Cảnh báo mã độc nguy hiểm

Nhóm Lazarus Triển Khai Mã Độc RemotePE Chạy Trên Bộ Nhớ Nhắm Vào Ngành Tài Chính và Crypto

Các chuyên gia bảo mật vừa phát hiện một loại mã độc đa nền tảng mới mang tên RemotePE, được nhóm hacker Lazarus (có liên hệ với Triều Tiên) sử dụng để tấn công các tổ chức tài chính và tiền điện tử. RemotePE đặc biệt nguy hiểm vì hoạt động hoàn toàn trên bộ nhớ (memory-only), không để lại dấu vết trên ổ đĩa.

Chuỗi tấn công đa tầng tinh vi

RemotePE là giai đoạn cuối của một chuỗi tấn công phức tạp bao gồm các trình tải (loader) trung gian để che giấu hành vi độc hại:

1. DPAPILoader: Sử dụng Windows Data Protection API (DPAPI) để giải mã và nạp RemotePELoader từ đĩa cứng.

2. RemotePELoader: Kết nối với máy chủ C2, tải module cốt lõi và thực thi trực tiếp trên bộ nhớ mà không ghi xuống file.

3. RemotePE RAT: Một Trojan truy cập từ xa (RAT) hoàn chỉnh, thực hiện các lệnh chiếm quyền điều khiển hệ thống.

Kỹ thuật lẩn trốn và thao tác tệp

RemotePE không chỉ lẩn trốn trong bộ nhớ mà còn sử dụng các kỹ thuật tiên tiến để vượt qua các giải pháp bảo mật:

Vô hiệu hóa giám sát: Sử dụng kỹ thuật Hell's Gate và vá lỗi Event Tracing for Windows (ETW) để tránh bị phát hiện bởi EDR.
Xóa dấu vết triệt để: Khi thực hiện lệnh xóa tệp, mã độc này sẽ ghi đè dữ liệu tệp bằng các byte tĩnh 7 lần trước khi đổi tên và xóa hẳn, ngăn chặn khả năng khôi phục dữ liệu.
Kỹ thuật xã hội: Lazarus tiếp cận nạn nhân qua Telegram, giả danh nhân viên của các công ty giao dịch và dụ dỗ nạn nhân truy cập các tên miền lịch hẹn giả mạo như Calendly hoặc Picktime.

Khả năng của RemotePE RAT

Mã độc này hỗ trợ 6 nhóm lệnh chính, cho phép hacker toàn quyền kiểm soát thiết bị nạn nhân:

Thay đổi cấu hình kết nối C2.
Quản lý danh sách các tiến trình đang chạy, khởi tạo hoặc tiêu diệt tiến trình.
Thực hiện các thao tác tệp (đọc, ghi, xóa bảo mật).
Nạp hoặc gỡ bỏ các module DLL bổ sung.
Tự điều chỉnh thời gian ngủ (sleep) để tránh bị phân tích hành vi.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP

Để bảo vệ tổ chức trước các chiến dịch của Lazarus, TMGS khuyến nghị:

Cảnh giác với các liên hệ lạ qua Telegram hoặc các ứng dụng nhắn tin từ những người tự xưng là đối tác kinh doanh.
Kiểm tra kỹ các tên miền ứng dụng lịch (Calendly, Picktime) trước khi click.
Triển khai giải pháp giám sát bộ nhớ (Memory Forensics) vì mã độc này không để lại dấu vết trên file system.
Cập nhật các chỉ số nhận diện (IoC) liên quan đến máy chủ aes-secure[.]net.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS