Cảnh báo Threat Intelligence

Turla Nâng Cấp Backdoor Kazuar Thành Botnet P2P Module Hóa Độc Đáo

Nhóm tin tặc Turla (Secret Blizzard) được chính phủ Nga bảo trợ đã chính thức chuyển đổi công cụ Kazuar từ một backdoor đơn khối thành một hệ sinh thái botnet ngang hàng (P2P) module hóa. Đây là bước tiến lớn nhằm tối ưu khả năng tàng hình và duy trì quyền truy cập lâu dài trên các mục tiêu chính phủ và ngoại giao.

Chiến Thuật Mới Của Nhóm Turla

Theo báo cáo từ Microsoft Threat Intelligence, Turla (còn được gọi là Secret Blizzard, Pensive Ursa hay Snake) đang thay đổi chiến thuật. Thay vì chỉ sử dụng các công cụ bản địa (Living-off-the-land), chúng đã đầu tư xây dựng khả năng phục hồi và ẩn mình trực tiếp vào mã nguồn của công cụ tùy chỉnh Kazuar.

Sự tiến hóa này cho phép Kazuar linh hoạt hơn trong cấu hình, giảm thiểu dấu vết có thể quan sát được và hỗ trợ thực thi các tác vụ phức tạp một cách đồng bộ trên diện rộng.

Cấu Trúc Module Của Botnet Kazuar

1. Module Kernel

Đóng vai trò điều phối trung tâm. Kernel quản lý các Worker, giao tiếp với Bridge, kiểm tra sandbox và thiết lập môi trường cấu hình để exfiltration dữ liệu.

2. Module Bridge

Đóng vai trò là máy chủ trung gian (proxy) giữa module Kernel dẫn đầu và máy chủ điều khiển (C2), giúp che giấu nguồn gốc kết nối.

3. Module Worker

Thực hiện các nhiệm vụ cụ thể như ghi lại thao tác bàn phím (keylogging), theo dõi sự kiện Windows, thu thập danh sách tệp và thông tin hệ thống.

Cơ Chế Bầu Chọn Thủ Lĩnh (Leader Election)

Một điểm đặc biệt trong kiến trúc của Kazuar là cơ chế tự động bầu chọn một module Kernel duy nhất làm "thủ lĩnh" để liên lạc với Bridge. Các module Kernel khác sẽ chuyển sang trạng thái SILENT (im lặng) để tránh bị phát hiện. Cơ chế này dựa trên thời gian hoạt động và số lần bị gián đoạn (khởi động lại, đăng xuất) của module.

Hành Động Khẩn Cấp Cho Doanh Nghiệp

Giám sát các kết nối mạng bất thường liên quan đến Exchange Web Services và WebSockets.
Quét và phát hiện các tệp thực thi .NET có hành vi giao tiếp qua Mailslot hoặc Named Pipes lạ.
Kiểm tra các thư mục làm việc (working directory) có cấu trúc phân tầng bất thường để chứa log và dữ liệu mã hóa.
Cập nhật các hệ thống EDR để nhận diện các dropper như Pelmeni và ShadowLoader.

Nguồn tham khảo: The Hacker News

Liên Hệ Đội Ngũ Ứng Cứu Sự Cố TMGS

Turla Biến Backdoor Kazuar Thành Botnet P2P Module Để Duy Trì Truy Cập Vĩnh Viễn