Phân tích mạng lưới Phishing 'Iron Man System' nhắm vào 75.000 tổ chức
Các nhà nghiên cứu bảo mật vừa phát hiện mạng lưới phishing quy mô lớn mang tên Iron Man System, sử dụng nền tảng PhaaS để nhắm mục tiêu vào 75.000 tổ chức toàn cầu.
- Quy mô tấn công: Mạng lưới phishing Iron Man System đã được liên kết với hơn 1 tỷ tin nhắn độc hại nhắm vào 75.000 tổ chức trên 130 quốc gia.
- Cơ chế hoạt động: Sử dụng mô hình Phishing-as-a-Service (PhaaS) dựa trên container, cho phép kẻ tấn công triển khai các trang web giả mạo nhanh chóng mà không cần kỹ năng lập trình cao.
- Điểm yếu cốt lõi: Hệ thống phụ thuộc vào máy chủ cấp phép tập trung, tạo ra cơ hội cho các đội ngũ phòng thủ thực hiện các biện pháp vô hiệu hóa đồng loạt.
Một mạng lưới phishing vận hành bởi các đối tượng tại Trung Quốc vừa được các nhà nghiên cứu an ninh mạng công bố vào ngày 14 tháng 10 năm 2026, với quy mô lên tới 1 tỷ tin nhắn nhắm vào 75.000 tổ chức trên toàn thế giới. Trọng tâm của chiến dịch này là Iron Man System, một nền tảng phishing trả phí cho phép tội phạm mạng triển khai các trang web giả mạo và thu thập thông tin nhạy cảm mà không cần xây dựng công cụ riêng.
Phân tích kỹ thuật hệ thống Iron Man System
Các nhà nghiên cứu từ Resecurity đã tiến hành phân tích sâu sau khi mua bản quyền và triển khai phần mềm trong môi trường lab cô lập. Iron Man System không phải là một loại mã độc cài đặt trực tiếp trên thiết bị nạn nhân, mà là một bộ công cụ phishing (phishing kit) tinh vi. Hệ thống sử dụng backend viết bằng ngôn ngữ Go và được đóng gói dưới dạng container image, giúp người mua dễ dàng triển khai trên máy chủ riêng.
Bảng điều khiển (control panel) hỗ trợ cả tiếng Trung và tiếng Anh, cho phép quản lý các trang web giả mạo, thiết lập thương hiệu và kiểm tra trạng thái bản quyền. Trong phiên bản 6.3.1, các nhà nghiên cứu ghi nhận tính năng đếm ngược thời hạn đăng ký và các cấu hình mồi nhử liên quan đến thanh toán. Mô hình thương mại này làm giảm đáng kể rào cản kỹ thuật cho các chiến dịch tấn công mạng.
Thư viện mẫu (template library) của hệ thống bao gồm 2.360 mẫu giả mạo các đơn vị chuyển phát nhanh, ngân hàng, cơ quan thuế, nhà bán lẻ và nhà cung cấp viễn thông. Đáng chú ý, thương hiệu DHL xuất hiện nhiều nhất với 37 mẫu, tiếp theo là DPD (24 mẫu) và Apple (23 mẫu). Các mẫu này được cập nhật liên tục, với những mục mới nhất được ghi nhận vào ngày 1 tháng 10 năm 2026.
Cơ sở hạ tầng và dấu hiệu nhận biết (IoCs)
Quá trình điều tra phát hiện một máy chủ Gitea công khai chứa mã nguồn và registry của bộ công cụ này, lộ ra 911 phiên bản image và 8 tài khoản đăng ký. Các cấu hình build cho thấy việc sử dụng lưu trữ tương thích với S3 và cơ sở dữ liệu MariaDB trên các địa chỉ nội bộ. Mặc dù các thông tin xác thực tĩnh đã được tìm thấy, các nhà nghiên cứu đã quyết định không công khai giá trị cụ thể để đảm bảo an toàn.
| Loại thực thể | Giá trị / Chỉ số | Mô tả tác động |
|---|---|---|
| Domain | api2[.]peaceman[.]cc | Backend cấp phép chính |
| Domain | docker[.]aidchildren[.]cc | Registry build Gitea |
| IP Address | 104[.]26[.]8[.]8 | Địa chỉ CDN fronting |
| aidchildren[@]mail[.]com | Tài khoản quản trị registry |
⚠️ Cảnh báo quan trọng: Hệ thống kiểm tra trạng thái bản quyền cục bộ khoảng mỗi 20 giây, tạo ra kết nối tới máy chủ xác thực của nhà cung cấp. Đây là điểm yếu then chốt mà các đơn vị phòng thủ có thể tận dụng để vô hiệu hóa hàng loạt các trang web giả mạo thay vì phải xử lý từng trang riêng lẻ.
Khuyến nghị phòng thủ và săn tìm mối đe dọa
Để đối phó với các chiến dịch sử dụng Iron Man System, các tổ chức cần tích hợp các chỉ số IoCs vào hệ thống SIEM hoặc Threat Intelligence Platform. Việc giám sát lưu lượng truy cập tới các domain thuộc hạ tầng của kẻ tấn công là bước quan trọng để phát hiện sớm các nỗ lực phishing. Tham khảo thêm thông tin chi tiết tại CISA về các kỹ thuật phòng chống phishing nâng cao.
Mạng Lưới An Ninh Mạng & Cộng Đồng
Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.
Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.
Bài Viết Liên Quan
