trực tuyến phổ biến tại Ukraine.

Phương thức tấn công tinh vi

Chiến dịch bắt đầu bằng việc gửi các email lừa đảo từ các tài khoản đã bị chiếm đoạt trước đó. Email thường chứa một tệp đính kèm định dạng PDF với liên kết dẫn đến việc tải xuống kho lưu trữ ZIP chứa tệp JavaScript độc hại.

OYSTERFRESHTệp JavaScript ban đầu hiển thị tài liệu giả mạo để đánh lừa người dùng, đồng thời âm thầm ghi mã độc xuống Windows Registry.

OYSTERBLUESMã độc được mã hóa và lưu trữ trong Registry, có nhiệm vụ thu thập thông tin hệ thống như tên máy tính, phiên bản OS và danh sách tiến trình.

OYSTERSHUCKThành phần chịu trách nhiệm giải mã OYSTERBLUES và thực thi các lệnh tiếp theo từ máy chủ điều khiển (C2).

Mục tiêu cuối cùng: Cobalt Strike

Sau khi thiết lập được quyền truy cập ban đầu, tin tặc sẽ triển khai Cobalt Strike - một khung giả lập tấn công thường bị lạm dụng để duy trì sự hiện diện lâu dài và thực hiện các hoạt động hậu khai thác trong mạng lưới mục tiêu. Theo CERT-UA, chiến dịch này đã hoạt động tích cực từ mùa xuân năm 2026.

Hội đồng An ninh và Quốc phòng Quốc gia Ukraine cũng lưu ý rằng các nhóm tin tặc do Điện Kremlin hỗ trợ đang ngày càng tích hợp các công cụ AI như OpenAI ChatGPT và Google Gemini để thăm dò mục tiêu và tạo ra các câu lệnh thực thi độc hại ngay trong thời gian chạy (runtime).

Hành động khẩn cấp được khuyến nghị

✔ Hạn chế khả năng thực thi của tệp wscript.exe đối với các tài khoản người dùng tiêu chuẩn.
✔ Giám sát các kết nối mạng bất thường đến các máy chủ điều khiển lạ qua giao thức HTTP POST.
✔ Tăng cường đào tạo nhận thức về an ninh mạng đối với các email chứa liên kết tải xuống từ nguồn bên ngoài.
✔ Sử dụng các giải pháp EDR để phát hiện việc ghi đè trái phép vào Windows Registry.

Nguồn tham khảo: The Hacker News, CERT-UA

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS