CẢNH BÁO APT

Mã độc Showboat tấn công ngành viễn thông Trung Đông qua Backdoor SOCKS5

Mã độc Linux mới 'Showboat' đã được phát hiện trong các chiến dịch tấn công nhắm vào nhà cung cấp viễn thông Trung Đông. Đây là công cụ hậu khai thác tinh vi cho phép kẻ tấn công chiếm quyền điều khiển và xâm nhập sâu mạng nội bộ.

Đặc điểm kỹ thuật của Showboat

Showboat là một framework dạng module chạy trên Linux, có khả năng mở remote shell, truyền tải file và hoạt động như một SOCKS5 proxy. Mã độc này thường liên lạc với máy chủ C2 thông qua các chuỗi mã hóa Base64 ẩn trong các trường dữ liệu PNG để qua mặt các hệ thống giám sát. Ngoài ra, một biến thể mã độc Windows mang tên JFMBackdoor cũng được sử dụng song song thông qua kỹ thuật DLL side-loading để tối ưu hóa khả năng xâm nhập đa nền tảng.

Thiết lập Proxy: Sử dụng SOCKS5 để tương tác với các máy LAN nội bộ không kết nối Internet.

Khả năng Rootkit: Che giấu tiến trình và tệp tin khỏi sự phát hiện của quản trị viên hệ thống.

Đa nền tảng: Tấn công đồng bộ cả hệ thống Linux (Showboat) và Windows (JFMBackdoor).

Nguồn gốc APT: Có liên kết chặt chẽ với nhóm Calypso và các máy chủ điều khiển tại Trung Quốc.

Mục tiêu và Tầm ảnh hưởng

Các cuộc tấn công đã được ghi nhận tại các ISP ở Afghanistan, Azerbaijan và một số thực thể tại Mỹ và Ukraine. Kẻ tấn công thường sử dụng các lỗ hổng nghiêm trọng như ProxyLogon (Exchange Server) hoặc khai thác tài khoản mặc định để thiết lập chỗ đứng ban đầu, sau đó triển khai Showboat để duy trì sự hiện diện lâu dài và thực hiện các hoạt động gián điệp mạng.

HÀNH ĐỘNG KHẨN CẤP

Rà soát các tiến trình ELF lạ trên máy chủ Linux và kiểm tra tính toàn vẹn của danh sách process.
Giám sát lưu lượng mạng liên quan đến giao thức SOCKS5 đi đến các địa chỉ IP nước ngoài lạ.
Thực hiện vá lỗi khẩn cấp cho các hệ thống Microsoft Exchange và các ứng dụng web công khai.
Triển khai giải pháp EDR/XDR để phát hiện các hành vi DLL side-loading và thực thi shell bất thường.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS