CẢNH BÁO TẤN CÔNG GIÁN ĐIỆP

Nhóm APT MuddyWater tấn công gián điệp 9 quốc gia bằng kỹ thuật DLL Side-loading

Trong quý I/2026, nhóm tin tặc MuddyWater (Iran) đã triển khai chiến dịch gián điệp mạng quy mô lớn nhắm vào 9 quốc gia trên 4 châu lục, sử dụng các tệp tin hợp lệ để thực thi mã độc và đánh cắp thông tin trình duyệt nhạy cảm.

Chiến dịch tấn công đa quốc gia quy mô lớn

Các báo cáo từ Symantec và Carbon Black chỉ ra rằng chiến dịch này nhắm vào nhiều lĩnh vực như sản xuất công nghiệp, điện tử, giáo dục, tài chính và cơ quan chính phủ. Trong số các nạn nhân có một nhà sản xuất điện tử lớn tại Hàn Quốc, một sân bay quốc tế tại Trung Đông và các công ty công nghiệp tại Đông Nam Á.

Khu vực bị ảnh hưởng:

Đông Nam Á
Trung Đông
Hàn Quốc
Mỹ Latinh

Ngành công nghiệp:

Sản xuất điện tử
Dịch vụ tài chính
Hàng không
Giáo dục công

Lợi dụng phần mềm hợp lệ để DLL Side-loading

Nhóm tấn công đã lợi dụng các tệp thực thi hợp lệ có chữ ký số như fmapp.exe (Fortemedia) và sentinelmemoryscanner.exe (SentinelOne) để tải các tệp DLL độc hại. Kỹ thuật này giúp mã độc ngụy trang dưới dạng phần mềm an toàn, dễ dàng vượt qua các giải pháp phát hiện dựa trên chữ ký truyền thống.

Các tệp DLL độc hại này nhúng công cụ mã nguồn mở ChromElevator, được thiết kế để đánh cắp mật khẩu, cookie và dữ liệu thẻ thanh toán từ các trình duyệt dựa trên Chromium, vượt qua cả lớp bảo vệ App-Bound Encryption (ABE) mới của Google.

Sự chuyển dịch sang các chiến dịch tinh vi hơn

Thay vì sự hiện diện liên tục của người vận hành, MuddyWater hiện sử dụng các chuỗi mã độc dựa trên Node.exe và PowerShell để thực hiện trinh sát, chụp màn hình, đánh cắp cơ sở dữ liệu SAM và leo thang đặc quyền. Dữ liệu sau đó được đẩy lên các dịch vụ chuyển tệp công cộng như sendit.sh nhằm tránh bị phát hiện.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP

Giám sát quy trình: Theo dõi các hành vi bất thường từ các tệp thực thi fmapp.exe và sentinelmemoryscanner.exe trên hệ thống.
Cấu hình EDR: Đảm bảo giải pháp EDR/XDR được thiết lập để phát hiện các biến thể DLL Side-loading mới nhất.
Kiểm soát PowerShell: Hạn chế thực thi các tập lệnh PowerShell không được ký số và giám sát các quy trình Node.js lạ.
Bảo mật danh tính: Tăng cường bảo vệ các tệp SAM hive và thực hiện xác thực đa yếu tố cho mọi tài khoản hệ thống.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS