Cảnh báo chiến dịch phát tán mã độc Yoba qua các ứng dụng AI giả mạo

• Chiến dịch tinh vi: Kẻ tấn công sử dụng các ứng dụng AI giả mạo như GPT-5.6 Sol, GPT-6 Astra và Claude Opus để phát tán mã độc Yoba.
• Cơ chế lây nhiễm: Sử dụng kỹ thuật DLL sideloading thông qua các tệp thực thi được ký số hợp lệ để vượt qua sự kiểm soát của các giải pháp bảo mật.
• Mục tiêu tấn công: Triển khai phần mềm đào tiền ảo XMRig và duy trì quyền truy cập thông qua các tác vụ hệ thống (Scheduled Tasks) ngụy trang.
• Khuyến nghị: Cần kiểm tra kỹ các tệp DLL lạ, giám sát các tác vụ hệ thống bất thường và không tin tưởng tuyệt đối vào các tệp tin có chữ ký số.

Các nhà nghiên cứu bảo mật vừa phát đi cảnh báo về một chiến dịch tấn công mạng nguy hiểm, trong đó kẻ tấn công lợi dụng sự phổ biến của các công cụ trí tuệ nhân tạo như ChatGPT và Claude để phát tán mã độc Yoba. Thay vì tấn công trực tiếp vào hạ tầng của OpenAI hay Anthropic, tội phạm mạng đã tạo ra các kho lưu trữ GitHub giả mạo, cung cấp các trình cài đặt ứng dụng desktop được ký số hợp lệ nhưng đi kèm với các thư viện độc hại.

Cơ chế tấn công và kỹ thuật DLL Sideloading

Điểm cốt lõi của chiến dịch này nằm ở kỹ thuật DLL sideloading. Kẻ tấn công đặt các tệp tin độc hại bên cạnh các tệp thực thi (executable) hợp lệ đã được ký số. Khi người dùng chạy ứng dụng, tệp thực thi sẽ vô tình tải thư viện độc hại thay vì thư viện hệ thống gốc. Mặc dù chữ ký số của tệp thực thi là hợp lệ, nó không đảm bảo tính toàn vẹn của các tệp tin đi kèm trong cùng thư mục.

Theo phân tích kỹ thuật, YobaDropper được thiết kế để thực hiện các bước kiểm tra môi trường phức tạp trước khi kích hoạt mã độc chính. Cụ thể, nó thực hiện các bước sau:

• Kiểm tra tên tệp: So khớp tên tệp thực thi chủ để xác định môi trường thực thi.
• Trì hoãn thực thi: Kích hoạt 200.000 chu kỳ ngủ (sleep cycles), mỗi chu kỳ kéo dài 5.5 giây nhằm vượt qua các cửa sổ phân tích tự động của các hệ thống sandbox.
• Lọc ngôn ngữ: Loại trừ các môi trường ngôn ngữ như Nga, Belarus, Armenia, Azerbaijan, Kazakhstan, nhưng đặc biệt loại trừ Ukraine khỏi danh sách chặn.
• Leo thang đặc quyền: Yêu cầu quyền quản trị (Administrator) để tiếp tục quá trình lây nhiễm.

Phân tích chuỗi lây nhiễm và YobaLoader

Sau khi vượt qua các bước kiểm tra, YobaDropper thực hiện sao chép một thành phần hợp lệ của Windows Media Player vào thư mục ProgramData và giải mã một thư viện độc hại khác. Một tác vụ hệ thống (Scheduled Task) được thiết lập để chạy dưới quyền Local System, giúp kích hoạt YobaLoader sau một khoảng thời gian chờ.

YobaLoader sử dụng các kỹ thuật giao tiếp C2 (Command and Control) hiện đại để duy trì sự ẩn mình:

• C2 linh hoạt: Truy xuất hình ảnh đại diện từ một kênh Telegram, sau đó sử dụng 50 byte cuối cùng của hình ảnh đó để tạo tên miền (DGA) thông qua thuật toán.
• Giao tiếp bảo mật: Sử dụng DNS-over-HTTPS của Google để truy vấn bản ghi TXT, xác thực lệnh bằng chữ ký Ed25519 và giải mã dữ liệu bằng AES-ECB.
• Payload đa dạng: Tải xuống các payload được mã hóa từ các dịch vụ lưu trữ như Catbox, bao gồm cả công cụ đào tiền ảo XMRig 6.26.0.

Khuyến nghị phòng thủ và săn tìm mối đe dọa

Để đối phó với chiến dịch này, các đội ngũ SOC cần tập trung vào việc giám sát các hành vi bất thường thay vì chỉ dựa vào chữ ký số của tệp tin. Các quản trị viên hệ thống nên thực hiện các bước sau:

• Giám sát DLL: Kiểm tra các tệp DLL được tải bởi các ứng dụng đáng tin cậy, đặc biệt là các tệp nằm trong thư mục không chuẩn.
• Kiểm tra tác vụ hệ thống: Rà soát các Scheduled Tasks có tên hoặc mô tả liên quan đến Microsoft nhưng được thực thi từ các thư mục như ProgramData.
• Phân tích tiến trình: Theo dõi các tiến trình như svchost.exe nếu có dấu hiệu bị tiêm mã độc (process injection) hoặc kết nối mạng bất thường qua proxy Tor.

⚠️ Cảnh báo quan trọng: Việc tin tưởng vào chữ ký số của các tệp thực thi là một lỗ hổng trong tư duy phòng thủ. Kẻ tấn công thường xuyên sử dụng các tệp tin hợp lệ để che giấu hành vi độc hại. Hãy luôn kiểm tra toàn bộ chuỗi thực thi (execution chain) và sử dụng các giải pháp EDR để phát hiện các hành vi bất thường trong thời gian thực. Thông tin chi tiết về các kỹ thuật tấn công có thể tham khảo thêm tại MITRE ATT&CK.