Cảnh báo tấn công APT

Nhóm tin tặc Nimbus Manticore (còn gọi là Screening Serpens hoặc UNC1549) từ Iran đã bắt đầu triển khai các chiến dịch tấn công mới, sử dụng mã độc MiniFast và MiniJunk V2. Điểm đáng chú ý là sự xuất hiện của các kỹ thuật hỗ trợ bởi AI và phương thức SEO Poisoning để nhắm vào các doanh nghiệp hàng không, phần mềm tại Mỹ và Trung Đông.

Chiến dịch "Iranian Dream Job" và sự thay đổi phương thức

Nimbus Manticore, một nhóm tin tặc có liên kết với Lực lượng Vệ binh Cách mạng Hồi giáo Iran (IRGC), vốn nổi tiếng với việc nhắm mục tiêu vào các lĩnh vực quốc phòng và viễn thông. Trước đây, nhóm này thường sử dụng các mồi nhử tuyển dụng giả mạo để lừa đảo người dùng tải mã độc.

Tuy nhiên, các chiến dịch gần đây cho thấy sự chuyển dịch mạnh mẽ trong kỹ thuật tấn công. Thay vì chỉ dựa vào email lừa đảo truyền thống, nhóm đã kết hợp kỹ thuật AppDomain hijacking để phân phối mã độc MiniJunk và tận dụng SEO Poisoning để phát tán phiên bản chứa mã độc của phần mềm Oracle SQL Developer.

Mã độc MiniFast (AI-Assisted)

Được phát triển với sự hỗ trợ của trí tuệ nhân tạo (AI), MiniFast sở hữu cấu trúc code mô-đun hóa, khả năng xử lý lỗi tinh vi và các thông báo gỡ lỗi chi tiết, giúp tăng tốc độ triển khai và khả năng tàng hình.

Kỹ thuật SEO Poisoning

Tin tặc đăng ký hàng chục tên miền giả mạo trang tải SQL Developer (getsqldeveloper[.]com), tối ưu hóa SEO để đẩy chúng lên top đầu công cụ tìm kiếm Bing và DuckDuckGo nhằm lừa chuyên viên kỹ thuật.

Khả năng của Backdoor MiniFast

MiniFast là một backdoor đầy đủ tính năng, được thiết kế để duy trì sự hiện diện lâu dài và thực thi lệnh từ xa. Nó liên lạc với máy chủ C2 thông qua giao thức HTTP để thực hiện các nhiệm vụ:

Liệt kê tiến trình, tệp tin và danh mục hệ thống.
Thực thi lệnh thông qua cmd.exe và tải các tệp DLL độc hại.
Tạo các ZIP archive để đánh cắp dữ liệu (exfiltration).
Thiết lập sự hiện diện bền vững qua Scheduled Tasks và leo thang đặc quyền (runas).

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO DOANH NGHIỆP

Rà soát nguồn phần mềm: Chỉ tải các công cụ quản trị (SQL Developer, Zoom...) từ trang chủ chính thức, kiểm tra kỹ chữ ký số.
Chống AppDomain Hijacking: Cấu hình các chính sách thực thi tệp tin (AppLocker) để ngăn chặn việc tải các tệp DLL không xác định vào tiến trình tin cậy.
Đào tạo nhân sự: Cảnh báo đội ngũ IT và nhân sự về các chiến dịch tuyển dụng giả mạo hoặc lời mời họp trực tuyến từ nguồn lạ.
Giám sát Network: Theo dõi các truy cập bất thường đến các tên miền có định dạng giả mạo phần mềm chuyên dụng.

Nguồn tham khảo: The Hacker News, Check Point Research, Unit 42

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Tin tặc Iran Nimbus Manticore triển khai mã độc MiniFast được hỗ trợ bởi AI