Cảnh báo chiến dịch phát tán mã độc thông qua trình cài đặt PuTTY giả mạo

• Phương thức tấn công: Kẻ tấn công sử dụng kết quả tìm kiếm Google giả mạo để điều hướng người dùng tải về trình cài đặt PuTTY chứa mã độc (trojanized MSI).
• Cơ chế lây nhiễm: Sử dụng kỹ thuật EtherHiding để truy vấn địa chỉ C2 thông qua các hợp đồng thông minh trên mạng lưới Ethereum.
• Tác động: Cho phép kẻ tấn công thực thi mã JavaScript từ xa, thu thập dữ liệu hệ thống, chụp ảnh màn hình và kiểm soát thiết bị của quản trị viên.
• Khuyến nghị: Chỉ tải phần mềm từ các nguồn chính thống và kiểm tra kỹ chữ ký số cũng như hành vi bất thường của các tiến trình trong thư mục AppData.

Các nhà nghiên cứu bảo mật từ Unit 42 vừa công bố báo cáo chi tiết về một chiến dịch tấn công mạng tinh vi nhắm mục tiêu vào các quản trị viên hệ thống (IT administrators). Kẻ tấn công đã lợi dụng kết quả tìm kiếm Google để phát tán một trình cài đặt PuTTY giả mạo, nhằm chiếm quyền điều khiển máy tính của nạn nhân thông qua một chuỗi lây nhiễm đa giai đoạn.

Phân tích kỹ thuật chiến dịch tấn công

Chiến dịch này bắt đầu bằng việc kẻ tấn công tạo ra một trang web giả mạo có tên miền puty[.]ink, được thiết kế để sao chép giao diện của trang tải xuống PuTTY chính thức. Khi người dùng nhấp vào liên kết tải xuống, họ sẽ nhận được một tệp tin Putty-x86_64.msi được lưu trữ trên dịch vụ Backblaze B2. Khi thực thi, trình cài đặt này sẽ thực hiện hai hành động song song: khởi chạy một bản sao PuTTY 0.85 hợp lệ (có chữ ký số từ Sectigo) để đánh lừa người dùng, đồng thời âm thầm giải nén các thành phần độc hại vào thư mục Local AppData.

Chuỗi lây nhiễm và kỹ thuật né tránh

Sau khi được giải nén, tệp tin 44JYYsqg.cmd sẽ được thực thi. Script này có nhiệm vụ kiểm tra sự hiện diện của Node.js trên hệ thống. Nếu chưa có, nó sẽ tự động tải xuống phiên bản Node.js 18.20.5. Tiếp theo, một tệp JScript sẽ được sử dụng để khởi chạy payload JavaScript đã được làm rối (obfuscated). Điểm đáng chú ý là kẻ tấn công không sử dụng địa chỉ C2 cố định, mà áp dụng kỹ thuật EtherHiding.

# Cấu trúc thư mục staging của mã độc tại Local AppData: 
C:\Users\<user>\AppData\Local\idejDHjFnNXb\
C:\Users\<user>\AppData\Local\idejDHjFnNXb\vXA8Jj\node.exe

Kỹ thuật EtherHiding cho phép mã độc truy vấn các hợp đồng thông minh trên mạng Ethereum thông qua các dịch vụ RPC công cộng để lấy địa chỉ máy chủ C2 thực tế. Bằng cách so sánh phản hồi từ nhiều nguồn, mã độc đảm bảo tính bền bỉ và khó bị chặn bởi các giải pháp bảo mật truyền thống. Các yêu cầu C2 được ngụy trang dưới dạng truy vấn tệp tin hình ảnh hoặc CSS thông thường.

Bảng tổng hợp các chỉ số IOCs

Khuyến nghị phòng thủ và săn tìm mối đe dọa

Để đối phó với chiến dịch này, các đội ngũ SOC cần tập trung vào việc giám sát các hành vi bất thường từ tiến trình node.exe khi nó được khởi chạy từ thư mục AppData của người dùng. Việc kiểm tra các kết nối outbound tới các dịch vụ RPC của Ethereum từ các máy trạm không liên quan đến phát triển blockchain là một chỉ dấu quan trọng để phát hiện sự xâm nhập.

⚠️ Cảnh báo quan trọng: Việc một tệp tin có chữ ký số hợp lệ không đồng nghĩa với việc toàn bộ trình cài đặt là an toàn. Kẻ tấn công thường xuyên sử dụng các thành phần hợp lệ để che đậy các hành vi độc hại bên trong. Hãy luôn xác minh nguồn tải xuống từ trang chủ chính thức của nhà phát triển phần mềm.

Các quản trị viên nên thiết lập chính sách chặn thực thi (AppLocker hoặc WDAC) đối với các tệp tin thực thi nằm trong thư mục AppData của người dùng. Ngoài ra, việc duy trì một cổng thông tin phần mềm nội bộ (approved software portal) là giải pháp tối ưu để đảm bảo tính toàn vẹn của các công cụ quản trị hệ thống. Để biết thêm thông tin chi tiết về các kỹ thuật tấn công, bạn có thể tham khảo thêm tại MITRE ATT&CK về các kỹ thuật thực thi mã độc.