Phân tích chiến dịch CSuite: Phishing chiếm quyền Microsoft 365 và triển khai RMM

• Chiến dịch CSuite: Một chiến dịch phishing tinh vi nhắm vào các tổ chức tại Mỹ, tập trung vào lĩnh vực công nghệ, sản xuất và chính phủ.
• Cơ chế tấn công: Kết hợp đánh cắp phiên đăng nhập Microsoft 365 với việc triển khai các công cụ RMM (Remote Monitoring and Management) như ScreenConnect hoặc Action1.
• Tác động: Cho phép kẻ tấn công duy trì quyền truy cập bền vững vào hệ thống, thực hiện gian lận tài chính và mở rộng phạm vi xâm nhập nội bộ.
• Khuyến nghị: Tăng cường giám sát hành vi endpoint, kiểm soát chặt chẽ các công cụ quản trị từ xa và triển khai Threat Intelligence để phát hiện sớm hạ tầng độc hại.

1. Bối cảnh & Tổng quan chiến dịch CSuite

Chiến dịch CSuite là một mối đe dọa mạng đang gia tăng, tập trung vào việc khai thác niềm tin của người dùng thông qua các tài liệu giả mạo liên quan đến các dịch vụ doanh nghiệp phổ biến như Adobe, DocuSign, Zoom, Google Meet, Dropbox và Microsoft 365. Dữ liệu từ các sandbox phân tích cho thấy 51% các mẫu tấn công nhắm vào các tổ chức tại Hoa Kỳ, với các lĩnh vực trọng yếu như công nghệ, sản xuất, chính phủ và tư vấn là mục tiêu hàng đầu.

Điểm khác biệt của CSuite so với các chiến dịch phishing truyền thống là khả năng chuyển đổi từ một email lừa đảo đơn thuần thành một cuộc xâm nhập hệ thống toàn diện. Bằng cách kết hợp đánh cắp định danh (Identity Theft) và chiếm quyền điều khiển endpoint, kẻ tấn công có thể duy trì sự hiện diện lâu dài trong môi trường doanh nghiệp.

2. Phân tích Kỹ thuật & Chuỗi tấn công (Kill Chain)

Dựa trên khung MITRE ATT&CK, chiến dịch CSuite thể hiện sự kết hợp giữa các kỹ thuật tấn công tinh vi nhằm qua mặt các lớp phòng thủ truyền thống.

2.1. Vector tấn công ban đầu (Initial Access)

Kẻ tấn công sử dụng các email lừa đảo (Phishing - T1566) với nội dung giả mạo các dịch vụ uy tín. Khi người dùng tương tác với các tệp đính kèm hoặc liên kết độc hại, quy trình tấn công sẽ rẽ nhánh theo hai hướng chính:

• Hướng 1 - Triển khai RMM (T1219): Tải xuống các tệp thực thi, tệp nén hoặc các script (BAT/VBS) để cài đặt các công cụ quản trị từ xa hợp pháp như ScreenConnect hoặc Action1. Điều này cho phép kẻ tấn công thiết lập quyền truy cập từ xa (Remote Access) vào endpoint của nạn nhân.
• Hướng 2 - Đánh cắp định danh (T1557): Điều hướng người dùng đến các trang web giả mạo để thu thập thông tin xác thực hoặc thực hiện các luồng phishing mã thiết bị (Device Code Phishing) nhằm chiếm đoạt phiên đăng nhập Microsoft 365 (Session Hijacking).

2.2. Kỹ thuật né tránh & Thực thi

Trong một số trường hợp, kẻ tấn công sử dụng các tệp BAT để leo thang đặc quyền (Privilege Escalation - T1068) và cài đặt công cụ RMM mà không cần sự can thiệp sâu của người dùng. Việc sử dụng các công cụ quản trị hợp pháp (LOLBAS - Living Off the Land Binaries and Scripts) giúp kẻ tấn công né tránh sự phát hiện của các giải pháp EDR truyền thống.

3. Dấu hiệu Nhận biết & Bảng Chỉ số IOCs

Việc nhận diện sớm các dấu hiệu của chiến dịch CSuite là yếu tố then chốt để ngăn chặn sự cố. Dưới đây là các chỉ số cần lưu ý:

⚠️ Cảnh báo quan trọng: Các tệp tin có chứa tham chiếu đến /m/js/utils.js trong mã nguồn trang web phishing cần được coi là dấu hiệu nhận biết (IOC) quan trọng để truy vết các chiến dịch liên quan.

4. Hướng dẫn Phát hiện (Threat Hunting)

Để phát hiện sớm các hoạt động này, đội ngũ SOC cần tập trung vào việc giám sát hành vi thực thi script và các kết nối mạng bất thường.

Truy vấn mẫu (KQL/Splunk):

// Tìm kiếm các tiến trình thực thi script liên quan đến cài đặt RMM 

Get-Process | Where-Object {$_.ProcessName -match 'ScreenConnect|Action1'}

Ngoài ra, việc sử dụng Threat Intelligence Feeds để cập nhật danh sách các IP và Domain độc hại vào hệ thống SIEM/EDR là vô cùng cần thiết, vì hạ tầng của chiến dịch CSuite thường xuyên thay đổi (Infrastructure Rotation).

5. Biện pháp Khắc phục & Khuyến nghị Phòng thủ

Để giảm thiểu rủi ro từ chiến dịch CSuite, các tổ chức cần thực hiện các biện pháp hardening hệ thống sau:

• Kiểm soát ứng dụng (Application Whitelisting): Hạn chế việc cài đặt và thực thi các công cụ RMM không được phê duyệt trên toàn bộ endpoint.
• Bảo mật định danh (Identity Hardening): Bắt buộc sử dụng xác thực đa yếu tố (MFA) chống phishing (như FIDO2/WebAuthn) để ngăn chặn việc đánh cắp phiên đăng nhập Microsoft 365.
• Giám sát hành vi (Behavioral Monitoring): Thiết lập cảnh báo cho các hành vi bất thường như PowerShell thực thi các lệnh tải xuống từ internet hoặc các tiến trình lạ cố gắng leo thang đặc quyền.
• Đào tạo nhận thức: Nâng cao khả năng nhận diện email lừa đảo cho nhân viên, đặc biệt là các email giả mạo dịch vụ doanh nghiệp phổ biến.

Việc xây dựng một quy trình phản ứng sự cố (Incident Response) linh hoạt, kết hợp giữa phân tích sandbox và Threat Intelligence, sẽ giúp giảm thiểu thời gian trung bình để khắc phục (MTTR) và ngăn chặn kẻ tấn công duy trì sự hiện diện trong hệ thống. Tham khảo thêm thông tin chi tiết tại MITRE ATT&CK Framework để hiểu rõ hơn về các kỹ thuật tấn công này.