Nhóm tin tặc Kimsuky sử dụng tài liệu giả mạo để phát tán mã độc tống tiền Funhouse

• Chiến dịch tấn công: Nhóm tin tặc Kimsuky sử dụng tài liệu Hangul Word Processor (HWP) giả mạo hồ sơ xin việc để phát tán mã độc tống tiền Funhouse.
• Cơ chế lây nhiễm: Sử dụng chuỗi script (Batch, VBS, PowerShell) kết hợp với Quasar RAT để duy trì quyền truy cập từ xa trước khi thực thi mã độc mã hóa dữ liệu.
• Sự liên kết: Các nhà nghiên cứu bảo mật đã xác định sự tương đồng về kỹ thuật, mutex và cấu trúc mã nguồn giữa Funhouse và các biến thể Endpoint ransomware trước đó.
• Khuyến nghị: Người dùng cần cảnh giác với các tệp tin đính kèm không rõ nguồn gốc và cập nhật phần mềm bảo mật để ngăn chặn các kỹ thuật tấn công đa giai đoạn.

Các nhà nghiên cứu từ Trung tâm Tình báo An ninh AhnLab (ASEC) vừa công bố báo cáo chi tiết về một chiến dịch tấn công mạng tinh vi do nhóm tin tặc Kimsuky thực hiện. Chiến dịch này nhắm vào các mục tiêu thông qua tài liệu Hangul Word Processor (HWP) được ngụy trang dưới dạng hồ sơ xin việc, từ đó triển khai mã độc tống tiền Funhouse thông qua một chuỗi các script và công cụ truy cập từ xa (RAT).

Kỹ thuật phát tán mã độc qua tài liệu giả mạo

Tệp tin độc hại có tên resume.Hwp chứa dữ liệu OLE (Object Linking and Embedding) nhúng bên trong. Khi người dùng mở tệp này, tiến trình Hangul sẽ tự động trích xuất hai tệp tin pdf.Exe và pdf.Exe.Manifest vào thư mục tạm của Windows mà không cần sự can thiệp thêm từ người dùng. Đây là một kỹ thuật điển hình nhằm qua mặt các cơ chế kiểm soát an ninh cơ bản.

Việc phân tích sâu cho thấy Funhouse là một biến thể của dòng mã độc tống tiền Endpoint. Các mẫu mã độc này chia sẻ chung phương thức mã hóa, tệp tin ghi chú tống tiền, mutex và kỹ thuật tạo khóa. Sự nhất quán này khẳng định đây là một chiến dịch có sự chuẩn bị kỹ lưỡng và liên tục từ phía các tác nhân đe dọa.

Bảng tổng hợp các chỉ số thỏa hiệp (IOCs)

⚠️ Cảnh báo quan trọng: Người dùng và quản trị viên hệ thống cần đặc biệt lưu ý đến các tệp tin HWP có chứa liên kết lạ. Việc kiểm tra tính xác thực của người gửi và cập nhật các bản vá bảo mật cho phần mềm văn phòng là biện pháp phòng thủ thiết yếu để ngăn chặn các cuộc tấn công MITRE ATT&CK tương tự.

Để biết thêm thông tin chi tiết về các kỹ thuật phòng thủ, bạn có thể tham khảo tài liệu từ CISA về việc bảo vệ hệ thống trước các chiến dịch tấn công mạng có chủ đích. Việc tích hợp các nguồn dữ liệu tình báo mối đe dọa (Threat Intelligence) vào hệ thống SIEM/EDR sẽ giúp phát hiện sớm các hành vi bất thường của script và các kết nối C2 độc hại.