Cảnh báo tấn công APT

Nhóm tin tặc Ghostwriter (còn được gọi là FrostyNeighbor hoặc UNC1151) đang thực hiện chiến dịch tấn công tinh vi nhắm vào các cơ quan chính phủ Ukraine. Chiến dịch này sử dụng kỹ thuật geofencing (giới hạn địa lý) để lọc mục tiêu và triển khai mã độc thông qua các tệp PDF lừa đảo.

Kỹ thuật Geofencing và Chuỗi lây nhiễm PDF

Bắt đầu từ tháng 3 năm 2026, Ghostwriter đã sử dụng các tệp PDF giả mạo công ty viễn thông Ukrtelecom để đánh lừa người dùng. Điểm đặc biệt của chiến dịch là hệ thống kiểm tra địa chỉ IP (geofencing). Nếu nạn nhân không truy cập từ Ukraine, hệ thống sẽ trả về một tệp PDF vô hại. Ngược lại, nạn nhân sẽ nhận được tệp RAR chứa payload JavaScript của mã độc PicassoLoader.

Mã độc PicassoLoader

Biến thể JavaScript mới được sử dụng để tải Cobalt Strike Beacon, cho phép tin tặc kiểm soát hoàn toàn hệ thống.

Fingerprinting định kỳ

Hệ thống của nạn nhân bị quét thông tin mỗi 10 phút, giúp tin tặc quyết định có tiếp tục triển khai các giai đoạn tấn công chuyên sâu hay không.

Mở rộng phạm vi và các mối đe dọa liên quan

Ngoài Ukraine, nhóm này cũng nhắm mục tiêu vào Ba Lan và Lithuania với quy mô rộng hơn, bao gồm các lĩnh vực y tế, logistics và sản xuất. Báo cáo cũng chỉ ra sự gia tăng hoạt động của nhóm Gamaredon (liên quan đến Nga) và BO Team (hacktivist thân Ukraine), tạo nên một bức tranh an ninh mạng phức tạp tại khu vực Đông Âu.

Hành động khẩn cấp ngăn chặn

Kiểm tra và chặn các kết nối đến các IP/Domain liên quan đến PicassoLoader và Cobalt Strike.
Cập nhật bản vá cho các lỗ hổng WinRAR (CVE-2023-38831) và Roundcube (CVE-2024-42009).
Triển khai giải pháp EDR để giám sát các tiến trình JavaScript bất thường từ tệp đính kèm.
Nâng cao nhận thức cho nhân viên về các chiến dịch Spear-phishing sử dụng PDF lừa đảo.

Nguồn tham khảo: The Hacker News, ESET Research

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Nhóm Tin Tặc Ghostwriter Tấn Công Chính Phủ Ukraine Bằng Phishing PDF Và Kỹ Thuật Geofencing