TẤN CÔNG CÓ CHỦ ĐÍCH (APT)

Nhóm hacker được nhà nước Iran bảo trợ, Nimbus Manticore (còn được gọi là Screening Serpens hoặc UNC1549), đã triển khai một chiến dịch tấn công quy mô lớn mới. Chiến dịch này kết hợp các kỹ thuật Phishing truyền thống với SEO Poisoning và mã độc được phát triển với sự hỗ trợ của trí tuệ nhân tạo (AI).

Tổng quan về chiến dịch tấn công

Các nhà nghiên cứu bảo mật từ Check Point và Palo Alto Networks đã phát hiện Nimbus Manticore nhắm mục tiêu vào các tổ chức trong lĩnh vực hàng không, quốc phòng và phần mềm tại Mỹ, Châu Âu và Trung Đông. Nhóm này nổi tiếng với các mồi nhử liên quan đến tuyển dụng (chiến dịch "Iranian Dream Job"), tương tự như cách thức hoạt động của các nhóm hacker Triều Tiên.

Mã độc mới: MiniFast

Một backdoor được nghi vấn phát triển bằng AI với các chức năng thực thi lệnh từ xa, đánh cắp dữ liệu và duy trì sự hiện diện lâu dài trên hệ thống nạn nhân.

Kỹ thuật SEO Poisoning

Hacker đã tạo ra hàng chục tên miền giả mạo trang tải phần mềm Oracle SQL Developer để lừa người dùng tải về bộ cài đặt chứa mã độc.

Phân tích kỹ thuật: Vai trò của AI trong phát triển Malware

Các chuyên gia chỉ ra những dấu hiệu cho thấy MiniFast có thể được tạo ra với sự trợ giúp của AI, bao gồm: logic lập trình phòng vệ quá mức, các mẫu đặt tên hàm lặp đi lặp lại một cách có hệ thống và các thông báo lỗi cực kỳ chi tiết. Mặc dù cấu trúc mã nguồn đơn giản, nhưng khả năng mô-đun hóa của nó cho phép hacker cập nhật và thay đổi chiến thuật nhanh chóng ngay trong quá trình diễn ra xung đột.

Ngoài MiniFast, biến thể MiniJunk V2 cũng được sử dụng thông qua kỹ thuật AppDomain hijacking để lẩn tránh các giải pháp bảo mật truyền thống. Các mồi nhử thường là lời mời họp Zoom giả mạo hoặc tệp lưu trữ chứa phần mềm độc hại giả danh tài liệu tuyển dụng.

Hành động khẩn cấp cho doanh nghiệp

Cảnh giác với phần mềm lậu: Chỉ tải phần mềm từ các nguồn chính thức của nhà sản xuất, tuyệt đối không tải từ các kết quả tìm kiếm không xác thực.
Kiểm soát Endpoint: Triển khai các giải pháp EDR để phát hiện các hành vi bất thường như AppDomain hijacking hoặc thực thi lệnh lạ từ cmd.exe.
Đào tạo nhân sự: Nâng cao nhận thức về các chiến dịch lừa đảo qua LinkedIn hoặc email liên quan đến cơ hội việc làm "hấp dẫn" bất ngờ.
Rà soát hệ thống: Kiểm tra các tác vụ lập lịch (Scheduled Tasks) và các tiến trình lạ có giao thức HTTP ra bên ngoài.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Nhóm hacker Iran Nimbus Manticore triển khai mã độc MiniFast và MiniJunk V2 qua SEO Poisoning