Phân tích chiến dịch phát tán mã độc XWorm qua các thông báo tòa án giả mạo

• Phương thức tấn công: Kẻ tấn công sử dụng email giả mạo thông báo tòa án để lừa người dùng mở các tệp tin script độc hại (VBScript/JavaScript).
• Cơ chế lây nhiễm: Sử dụng kỹ thuật ẩn giấu PowerShell và tiêm mã độc vào tiến trình hợp lệ RegAsm.exe để né tránh các giải pháp EDR.
• Mục tiêu: Các tổ chức tại Colombia đang trở thành đối tượng chính của chiến dịch này, với các kỹ thuật tương tự như các chiến dịch trước đây.
• Khuyến nghị: Cần kiểm soát chặt chẽ việc thực thi wscript.exe, cscript.exe và giám sát các kết nối mạng bất thường từ RegAsm.exe.

Tổng quan về chiến dịch tấn công XWorm

Các nhà nghiên cứu tại Arctic Wolf Labs đã công bố báo cáo chi tiết về một chiến dịch tấn công mạng tinh vi nhắm vào các tổ chức tại Colombia. Kẻ tấn công sử dụng các email giả mạo thông báo từ tòa án để lừa đảo người dùng, từ đó triển khai XWorm, một công cụ truy cập từ xa (RAT) cho phép tội phạm mạng kiểm soát toàn bộ hệ thống bị lây nhiễm.

Chiến dịch này tận dụng tâm lý lo ngại của người dùng đối với các vấn đề pháp lý khẩn cấp. Các tệp tin đính kèm được đặt tên khéo léo để bắt chước các văn bản hành chính hoặc pháp lý thực tế, khiến nhân viên văn phòng dễ dàng mắc bẫy mà không nghi ngờ. Đây là một kỹ thuật kỹ nghệ xã hội (social engineering) điển hình, kết hợp với chuỗi lây nhiễm phức tạp.

Phân tích kỹ thuật chuỗi lây nhiễm

Quá trình lây nhiễm bắt đầu khi nạn nhân mở tệp tin VBScript hoặc JavaScript đính kèm trong email hoặc tải về từ các dịch vụ lưu trữ công cộng như Filestack và ImageKit. Các tệp tin này được thiết kế để trông giống như tài liệu pháp lý, ví dụ: ACTA_NOTIFICA_TUTELA.js hoặc PROCESO DISCIPLINARIO_ RAD_00470032.vbs.

Khi được thực thi, script sẽ kích hoạt một lệnh PowerShell ẩn. Để tránh bị phát hiện bởi các phần mềm diệt virus, mã nguồn được xáo trộn (obfuscation) mạnh mẽ. Phiên bản VBScript sử dụng bộ giải mã Base93 tùy chỉnh và nhiều lớp mã hóa, trong khi các mẫu JavaScript sử dụng các phương thức mã hóa khác nhau với tên hàm được tạo ngẫu nhiên.

Kỹ thuật tiêm mã độc (Process Injection)

Sau khi giải mã, đoạn mã PowerShell sẽ giải nén hai tệp tin: một tệp .NET DLL có tên RSG_UnityApp và chính chương trình XWorm. PowerShell sau đó tải DLL này và truyền đường dẫn đến RegAsm.exe (một công cụ hợp lệ của Windows) cùng với mã độc XWorm. Bằng cách tiêm mã độc vào RegAsm.exe, kẻ tấn công có thể chạy mã độc bên trong một tiến trình trông có vẻ bình thường, gây khó khăn cho các đội ngũ an ninh trong việc phát hiện.

Khả năng của XWorm và các chỉ số IOCs

Sau khi khởi chạy, XWorm thiết lập kết nối với máy chủ điều khiển (C2) và gửi thông tin chi tiết về hệ thống nạn nhân, bao gồm tên người dùng, thông tin phần cứng, trạng thái phần mềm diệt virus và sự hiện diện của webcam. Lưu lượng truy cập được mã hóa bằng thuật toán AES-128-ECB.

Hướng dẫn phòng thủ và săn tìm mối đe dọa

Để phòng chống sự lây nhiễm của XWorm, các tổ chức cần triển khai các biện pháp giám sát chặt chẽ tại lớp endpoint. ⚠️ Cảnh báo quan trọng: Cần đặc biệt chú ý đến các tiến trình wscript.exe hoặc cscript.exe khi chúng khởi chạy PowerShell với các tham số ẩn hoặc mã hóa. Ngoài ra, cần thiết lập quy tắc cảnh báo cho RegAsm.exe nếu nó thực hiện các kết nối mạng hoặc tạo ra các tiến trình con bất thường.

Việc kiểm tra nhật ký DNS và tường lửa để tìm kiếm các tên miền C2 đã biết là một phương pháp hiệu quả để phát hiện các hệ thống đã bị xâm nhập. Nhân viên cần được đào tạo để xác minh tính xác thực của các thông báo tòa án thông qua các kênh chính thức và tuyệt đối không mở các tệp tin script không rõ nguồn gốc. Tham khảo thêm thông tin về các kỹ thuật tấn công tại MITRE ATT&CK để xây dựng chiến lược phòng thủ toàn diện.