CẢNH BÁO TẤN CÔNG APT

Nhóm tin tặc Ghostwriter (còn được gọi là UAC-0057 hoặc UNC1151), một nhóm APT có liên kết với Belarus, đã khởi động chiến dịch tấn công tinh vi nhắm vào các thực thể chính phủ Ukraine, sử dụng các mồi nhử lừa đảo liên quan đến nền tảng học tập trực tuyến Prometheus.

Cơ chế phát tán và chuỗi mã độc OYSTER

Chiến dịch bắt đầu bằng các email lừa đảo được gửi từ các tài khoản bị chiếm đoạt. Email chứa tệp đính kèm PDF với các liên kết dẫn đến việc tải xuống tệp lưu trữ ZIP chứa mã JavaScript độc hại. Thay vì chỉ là một mã độc đơn lẻ, Ghostwriter sử dụng một chuỗi các thành phần để tối ưu khả năng xâm nhập:

OYSTERFRESH: Mã JavaScript hiển thị tài liệu mồi nhử để đánh lạc hướng, đồng thời âm thầm ghi payload OYSTERBLUES vào Windows Registry.

OYSTERBLUES: Payload đã được mã hóa, chịu trách nhiệm thu thập thông tin hệ thống (tên máy, người dùng, OS) và liên lạc với C2.

OYSTERSHUCK: Thành phần thực hiện chức năng giải mã OYSTERBLUES để triển khai các giai đoạn tấn công tiếp theo.

Cobalt Strike: Công cụ mô phỏng đối thủ thường bị lạm dụng để duy trì sự hiện diện và kiểm soát toàn bộ hệ thống nạn nhân.

Sự gia tăng của các công cụ tấn công hỗ trợ AI

Báo cáo từ Hội đồng An ninh và Quốc phòng Quốc gia Ukraine cho thấy Nga và các đồng minh đang tích cực ứng dụng Trí tuệ nhân tạo (AI) như ChatGPT và Google Gemini. AI được sử dụng để trinh sát mục tiêu, tối ưu nội dung lừa đảo và thậm chí là nhúng vào mã độc để tạo lệnh thực thi động, giúp vượt qua các lớp phòng thủ truyền thống dựa trên chữ ký.

HÀNH ĐỘNG KHẨN CẤP ĐƯỢC KHUYẾN NGHỊ

Để bảo vệ hệ thống trước các mối đe dọa từ Ghostwriter và mã độc OYSTER, các tổ chức cần triển khai ngay:

Vô hiệu hóa thực thi: Hạn chế quyền chạy tệp wscript.exe đối với các tài khoản người dùng thông thường để ngăn chặn thực thi JavaScript độc hại.
Giám sát Registry: Theo dõi các thay đổi bất thường trong các khóa Windows Registry, nơi mã độc thường ẩn náu.
Kiểm soát Email: Triển khai giải pháp lọc email nâng cao và đào tạo nhân viên nhận biết các mồi nhử lừa đảo liên quan đến dịch vụ công.
Phòng thủ đa tầng: Sử dụng các giải pháp EDR/XDR để phát hiện hành vi của các công cụ hậu khai thác như Cobalt Strike.

Nguồn tham khảo: The Hacker News, CERT-UA

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Nhóm tin tặc Ghostwriter tấn công Chính phủ Ukraine bằng mã độc Prometheus Phishing