Mối đe dọa

Cảnh báo: Chiến dịch phát tán phần mềm độc hại qua các bản cài đặt game giả mạo

Microsoft phát đi cảnh báo về chiến dịch phát tán phần mềm độc hại thông qua các bản cài đặt game và phần mềm bẻ khóa, biến máy tính người dùng thành công cụ kiếm tiền bất hợp pháp.

RSS Source
RSS SourceAI Rewrite
~1 phút đọc•16 lượt xem
Microsoft Warns Fake Game Downloads Are Secretly Monetizing Windows PCs
  • Mối đe dọa: Các chiến dịch phát tán phần mềm độc hại ngụy trang dưới dạng game và phần mềm bẻ khóa đang gia tăng mạnh mẽ.
  • Cơ chế: Kẻ tấn công sử dụng các gói cài đặt để âm thầm cài đặt phần mềm chia sẻ băng thông, thực thi tính toán phân tán hoặc các tiện ích không mong muốn.
  • Tác động: Máy tính của người dùng bị lạm dụng tài nguyên hệ thống và băng thông mạng mà không có sự đồng ý rõ ràng.
  • Khuyến nghị: Người dùng cần tránh xa các nguồn phần mềm không chính thống và kích hoạt các tính năng bảo mật tích hợp trên Windows.

Các nhà nghiên cứu bảo mật từ Microsoft vừa công bố một báo cáo kỹ thuật chi tiết về một chiến dịch tấn công mạng tinh vi, trong đó các bản cài đặt game và phần mềm bẻ khóa (cracked software) được sử dụng làm phương tiện để biến máy tính Windows thành công cụ tạo lợi nhuận cho kẻ tấn công. Thay vì tập trung vào việc đánh cắp thông tin đăng nhập như các chiến dịch trước đây, chiến dịch này tập trung vào việc khai thác tài nguyên phần cứng và băng thông mạng của nạn nhân.

Attack chain (Source - Microsoft)
Hình 1: Chuỗi tấn công (Attack chain) mô tả quy trình từ khi người dùng tải xuống tệp tin cho đến khi các payload độc hại được thực thi trên hệ thống.

Phân tích cơ chế lây nhiễm và thực thi

Quá trình lây nhiễm bắt đầu khi người dùng thực thi các tệp cài đặt giả mạo, thường được ngụy trang dưới dạng các trò chơi phổ biến, công cụ hỗ trợ chơi game (Roblox executors), phần mềm tự động click (auto-clickers) hoặc các công cụ cập nhật driver. Các gói cài đặt này sử dụng Inno Setup để tạo ra các tiến trình tạm thời, sau đó khởi chạy các giai đoạn thực thi tiếp theo để cài đặt các phần mềm đi kèm.

Hệ thống phân phối này theo dõi các gói cài đặt dưới dạng các "ưu đãi" (offers) riêng biệt. Điều này cho phép kẻ tấn công duy trì khả năng lây nhiễm ngay cả khi một trong các gói cài đặt bị chặn hoặc thất bại. Một số payload được thiết kế để khởi chạy trước khi báo cáo kết quả về máy chủ điều khiển (C2), gây khó khăn cho việc phát hiện tại các điểm kiểm soát bảo mật truyền thống.

Các nhánh phân phối chính

  • WorldProxyPool: Nhánh này tập trung vào việc chia sẻ băng thông, định tuyến lưu lượng truy cập internet của bên thứ ba thông qua thiết bị của nạn nhân. Các tác vụ được thiết lập để chạy cùng hệ thống với đặc quyền SYSTEM, bao gồm một tiến trình PowerShell watchdog kiểm tra cập nhật mỗi giờ.
  • Nhánh tính toán phân tán: Cài đặt các ứng dụng như CharityEngine, BOINC và VirtualBox để thực hiện các tác vụ tính toán. Mặc dù không trực tiếp đào tiền ảo, việc lạm dụng tài nguyên phần cứng mà không có sự đồng ý vẫn gây ra rủi ro nghiêm trọng về hiệu năng và bảo mật.
  • Nhánh tiện ích hệ thống: Cài đặt các phần mềm như Advanced Windows Manager, nhằm duy trì sự hiện diện lâu dài trên máy tính nạn nhân thông qua các tiến trình nền.
Utility download lure (Source - Microsoft)
Hình 2: Ví dụ về các tệp tin tiện ích được sử dụng làm mồi nhử để đánh lừa người dùng tải xuống phần mềm độc hại.

Chỉ số nhận diện mối đe dọa (IoCs)

Dưới đây là bảng tổng hợp các chỉ số kỹ thuật giúp các chuyên gia SOC thực hiện săn tìm mối đe dọa (Threat Hunting) trong môi trường doanh nghiệp:

Loại thực thểGiá trị / Chỉ sốMô tả tác động
Domainbeliefdesk[.]xyzHạ tầng callback cho các gói cài đặt
Domaincompanyharbor[.]xyzHạ tầng callback cho các gói cài đặt
File path%TEMP%\is-*.tmp\eld*.exeMẫu payload giai đoạn dàn dựng
TaskWorldProxyPoolAgentDuy trì quyền truy cập ở mức SYSTEM
SHA-256006510ce1da2b7410376f0788c19e55616eb4bcc30072d25b7d0871dc32aa11cInno second-stage runner
SHA-256ab2c2dd37fdcfe1e7620a57f98c80bd063258bea145adc0cc6a0f8b1e24c6a8fFirst-stage payload

Khuyến nghị phòng thủ và giảm thiểu rủi ro

Để bảo vệ hệ thống trước các chiến dịch này, các tổ chức và cá nhân cần áp dụng các biện pháp hardening nghiêm ngặt. Việc kiểm soát danh mục phần mềm (Software Inventory) là cực kỳ quan trọng để phát hiện các ứng dụng không mong muốn (PUA) được cài đặt trái phép. Ngoài ra, cần kích hoạt các tính năng bảo mật nâng cao như Cloud-delivered protection và Tamper protection trên Windows Defender.

⚠️ Cảnh báo quan trọng: Việc sử dụng các công cụ bẻ khóa phần mềm hoặc tải xuống từ các nguồn không chính thống là vector tấn công chính. Các quản trị viên hệ thống nên triển khai chính sách chặn thực thi các tệp tin từ thư mục %TEMP% hoặc các đường dẫn không xác định thông qua AppLocker hoặc Windows Defender Application Control (WDAC).

Các nhà nghiên cứu nhấn mạnh rằng việc phát hiện sớm đòi hỏi sự kết hợp giữa giám sát mạng (network callbacks) và phân tích hành vi của các tác vụ định kỳ (scheduled tasks). Việc theo dõi các kết nối đến các tên miền lạ như beliefdesk[.]xyz hoặc signalpane[.]cfd có thể giúp nhận diện sớm sự hiện diện của các thành phần độc hại trong mạng nội bộ. Tham khảo thêm thông tin chi tiết về các kỹ thuật tấn công tại MITRE ATT&CK để cập nhật các chiến thuật phòng thủ mới nhất.

Tổng hợp, và phân tích kỹ thuật từ:Cyber Security News
Xem bài gốc

Mạng Lưới An Ninh Mạng & Cộng Đồng

24/7 Alerts

Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.

RSS Source

Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.

Bài Viết Liên Quan

Cùng chuyên mục & chủ đề