FBI cảnh báo chiến dịch gián điệp mạng từ Integrity Technology Group
Các cơ quan an ninh quốc tế vừa phát đi cảnh báo về chiến dịch gián điệp mạng quy mô lớn do Integrity Technology Group thực hiện, nhắm vào dữ liệu email nhạy cảm.
- Chiến dịch gián điệp: Integrity Technology Group bị cáo buộc vận hành cổng thông tin truy cập trái phép vào email bị đánh cắp của các tổ chức chính phủ, y tế và thực thi pháp luật.
- Kỹ thuật tấn công: Sử dụng công cụ quét lỗ hổng tự động, kỹ thuật password spraying và khai thác các lỗ hổng CVE đã biết để xâm nhập hệ thống.
- Công cụ độc hại: Sử dụng botnet Raptor Train và các script tùy chỉnh để duy trì quyền truy cập, trích xuất dữ liệu thông qua giao thức EWS.
- Khuyến nghị: Cần rà soát các chỉ số IOCs, áp dụng xác thực đa yếu tố (MFA) và vá lỗi các lỗ hổng bảo mật nghiêm trọng.
Các cơ quan an ninh mạng quốc tế, dẫn đầu bởi FBI, đã công bố một báo cáo kỹ thuật chi tiết về các hoạt động gián điệp mạng của Integrity Technology Group. Tổ chức này bị cáo buộc đã thực hiện các cuộc tấn công nhắm vào nhiều lĩnh vực trọng yếu bao gồm chính phủ, thực thi pháp luật, y tế và các tổ chức tôn giáo tại khu vực Đông Nam Á, Châu Phi và Bắc Mỹ.
Cơ chế xâm nhập và kỹ thuật khai thác
Nhóm tin tặc sử dụng các công cụ quét lỗ hổng mã nguồn mở như Nmap, masscan và WPScan để xác định các mục tiêu dễ bị tổn thương trên các cổng mạng phổ biến. Đặc biệt, công cụ MicroScan với hơn 1.300 script kiểm thử thâm nhập được sử dụng để tự động hóa quá trình khai thác các lỗ hổng trên nhiều nền tảng phần mềm khác nhau.
Danh sách các lỗ hổng CVE bị khai thác
| Lỗ hổng | Sản phẩm | Phiên bản bị ảnh hưởng | Bản vá |
|---|---|---|---|
| CVE-2014-6278 | GNU Bash | Through 4.3 bash43-026 | N/A |
| CVE-2015-3306 | ProFTPD | 1.3.5 | 1.3.5a |
| CVE-2015-5477 | ISC BIND | 9.x before 9.9.7-P2 | 9.9.7-P2 |
| CVE-2016-3081 | Apache Struts | 2.3.19 to 2.3.28 | 2.3.28.1 |
| CVE-2019-11510 | Pulse Connect Secure | 8.2, 8.3, 9.0 | 8.2R12.1 |
| CVE-2021-22205 | GitLab | 11.9+ | 13.8.8 |
| CVE-2021-3199 | ONLYOFFICE | 5.1.5 - 5.6.2 | 5.6.3 |
| CVE-2023-22894 | Strapi | Up to 4.5.5 | 4.8.0 |
Ngoài việc khai thác các lỗ hổng phần mềm, nhóm này còn sử dụng kỹ thuật tấn công giả mạo (phishing) thông qua các trang web bị chèn mã XSS để đánh cắp thông tin đăng nhập. Sau khi chiếm được quyền truy cập, tin tặc triển khai các công cụ như EBurst để thực hiện password spraying nhắm vào các tài khoản Microsoft 365 và Exchange.
Duy trì quyền truy cập và trích xuất dữ liệu
Để duy trì sự hiện diện lâu dài trong mạng lưới nạn nhân, nhóm tin tặc sử dụng phần mềm VPN hợp pháp SoftEther, được ngụy trang dưới tên các tiến trình hệ thống như conhost.exe hoặc dllhost.exe. Việc trích xuất dữ liệu email được thực hiện thông qua giao thức Exchange Web Services (EWS) bằng các script PHP tùy chỉnh.
⚠️ Cảnh báo quan trọng: Việc phát hiện các tiến trình có tên trùng với các tệp hệ thống Windows nhưng chạy từ các thư mục không chuẩn là dấu hiệu rõ ràng của sự xâm nhập. Quản trị viên cần kiểm tra kỹ các kết nối Active Directory và các ứng dụng được kết nối với tài khoản đám mây.
Các nhà nghiên cứu bảo mật cũng lưu ý rằng nhóm này đã sử dụng kỹ thuật DCSync để sao chép thông tin xác thực từ Domain Controller. Dữ liệu sau đó được nén và tải lên các máy chủ C2 (Command and Control) được kiểm soát bởi Integrity Technology Group, tiêu biểu là tên miền natcloudservice[.]com.
Khuyến nghị phòng thủ và săn tìm mối đe dọa
Để bảo vệ hệ thống trước các chiến dịch tấn công này, các tổ chức cần thực hiện các biện pháp hardening nghiêm ngặt:
- Vô hiệu hóa dịch vụ không cần thiết: Tắt các cổng và dịch vụ không sử dụng, đặc biệt là các giao thức truy cập từ xa.
- Triển khai MFA: Bắt buộc xác thực đa yếu tố cho tất cả các tài khoản truy cập vào hệ thống email và VPN.
- Giám sát Active Directory: Theo dõi các hành vi sao chép dữ liệu bất thường từ Domain Controller (DCSync).
- Rà soát ứng dụng đám mây: Kiểm tra định kỳ các ứng dụng bên thứ ba có quyền truy cập vào email và dữ liệu nhạy cảm.
- Cập nhật bản vá: Ưu tiên vá các lỗ hổng CVE đã được liệt kê trong báo cáo để ngăn chặn các vector khai thác tự động.
Việc săn tìm mối đe dọa (Threat Hunting) nên tập trung vào các chỉ số IOCs (Indicators of Compromise) đã được công bố trong tài liệu kỹ thuật của các cơ quan an ninh. Các tổ chức có thể tham khảo thêm thông tin chi tiết tại Cảnh báo chung về an ninh mạng để có danh sách đầy đủ các IP và Hash cần chặn.
Mạng Lưới An Ninh Mạng & Cộng Đồng
Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.
Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.
Bài Viết Liên Quan
