CẢNH BÁO APT

Các nhà nghiên cứu bảo mật vừa phát hiện nhóm tấn công Webworm (có liên hệ với Trung Quốc) đang triển khai các mã độc mới tinh vi, sử dụng Discord và Microsoft Graph API làm hạ tầng điều khiển (C2). Phương thức này giúp chúng lẩn trốn hiệu quả trong lưu lượng mạng hợp lệ của các tổ chức.

Phân tích mã độc EchoCreep và GraphWorm

EchoCreep: Sử dụng các kênh Discord làm máy chủ C2 từ tháng 3/2024. Hỗ trợ tải tệp và thực thi lệnh cmd.exe từ xa.

GraphWorm: Backdoor nâng cao sử dụng Microsoft Graph API. Nó có thể tương tác với OneDrive để đánh cắp dữ liệu và tự hủy khi hoàn thành.

Sự thay đổi chiến thuật của Webworm

Webworm đã hoạt động ít nhất từ năm 2022, ban đầu nhắm vào Nga, Georgia và các nước châu Á. Gần đây, nhóm này đã mở rộng phạm vi sang các quốc gia châu Âu như Bỉ, Ý, Serbia và Ba Lan. Thay vì sử dụng các Trojan (RAT) truyền thống, chúng đang chuyển dịch sang các công cụ proxy tùy chỉnh (WormFrp, ChainWorm) và các dịch vụ đám mây hợp lệ để tối ưu khả năng ẩn mình.

Kỹ thuật đặc trưng bao gồm việc giả mạo kho lưu trữ WordPress trên GitHub và sử dụng SoftEther VPN để thiết lập đường truyền mã hóa, một phương thức phổ biến của các nhóm hacker có liên kết với Trung Quốc.

HÀNH ĐỘNG KHẨN CẤP

Rà soát và giám sát các kết nối API lạ tới đồ thị Microsoft (Graph API) và ứng dụng Discord trong mạng nội bộ.
Kiểm tra các tiến trình khởi tạo cmd.exe bất thường từ các ứng dụng dịch vụ đám mây.
Vô hiệu hóa hoặc kiểm soát chặt chẽ việc sử dụng SoftEther VPN và các công cụ proxy không chính thống.
Thực hiện phân tích log để tìm kiếm các dấu hiệu của công cụ brute-force như 'dirsearch' hoặc 'nuclei'.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Webworm triển khai mã độc EchoCreep và GraphWorm qua Discord và Microsoft Graph API