Cảnh báo: Gián điệp mạng APT

Mã độc Linux "Showboat" Tấn công Hạ tầng Viễn thông tại Trung Đông

Showboat là một khung khai thác sau xâm nhập (post-exploitation framework) tinh vi trên nền tảng Linux, được sử dụng trong các chiến dịch gián điệp mạng nhắm vào các nhà cung cấp dịch vụ viễn thông tại Trung Đông từ giữa năm 2022.

Phát hiện chiến dịch tấn công quy mô lớn

Các nhà nghiên cứu bảo mật từ Black Lotus Labs (Lumen Technologies) vừa công bố chi tiết về Showboat, một loại mã độc dạng module có khả năng triển khai remote shell, chuyển tệp và hoạt động như một proxy SOCKS5. Các bằng chứng cho thấy mã độc này liên quan đến ít nhất một nhóm tấn công có nguồn gốc từ Thành Đô, Trung Quốc.

Đối tượng mục tiêu: Nhà cung cấp dịch vụ viễn thông tại Afghanistan, Azerbaijan và một số thực thể tại Ukraine, Mỹ.

Nhóm APT liên quan: Calypso (Bronze Medley/Red Lamassu), nổi tiếng với việc sử dụng PlugX và WhiteBird.

Đặc điểm kỹ thuật của mã độc Showboat

Showboat được thiết kế để thiết lập chỗ đứng vững chắc trong mạng lưới nạn nhân bằng các kỹ thuật tinh vi:

Ẩn mình nâng cao: Sử dụng các đoạn mã từ Pastebin để tự ẩn tiến trình khỏi hệ thống, gây khó khăn cho việc phát hiện bằng các lệnh kiểm tra thông thường.
Truyền tin C2 qua ảnh: Thông tin hệ thống bị đánh cắp được mã hóa Base64 và nhúng vào các trường của tệp ảnh PNG trước khi gửi về máy chủ điều khiển (C2).
Khai thác Proxy: Khả năng quét thiết bị và kết nối qua SOCKS5 cho phép tin tặc thâm nhập sâu vào mạng LAN, tiếp cận các máy tính không có kết nối Internet trực tiếp.
Kết hợp Windows: Bên cạnh Linux, nhóm tấn công còn sử dụng JFMBackdoor trên Windows thông qua kỹ thuật DLL side-loading để tối đa hóa khả năng kiểm soát.

Mối liên hệ với các lỗ hổng phổ biến

Dù phương thức xâm nhập ban đầu chưa được xác định hoàn toàn, các nhóm APT liên quan đến Showboat thường xuyên khai thác các lỗ hổng như ProxyLogon (Microsoft Exchange Server) hoặc sử dụng web shell ASPX sau khi bẻ khóa tài khoản từ xa.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP

Để bảo vệ hệ thống trước sự xâm nhập của Showboat, TMGS khuyến nghị thực hiện các biện pháp sau:

Rà soát toàn bộ hệ thống Linux để tìm các tệp thực thi ELF bất thường hoặc các tiến trình ẩn.
Cập nhật các bản vá lỗi khẩn cấp cho máy chủ Microsoft Exchange Server.
Giám sát lưu lượng mạng nội bộ để phát hiện các kết nối proxy SOCKS5 không xác định.
Triển khai giải pháp giám sát điểm cuối (EDR) để phát hiện hành vi DLL side-loading trên Windows.

Nguồn tham khảo: The Hacker News, Black Lotus Labs, PwC

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Mã độc Linux Showboat tấn công các nhà mạng viễn thông tại Trung Đông