FBI triệt phá mạng lưới Flax Typhoon: Vô hiệu hóa công cụ tấn công hạ tầng trọng yếu
FBI và Bộ Tư pháp Hoa Kỳ vừa thực hiện chiến dịch triệt phá mạng lưới Flax Typhoon, vô hiệu hóa các tên miền và công cụ khai thác nhắm vào hạ tầng trọng yếu.
- Chiến dịch triệt phá: FBI và Bộ Tư pháp Hoa Kỳ đã tịch thu 7 tên miền và chặn quyền truy cập vào các nền tảng quét lỗ hổng của nhóm tin tặc Flax Typhoon.
- Đối tượng tấn công: Nhóm Flax Typhoon (còn gọi là Ethereal Panda hoặc RedJuliett) có liên hệ với Integrity Technology Group, một công ty có trụ sở tại Bắc Kinh.
- Công cụ nguy hiểm: Các công cụ như Microscan và FishHub đã bị vô hiệu hóa, vốn được sử dụng để quét lỗ hổng và thực hiện tấn công spear-phishing trên quy mô lớn.
- Tác động toàn cầu: Hơn 1,2 triệu thiết bị IoT bị nhiễm mã độc, bao gồm các hạ tầng năng lượng và sân bay tại nhiều quốc gia.
Cục Điều tra Liên bang (FBI) và Bộ Tư pháp Hoa Kỳ (DoJ) vừa chính thức công bố việc vô hiệu hóa thành công các công cụ độc hại được vận hành bởi nhóm tin tặc Flax Typhoon, một tổ chức APT (Advanced Persistent Threat) có liên hệ mật thiết với chính phủ Trung Quốc. Chiến dịch này tập trung vào việc tịch thu các tên miền điều khiển (C2) và chặn đứng các nền tảng được sử dụng để quét, thâm nhập vào hạ tầng trọng yếu của Hoa Kỳ.
Danh sách các tên miền bị tịch thu
Trong nỗ lực ngăn chặn hoạt động của Flax Typhoon, các cơ quan chức năng đã thực hiện lệnh tịch thu đối với 7 tên miền quan trọng được nhóm này sử dụng để điều phối các cuộc tấn công mạng. Việc kiểm soát các tên miền này giúp cắt đứt liên lạc giữa các thiết bị bị nhiễm mã độc và máy chủ điều khiển của tin tặc.
| Loại thực thể | Giá trị / Chỉ số | Mô tả tác động |
|---|---|---|
| Tên miền | c0cc[.]cc | Máy chủ lưu trữ công cụ quét Microscan |
| Tên miền | 98aiblog[.]com | Hạ tầng hỗ trợ botnet |
| Tên miền | 98aicai[.]com | Hạ tầng hỗ trợ botnet |
| Tên miền | 98aicode[.]com | Hạ tầng hỗ trợ botnet |
| Tên miền | outlook3650[.]com | Giả mạo dịch vụ Microsoft |
| Tên miền | youtubecard[.]com | Tên miền ngụy trang |
| Tên miền | linkedinns[.]net | Tên miền ngụy trang |
Mổ xẻ cơ chế hoạt động của Botnet Raptor Train
Flax Typhoon, còn được biết đến với tên gọi Ethereal Panda hoặc RedJuliett, có mối quan hệ mật thiết với Integrity Technology Group. Nhóm này từng được xác định đứng sau botnet Raptor Train, một mạng lưới khổng lồ bao gồm hàng nghìn thiết bị IoT và SOHO bị chiếm quyền điều khiển. Mặc dù đã bị triệt phá một phần vào tháng 9 năm 2024, nhóm này vẫn tiếp tục duy trì các hoạt động tinh vi.
Theo tài liệu từ tòa án, Integrity Tech đã phát triển một botnet dựa trên biến thể của mã độc Mirai. Hệ thống này sử dụng các tên miền con của w8510[.]com để thiết lập kết nối C2 hai chiều. Việc quản lý toàn bộ mạng lưới được thực hiện thông qua một ứng dụng chuyên dụng có tên là Sparrow.
Phân tích công cụ tấn công: Microscan và FishHub
Nhóm tin tặc sử dụng hai công cụ chủ đạo để thực hiện các chiến dịch của mình. Microscan là một công cụ quét lỗ hổng dựa trên Python, chứa hơn 1.300 script kiểm thử xâm nhập. Nó cho phép tin tặc tự động hóa việc tìm kiếm các lỗ hổng trong các dịch vụ như OpenSSL, Oracle WebLogic, WordPress, và Apache Struts.
# Các công cụ hỗ trợ đi kèm Microscan bao gồm: - BBScan, dirsearch, Fscan: Quét thư mục và tìm kiếm lỗ hổng web.
- ksubdomain, masscan, NMAP: Thực hiện trinh sát mạng và quét cổng.
- OneForAll, ShuiZe, wpscan: Khai thác lỗ hổng ứng dụng web cụ thể.
Bên cạnh đó, FishHub là công cụ chuyên biệt cho các cuộc tấn công spear-phishing, cho phép tin tặc triển khai các payload tiếp theo sau khi đã chiếm được quyền truy cập ban đầu. Công cụ này đã được sử dụng để nhắm vào nhiều trường đại học và tổ chức nghiên cứu tại Đài Loan.
Khuyến nghị phòng thủ và phát hiện
Các tổ chức cần rà soát hệ thống để phát hiện các dấu hiệu xâm nhập từ Flax Typhoon. Việc giám sát lưu lượng mạng hướng tới các tên miền đã bị tịch thu và kiểm tra các tiến trình lạ liên quan đến SoftEther VPN là những bước quan trọng để bảo vệ hạ tầng.
⚠️ Cảnh báo quan trọng: Các tổ chức cần ưu tiên cập nhật bản vá cho các thiết bị IoT và SOHO, đồng thời triển khai các giải pháp giám sát lưu lượng mạng để phát hiện sớm các hành vi quét lỗ hổng từ các IP lạ.
Việc phối hợp giữa các cơ quan an ninh quốc tế như CISA, NCSC (Anh) và các đối tác khác là minh chứng cho nỗ lực toàn cầu trong việc làm suy yếu các thực thể cung cấp dịch vụ tấn công mạng. Các doanh nghiệp nên tham khảo Cảnh báo chung về an ninh mạng để có thêm thông tin chi tiết về các kỹ thuật phòng thủ.
Mạng Lưới An Ninh Mạng & Cộng Đồng
Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.
Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.
Bài Viết Liên Quan
