Mã độc VulcanRAT207.A phát tán qua WhatsApp chiếm quyền SYSTEM trên Windows

• Mối đe dọa: Chiến dịch phát tán mã độc thông qua tệp đính kèm WhatsApp giả mạo tài liệu tài chính.
• Cơ chế: Sử dụng kỹ thuật DLL sideloading và PoolParty Variant 7 để leo thang đặc quyền lên SYSTEM.
• Tác động: Kẻ tấn công có khả năng thực thi lệnh từ xa, ghi lại thao tác bàn phím, chụp màn hình và kiểm soát tệp tin.
• Khuyến nghị: Cần giám sát chặt chẽ các tác vụ hệ thống (Scheduled Tasks) và các tệp tin thực thi bất thường trong thư mục Common Files.

Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch tấn công mạng tinh vi, sử dụng tệp đính kèm độc hại trên nền tảng WhatsApp để triển khai một loại mã độc Remote Access Trojan (RAT) có khả năng đạt quyền truy cập SYSTEM trên hệ điều hành Windows. Mã độc này, được định danh là VulcanRAT207.A, cho phép kẻ tấn công kiểm soát sâu rộng các máy trạm bị lây nhiễm thông qua một chuỗi tấn công phức tạp.

Phân tích chuỗi tấn công của VulcanRAT207.A

Chiến dịch bắt đầu khi người dùng nhận được một tệp nén ZIP chứa tài liệu tài chính giả mạo cùng tệp thực thi Statement.exe. Khi tệp này được kích hoạt, mã độc bắt đầu một chuỗi hành vi ẩn danh, chuyển đổi từ tiến trình cấp người dùng sang một dịch vụ Windows chạy với quyền LocalSystem.

Để tránh bị phát hiện bởi các giải pháp bảo mật, tệp thực thi ban đầu được nén bằng thuật toán NRV2E. Sau khi khởi chạy, mã độc thực hiện kiểm tra môi trường để đảm bảo nó không chạy trong các sandbox hoặc máy ảo phân tích tự động. Nó quét các thông số như dung lượng đĩa, tài nguyên CPU, nhật ký sự kiện (Event Logs) và các khóa Registry đặc trưng.

Kỹ thuật leo thang đặc quyền và tiêm mã độc

Nếu không có quyền quản trị, mã độc cố gắng leo thang thông qua các đối tượng COM hoặc hàm runas của Windows. Đáng chú ý, nó sử dụng phương pháp PoolParty Variant 7 kết hợp với hệ thống I/O completion của Windows để tiêm shellcode vào tiến trình Task Scheduler. Vì Task Scheduler chạy dưới quyền LocalSystem, các thành phần sau đó sẽ kế thừa đặc quyền này mà không cần thực hiện thêm bước leo thang nào khác.

Shellcode được tiêm sẽ kết nối tới địa chỉ 61[.]18[.]208[.]27 qua cổng 8888 để tải xuống một gói triển khai vào bộ nhớ. Gói này bao gồm tiện ích VulkanInfo hợp lệ (có chữ ký của Intel), tệp vulkan-1.dll độc hại, tệp vulkan-1.bin và một DLL triển khai.

Tác động ở cấp độ Kernel và duy trì sự hiện diện

Mã độc sử dụng kỹ thuật DLL sideloading để tải tệp độc hại thông qua ứng dụng hợp lệ. Ngoài ra, nó còn cài đặt GoFly64.sys, một trình điều khiển (driver) mạng có chữ ký hợp lệ, để can thiệp vào các tiến trình bảo mật như bdservicehost.exe và bduserhost.exe của phần mềm Baidu.

⚠️ Cảnh báo quan trọng: Việc tạo các dịch vụ driver bất thường từ các đường dẫn tạm thời trong thư mục Windows drivers cần được coi là sự kiện bảo mật ưu tiên cao.

Để duy trì sự hiện diện (persistence), mã độc tạo một tác vụ hệ thống (Scheduled Task) có tên USOPrivate Kit hoặc USOPrivate. Tác vụ này khởi chạy vulkaninfo-64.exe, từ đó tải vulkan-1.dll để tái tạo RAT trong bộ nhớ.

Bảng chỉ số IOCs (Indicators of Compromise)

Các tổ chức nên chặn các tệp thực thi nhận được qua WhatsApp, đặc biệt là các tệp ZIP liên quan đến tài liệu tài chính. Đội ngũ SOC cần săn tìm các tiến trình Task Scheduler có hành vi bộ nhớ bất thường và giám sát việc thực thi vulkaninfo-64.exe từ thư mục C:\Program Files\Common Files\. Để biết thêm chi tiết về các kỹ thuật tấn công, hãy tham khảo tài liệu từ MITRE ATT&CK.