CẢNH BÁO MÃ ĐỘC

Mã độc Linux "Showboat" tấn công các nhà mạng viễn thông tại Trung Đông

Các nhà nghiên cứu bảo mật vừa công bố chi tiết về một loại mã độc Linux mới mang tên Showboat. Công cụ này đã được sử dụng trong các chiến dịch tấn công nhắm vào nhà cung cấp dịch vụ viễn thông tại Trung Đông từ giữa năm 2022, với khả năng xâm nhập sâu và thiết lập các backdoor tinh vi.

Phân tích nguồn gốc và các nhóm đe dọa

Theo báo cáo từ Lumen Technologies Black Lotus Labs, Showboat là một framework hậu khai thác dạng mô-đun được thiết kế riêng cho hệ thống Linux. Mã độc này có khả năng thực thi shell từ xa, chuyển tệp và hoạt động như một proxy SOCKS5 để điều hướng lưu lượng truy cập trái phép.

Nhóm tin tặc liên quan

Mã độc này được cho là có liên quan đến các nhóm APT có nguồn gốc từ Trung Quốc như Calypso (còn gọi là Bronze Medley hoặc Red Lamassu). Các địa chỉ IP điều khiển (C2) đã được định vị tại Thành Đô, Tứ Xuyên.

Tài nguyên dùng chung

Showboat nằm trong kho công cụ chia sẻ cùng với các framework nổi tiếng khác như PlugX, ShadowPad và NosyDoor, cho thấy sự tồn tại của một đơn vị cung cấp công cụ kỹ thuật số chung cho các nhóm APT.

Cơ chế hoạt động nguy hiểm

Mã độc này bắt đầu bằng một tệp nhị phân ELF với khả năng rootkit để ẩn mình khỏi danh sách tiến trình của hệ thống. Các tính năng chính bao gồm:

Thu thập thông tin hệ thống: Dữ liệu được mã hóa và gửi về máy chủ C2 dưới dạng chuỗi Base64 ẩn trong các tệp hình ảnh PNG.
Thiết lập Proxy SOCKS5: Cho phép kẻ tấn công tương tác với các máy tính trong mạng nội bộ (LAN) không kết nối trực tiếp với Internet.
Backdoor đa nền tảng: Ngoài phiên bản Linux, nhóm Calypso còn sử dụng JFMBackdoor trên Windows để duy trì quyền truy cập bền vững thông qua kỹ thuật DLL side-loading.

Phạm vi ảnh hưởng toàn cầu

Các cuộc điều tra đã xác định được nhiều nạn nhân bao gồm các nhà cung cấp dịch vụ Internet (ISP) tại Afghanistan và các thực thể chưa xác định tại Azerbaijan. Ngoài ra, các cụm máy chủ C2 thứ cấp cũng cho thấy dấu hiệu xâm nhập tại Hoa Kỳ và Ukraine.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP

⚠️ Rà soát hệ thống Linux: Kiểm tra các tệp nhị phân ELF lạ và các tiến trình bị ẩn trong hệ thống.
⚠️ Giám sát lưu lượng mạng: Theo dõi các kết nối SOCKS5 bất thường đi ra từ máy chủ nội bộ.
⚠️ Vá lỗ hổng phần mềm: Đặc biệt chú trọng các bản vá cho Microsoft Exchange (như ProxyLogon) vì đây là con đường xâm nhập phổ biến của nhóm Calypso.
⚠️ Triển khai EDR: Sử dụng các giải pháp phát hiện và phản ứng tại điểm cuối để nhận diện các hành vi rootkit.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS