Một chiến dịch tấn công mạng mới được cho là do tác nhân đe dọa nói tiếng Trung thực hiện đang nhắm vào nhiều tổ chức chính phủ tại Trung Á và một số khu vực lân cận. Theo The Hacker News dẫn phân tích của Kaspersky, hoạt động này đã diễn ra từ tháng 1/2025 và tập trung vào các mục tiêu thuộc Afghanistan, Kyrgyzstan, Tajikistan, Uzbekistan, Kazakhstan và Syria.
Điểm đáng chú ý không chỉ nằm ở phạm vi địa lý, mà còn ở bộ công cụ được thiết kế để bám sâu trong hệ thống. Hai backdoor mới được đặt tên là OctLurk và SilkLurk, đi kèm tiện ích LurkProxy dùng để chuyển tiếp lưu lượng mạng. Cách vận hành này cho thấy kẻ tấn công ưu tiên khả năng ẩn mình, mở rộng truy cập và duy trì điều khiển lâu dài sau khi xâm nhập.
Chiến dịch nhắm vào nhiều lĩnh vực công
Các mục tiêu được ghi nhận trải rộng trên nhiều lĩnh vực, bao gồm y tế, nghiên cứu, văn phòng chính phủ, bộ ngoại giao, logistics, cơ quan thực thi pháp luật, quy hoạch đô thị, quản lý cơ sở vật chất và giáo dục công. Đây đều là nhóm tổ chức thường nắm giữ dữ liệu nhạy cảm về hành chính, nhân sự, hạ tầng và quan hệ đối ngoại.
Theo Kaspersky, hoạt động hiện chưa được quy kết chắc chắn cho một nhóm đã biết. Tuy nhiên, dấu vết hạ tầng có điểm giao với một chiến dịch trước đó sử dụng implant C++ có tên SilentRaid, còn được biết đến qua các tên MystRodX hoặc TrustFall. Sự trùng lặp này chưa đủ để kết luận hai chiến dịch do cùng một nhóm điều hành, nhưng cho thấy khả năng có sự tái sử dụng hoặc chia sẻ hạ tầng.
OctLurk hoạt động chủ yếu trong bộ nhớ
OctLurk được triển khai thông qua loader và được tiêm vào bộ nhớ, giúp giảm dấu vết trên ổ đĩa. Sau khi chạy, mã độc thu thập thông tin hệ thống, mã hóa dữ liệu rồi gửi về máy chủ điều khiển. Backdoor này có thể nhận plugin từ máy chủ và nạp trực tiếp vào bộ nhớ để thực hiện nhiều thao tác sau xâm nhập.
Các chức năng được mô tả gồm thực thi lệnh, thao tác hệ thống tệp, thu thập hoặc chỉnh sửa clipboard, chụp màn hình, điều khiển chuột, quét mạng nội bộ, trích xuất thông tin đăng nhập và đánh cắp mật khẩu từ trình duyệt. Kẻ tấn công cũng được ghi nhận dùng công cụ Impacket để thu thập password hash từ domain controller, triển khai keylogger giả dạng AnyDesk và thiết lập truy cập từ xa bằng Pandora RC agent.
LurkProxy mở đường cho di chuyển ngang
LurkProxy đóng vai trò như một reverse proxy, có thể vận hành ở chế độ SOCKS5 hoặc transparent proxy. Trong bối cảnh tấn công vào tổ chức lớn, proxy nội bộ giúp kẻ tấn công định tuyến lưu lượng qua máy đã bị kiểm soát, che giấu nguồn truy cập thật và tiếp cận các dịch vụ không công khai ra internet.
Điều này đặc biệt nguy hiểm với mạng của cơ quan nhà nước, nơi nhiều hệ thống chỉ được thiết kế để truy cập nội bộ. Khi một máy trạm hoặc máy chủ trung gian bị biến thành điểm chuyển tiếp, ranh giới bảo vệ giữa mạng ngoài và mạng trong có thể bị vô hiệu hóa từng phần.
SilkLurk dùng DLL side-loading và plugin bổ sung
SilkLurk được khởi chạy thông qua DLL side-loading, một kỹ thuật lợi dụng tiến trình hợp pháp để nạp thư viện độc hại. Sau khi kết nối về máy chủ điều khiển, backdoor gửi thông tin nạn nhân và nhận lệnh thực thi. Nó có thể thay đổi cấu hình, điều chỉnh khoảng thời gian liên lạc với máy chủ và nhận thêm plugin để tiêm vào bộ nhớ.
Hoạt động sau xâm nhập của SilkLurk bao gồm dùng PowerShell để kết nối tới tài nguyên chia sẻ bằng thông tin quản trị, tìm kiếm tài liệu nhạy cảm, đóng gói dữ liệu bằng WinRAR hoặc 7-Zip, sau đó chuẩn bị cho bước rò rỉ dữ liệu. Kaspersky cũng ghi nhận chuỗi DLL side-loading có thể thả PlugX, một backdoor từng xuất hiện trong nhiều chiến dịch liên quan tới nhóm tin tặc Trung Quốc.
Điều cần lưu ý cho tổ chức
Chiến dịch OctLurk và SilkLurk nhấn mạnh một xu hướng quen thuộc: mã độc hiện đại ngày càng hạn chế ghi dữ liệu xuống ổ đĩa, phụ thuộc vào plugin nạp động và dùng thông tin riêng của từng máy để giải mã payload. Cách làm này khiến phân tích tự động khó hơn và làm giảm hiệu quả của những biện pháp chỉ dựa vào chữ ký tệp.
Các tổ chức nên ưu tiên giám sát hành vi sau xâm nhập như truy vấn logon event bất thường, sử dụng Impacket trong môi trường Windows, truy cập hàng loạt vào chia sẻ mạng, tiến trình hợp pháp nạp DLL lạ, PowerShell tạo archive dữ liệu và lưu lượng proxy bất thường giữa các phân đoạn mạng. Bên cạnh đó, việc giới hạn quyền quản trị, phân tách mạng và kiểm soát thông tin đăng nhập lưu trong trình duyệt vẫn là lớp phòng thủ cơ bản nhưng rất quan trọng.
Với nhóm cơ quan công và đơn vị vận hành hạ tầng quan trọng, điểm mấu chốt là không chỉ tìm tệp mã độc, mà phải theo dõi chuỗi hành vi. Khi backdoor vận hành chủ yếu trong bộ nhớ, nhật ký xác thực, EDR, giám sát DNS, proxy và kiểm kê tiến trình trở thành nguồn bằng chứng quan trọng để phát hiện sớm.
VNCyberS tổng hợp từ The Hacker News và Kaspersky Securelist
Tiếng Việt
English