Một thành phần mã độc mới đã được xác định, liên kết chặt chẽ với framework Project CAV3RN. Thành phần này đang lạm dụng các sự kiện lịch Microsoft Outlook được lên lịch vào năm 2050 để che giấu lưu lượng điều khiển và kiểm soát (C2). Kỹ thuật tiên tiến này cho phép các hoạt động độc hại hòa nhập vào lưu lượng Microsoft 365 hợp pháp, gây khó khăn cho việc phát hiện và ứng phó.
Các nhà nghiên cứu tại Kaspersky đã liên kết hoạt động này với các chiến dịch gián điệp mạng có mục tiêu cao. Mặc dù hệ sinh thái CAV3RN rộng hơn đã từng được kết nối với một số nhóm tấn công cụ thể, việc gán cho OilRig vẫn được đánh giá với độ tin cậy thấp bởi một số chuyên gia bảo mật.
Mối Đe Dọa Mạng: Mã Độc Project CAV3RN và Kỹ Thuật Che Giấu C2
Thành phần AzureCommunication.dll và C2 qua Microsoft Graph API
Module giao tiếp mới này, được định danh là AzureCommunication.dll, dường như được thiết kế để thay thế một thành phần C2 dựa trên HTTP/WebSocket trước đây trong kiến trúc mô-đun của CAV3RN.
Nó sử dụng quyền truy cập Microsoft Graph API vào một hộp thư Microsoft 365 đã bị xâm nhập. Bằng cách này, nó biến lịch Outlook mặc định của hộp thư thành một kênh giao tiếp hai chiều, đóng vai trò như một điểm trung chuyển dữ liệu (dead-drop channel).
Thay vì liên hệ với một máy chủ do kẻ tấn công kiểm soát dễ bị nhận dạng, mã độc này xác thực vào Microsoft Entra ID (trước đây là Azure AD) bằng cách sử dụng thông tin xác thực ứng dụng OAuth 2.0. Quá trình này giúp cho giao tiếp của mã độc trông giống như hoạt động ứng dụng hợp pháp.
Sau khi xác thực thành công, nó truy cập các sự kiện lịch thông qua Microsoft Graph API. Việc này cho phép lưu lượng độc hại hòa trộn với các hoạt động thông thường của Microsoft 365, khiến việc phân biệt giữa hành vi hợp pháp và bất hợp pháp trở nên cực kỳ khó khăn cho các công cụ giám sát an ninh mạng truyền thống.
Kỹ Thuật Che Giấu Giao Tiếp C2 trong Lịch Outlook
Các lệnh điều khiển, tín hiệu báo hiệu (heartbeat) và dữ liệu bị đánh cắp đều được lưu trữ trong một khung thời gian cố định trên lịch Outlook. Cụ thể, chúng được đặt vào ngày 13 tháng 5 năm 2050, từ 22:00 đến 23:00 UTC.
Việc lên lịch các sự kiện xa trong tương lai như vậy giảm đáng kể khả năng nạn nhân hoặc quản trị viên tình cờ nhìn thấy chúng trong các chế độ xem lịch thông thường. Điều này là một kỹ thuật C2 tinh vi nhằm duy trì tính bí mật.
Một báo cáo tương tự từ Group-IB cũng mô tả việc các lệnh và dữ liệu được mã hóa được ẩn trong các tệp đính kèm của lời mời lịch được lên lịch vào năm 2050. Kỹ thuật này đã chứng minh hiệu quả trong việc né tránh sự chú ý.
Để nhận nhiệm vụ từ kẻ điều hành, mã độc tìm kiếm các sự kiện lịch sử dụng một định dạng chủ đề cụ thể: Event ID: <agent-id>. Sau đó, nó tải xuống dữ liệu lệnh được đính kèm, giải mã và xóa sự kiện sau khi truy xuất.
Mã độc sử dụng mã hóa lai (hybrid encryption) cho các lệnh đến. Một khóa AES được mã hóa bằng RSA bảo vệ tải trọng được mã hóa bằng AES-256-GCM. Cách tiếp cận này cung cấp cho kẻ điều hành cả tính bảo mật và toàn vẹn dữ liệu, đồng thời sử dụng một nền tảng đám mây hợp pháp làm lớp truyền tải.
Khi gửi kết quả, implant tạo một sự kiện lịch tạm thời, tải lên đầu ra đã mã hóa trong các tệp đính kèm có kích thước lên tới 10 MB. Sau đó, nó thay đổi chủ đề thành Boss Report ID: <agent-id>1500.
Sự khác biệt về cách viết hoa giữa tên tệp đính kèm đến (file0.txt) và đi (File0.txt) có thể cung cấp một manh mối hữu ích cho các nhà phân tích trong việc săn lùng mối đe dọa.
Framework cũng tạo và thay thế các sự kiện báo hiệu (heartbeat) được gắn nhãn Boss update ID: <agent-id>1500. Điều này cho phép kẻ điều hành theo dõi các implant đang hoạt động mà không cần cơ sở hạ tầng C2 trực tiếp.
Cơ chế Dự phòng DNS cho Phục hồi Thông tin Xác thực
Trong trường hợp quá trình lấy token Microsoft Graph hoặc xác thực tenant thất bại, AzureCommunication.dll sẽ chuyển sang một quy trình phục hồi dựa trên DNS.
Nó thực hiện truy vấn tới cơ sở hạ tầng DNS do kẻ tấn công kiểm soát bằng cách sử dụng các bản ghi AAAA. Các địa chỉ IPv6 được xử lý như các vùng chứa cho các phân đoạn cấu hình chứ không phải là đích đến mạng thực sự.
Mã độc truy xuất thông tin cập nhật, bao gồm ID tenant của Microsoft Entra, ID client, client secret và địa chỉ hộp thư mục tiêu, trong các phân đoạn 14 byte. Mỗi truy vấn chứa một định danh tác nhân được mã hóa hex, cho phép máy chủ DNS có thẩm quyền do kẻ điều hành kiểm soát tùy chỉnh phản hồi cho từng nạn nhân cụ thể. Chi tiết này được ghi nhận trong một báo cáo của Kaspersky được chia sẻ với CybersecurityNews. Xem thêm thông tin tại: Kaspersky Securelist – Project CAV3RN.
Thiết kế dự phòng này là rất quan trọng vì nó cho phép kẻ tấn công sửa chữa cấu hình C2 dựa trên đám mây của chúng mà không cần triển khai một payload mã độc được cập nhật. Các báo cáo về HollowGraph cũng đã xác định việc sử dụng DNS tunneling qua bản ghi IPv6 AAAA để làm mới thông tin xác thực Entra ID được sử dụng cho C2 qua Microsoft Graph.
Chiến Lược Phát Hiện và Tăng Cường An Ninh Mạng
Để đối phó với những kỹ thuật C2 tinh vi như vậy, các tổ chức cần triển khai các chiến lược phát hiện và phòng ngừa đa lớp.
Giám sát Hoạt động Lịch Microsoft Graph Bất thường
Các tổ chức nên điều tra kỹ lưỡng các hoạt động ứng dụng bất thường liên quan đến các thao tác lịch Microsoft Graph. Đặc biệt, cần chú ý khi một dịch vụ chính (service principal) tạo, sửa đổi, xóa hoặc đính kèm tệp vào các sự kiện lịch mà không có mục đích kinh doanh rõ ràng.
Việc này có thể là dấu hiệu của một mối đe dọa mạng đang cố gắng thiết lập kênh giao tiếp bí mật.
Phân tích Nhật ký Kiểm tra Microsoft 365
Các nhà phân tích an ninh mạng nên xem xét các nhật ký kiểm tra (audit logs) của Microsoft 365 để tìm các sự kiện được ghi nhận vào các ngày rất xa trong tương lai. Đây là một dấu hiệu bất thường mạnh mẽ.
Cần đặc biệt tìm kiếm các chủ đề đáng ngờ như Event ID:, Boss update ID: và Boss Report ID:. Ngoài ra, việc theo dõi hoạt động lặp lại liên quan đến một hộp thư duy nhất cũng rất quan trọng, vì nó có thể chỉ ra sự hiện diện của mã độc.
Theo dõi Truy vấn DNS Đáng ngờ
Các nhà phòng thủ cũng nên giám sát các truy vấn bản ghi DNS AAAA tới các miền như cloudlanecdn[.]com. Đặc biệt, cần chú ý đến các tên miền phụ chứa các chuỗi thập lục phân dài và các trường số.
Đây là một dấu hiệu rõ ràng của kỹ thuật C2 dựa trên DNS mà mã độc này sử dụng để phục hồi thông tin cấu hình.
Indicators of Compromise (IOCs)
Dưới đây là các chỉ số xâm nhập (IOCs) liên quan đến chiến dịch này:
- Tên miền C2 dự phòng DNS:
cloudlanecdn[.]com
Chiến dịch này là minh chứng rõ ràng về cách các tác nhân đe dọa có thể tái sử dụng các nền tảng SaaS đáng tin cậy và cơ sở hạ tầng DNS để làm cho giao tiếp C2 khó phân biệt hơn với lưu lượng mạng doanh nghiệp thông thường. Việc liên tục cập nhật các biện pháp an ninh mạng và tăng cường khả năng phát hiện là cần thiết để chống lại các mối đe dọa mạng ngày càng phức tạp.
