CẢNH BÁO TẤN CÔNG APT IRAN

Tóm lược: Nhóm hacker Nimbus Manticore (Iran) đang triển khai một chiến dịch tấn công tinh vi, sử dụng trí tuệ nhân tạo (AI) để phát triển mã độc MiniFast và kỹ thuật SEO Poisoning để lừa đảo người dùng. Chiến dịch nhắm mục tiêu trọng điểm vào các tổ chức hàng không, năng lượng và quốc phòng tại Mỹ, Châu Âu và Trung Đông.

Sự trỗi dậy của mã độc AI MiniFast và MiniJunk V2

Các phân tích từ Check Point Research và Palo Alto Networks cho thấy nhóm hacker Nimbus Manticore (còn gọi là Screening Serpens hoặc UNC1549) đã phát triển một loại backdoor mới mang tên MiniFast. Điều đáng chú ý là mã nguồn của loại mã độc này có các dấu hiệu cho thấy nó được hỗ trợ phát triển bởi AI, giúp tăng tốc độ triển khai ngay trong thời điểm xung đột khu vực đang diễn ra.

Mã độc MiniFast: Hỗ trợ chiếm quyền điều khiển từ xa (RAT), thực thi lệnh hệ thống, trích xuất dữ liệu và duy trì sự hiện diện lâu dài thông qua Scheduled Tasks.

MiniJunk V2: Phiên bản nâng cấp sử dụng kỹ thuật AppDomain hijacking để lén lút thực thi mã độc thông qua các trình cài đặt phần mềm phổ biến như Zoom hoặc SQL Developer.

Kỹ thuật SEO Poisoning: Cạm bẫy mới cho giới lập trình viên

Thay vì chỉ dựa vào các email lừa đảo (phishing) mời chào việc làm giả mạo như trước đây, hacker đã mở rộng sang SEO Poisoning. Chúng đăng ký hàng loạt tên miền giả mạo (ví dụ: getsqldeveloper[.]com) và tối ưu hóa để trang này xuất hiện ở vị trí đầu tiên trên các công cụ tìm kiếm như Bing hay DuckDuckGo. Khi người dùng tìm kiếm phần mềm SQL Developer chính thống, họ sẽ vô tình tải về bộ cài đặt đã bị chèn mã độc MiniFast.

Mục tiêu tấn công đa dạng

Các báo cáo xác nhận chiến dịch này không chỉ giới hạn ở khu vực Trung Đông mà còn lan rộng sang các công ty dầu khí tại Mỹ, các đơn vị hàng không tại Saudi Arabia và Úc. Ngoài ra, hacker cũng bị nghi ngờ đã can thiệp vào hệ thống đo lường bể chứa nhiên liệu tại các trạm xăng ở Mỹ bằng cách khai thác các cổng ATG không được bảo vệ bằng mật khẩu.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP

Kiểm soát phần mềm: Chỉ cho phép cài đặt phần mềm từ các trang chủ chính thức của nhà sản xuất. Tuyệt đối không nhấp vào các liên kết quảng cáo khi tìm kiếm phần mềm chuyên dụng.
Giám sát hệ thống: Theo dõi các tiến trình thực thi lệnh từ cmd.exe và các hành vi bất thường liên quan đến kỹ thuật AppDomain hijacking.
Đào tạo nhân sự: Cảnh báo đội ngũ nhân viên về các chiến dịch lừa đảo tuyển dụng (Job Lures) nhắm vào các vị trí kỹ thuật cao.
Rà soát thiết bị OT: Đảm bảo các hệ thống đo lường và điều khiển (như ATG) không được công khai trên Internet và phải có lớp bảo mật mật khẩu mạnh.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo: Hacker Iran Triển Khai Mã Độc MiniFast Phát Triển Bằng AI Tấn Công Doanh Nghiệp Toàn Cầu