Threat Intelligence

Nhóm Lazarus Triển Khai Mã Độc RemotePE Chạy Trên Bộ Nhớ Nhắm Vào Các Tổ Chức Tài Chính

Các chuyên gia an ninh mạng vừa phát hiện một chiến dịch tấn công mới của nhóm hacker Lazarus (có liên quan đến Triều Tiên). Nhóm này đang sử dụng mã độc đa nền tảng mang tên RemotePE, một loại Trojan truy cập từ xa (RAT) hoạt động hoàn toàn trên bộ nhớ, nhắm trực tiếp vào lĩnh vực tài chính phi tập trung (DeFi) và tiền điện tử.

Chuỗi Tấn Công Đa Giai Đoạn Tinh Vi

RemotePE không hoạt động độc lập mà là một phần của chuỗi tấn công phức tạp bao gồm nhiều giai đoạn tải (loader). Theo các nhà nghiên cứu từ Fox-IT (thuộc NCC Group), cuộc tấn công được thiết kế để không để lại dấu vết trên ổ đĩa cứng, gây khó khăn cực lớn cho công tác điều tra số (forensics).

Giai đoạn 1: DPAPILoader

Sử dụng Windows Data Protection API (DPAPI) để giải mã và nạp RemotePELoader từ đĩa cứng vào bộ nhớ.

Giai đoạn 2: RemotePELoader

Kết nối với máy chủ C2 để tải về mô-đun cốt lõi RemotePE và thực thi trực tiếp trên RAM.

Kỹ Thuật Thâm Nhập Và Khả Năng Của RemotePE

Cuộc tấn công thường bắt đầu bằng kỹ thuật thao túng tâm lý (social engineering). Hacker tiếp cận nhân viên mục tiêu qua Telegram, giả danh là nhân viên của một công ty giao dịch và mời họp qua các tên miền giả mạo dịch vụ Calendly hoặc Picktime.

RemotePE hỗ trợ 6 nhóm lệnh điều khiển chính, cho phép hacker thực hiện các hành vi nguy hiểm:

Thay đổi cấu hình kết nối tới máy chủ điều khiển (C2).
Thực hiện các thao tác với tệp tin (ghi đè dữ liệu 7 lần trước khi xóa để ngăn khôi phục).
Quản lý tiến trình (liệt kê, tạo mới hoặc tiêu diệt tiến trình theo ID).
Đăng ký, tải hoặc gỡ bỏ các mô-đun DLL mới.
Tạm dừng hoạt động (Sleep) hoặc thoát hoàn toàn khỏi hệ thống.

Hành Động Khẩn Cấp Cho Doanh Nghiệp

✅ Tăng cường nhận thức: Cảnh báo nhân viên về các lời mời họp qua Telegram từ người lạ và các liên kết Calendly giả mạo.
✅ Kiểm soát bộ nhớ: Triển khai các giải pháp EDR có khả năng quét bộ nhớ thời gian thực để phát hiện mã độc thực thi không qua đĩa (fileless).
✅ Giám sát mạng: Chặn các tên miền đáng ngờ như aes-secure[.]net và các địa chỉ IP liên quan đến nhóm Lazarus.
✅ Rà soát hệ thống: Kiểm tra các tệp DLL lạ được đăng ký qua DPAPI hoặc các tiến trình chạy từ thư mục tạm.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Nhóm Lazarus Triển Khai Mã Độc RemotePE Tấn Công Các Tổ Chức Tài Chính và Tiền Số