Một công ty ít được biết đến có thể đã đóng vai trò quan trọng trong việc xây dựng mạng lưới ẩn danh hỗ trợ các chiến dịch mạng liên quan đến quân sự trên toàn cầu. Các nhà nghiên cứu đã tiết lộ chi tiết về hạ tầng bí mật này, làm nổi bật một khía cạnh đáng lo ngại của mối đe dọa mạng hiện nay.
Các nhà nghiên cứu khẳng định rằng Guangdong Chanming, một công ty không có hoạt động kinh doanh công khai rõ ràng, dường như có liên quan đến các công cụ được thiết kế để che giấu hoạt động trực tuyến và chuyển lưu lượng truy cập qua nhiều hệ thống, làm phức tạp việc phát hiện và phản ứng với các cuộc tấn công mạng.
Hạ Tầng Mạng Ẩn Danh và Thách Thức An Ninh Mạng
Vai trò bị cáo buộc của công ty này đặc biệt quan trọng vì sự tồn tại của các mạng lưới chuyển tiếp bí mật. Chúng khiến các nhà phòng thủ gặp khó khăn lớn trong việc xác định điểm khởi đầu của một cuộc xâm nhập hoặc danh tính của kẻ đứng sau.
Việc che giấu nguồn gốc các hoạt động này làm tăng thêm tính phức tạp trong công tác điều tra và ứng phó sự cố, đặt ra thách thức lớn cho an ninh mạng.
Các báo cáo gần đây về hoạt động của các nhà thầu mạng đã nhấn mạnh cách các công ty tư nhân có thể cung cấp cơ sở hạ tầng và dịch vụ hỗ trợ các chiến dịch gián điệp, thường diễn ra dưới vỏ bọc hợp pháp.
Phân tích chuyên sâu của các chuyên gia từ IntrusionTruth đã xác định mối liên hệ rõ ràng này sau khi xem xét kỹ lưỡng hồ sơ công ty, bản ghi phần mềm, bằng sáng chế và tài liệu mua sắm quân sự để đưa ra các kết luận quan trọng về mối đe dọa mạng tiềm ẩn này.
Bản Chất của Hạ Tầng Đe Dọa Mạng
Theo báo cáo của IntrusionTruth được chia sẻ với Cyber Security News (CSN), bằng chứng cho thấy Guangdong Chanming đóng vai trò là nhà cung cấp công nghệ mạng ẩn danh cho các khách hàng cấp nhà nước. Điều này cung cấp khả năng ẩn danh cao cho các hoạt động.
Nghiên cứu này không mô tả một đợt bùng phát mã độc thông thường với một danh sách nạn nhân duy nhất hoặc phương thức truy cập ban đầu dễ nhận diện.
Thay vào đó, nó phác thảo một lớp hạ tầng chuyên biệt ẩn sau các chiến dịch mạng. Lớp hạ tầng này bao gồm phần mềm giúp các nhà điều hành ẩn lưu lượng lệnh (command and control – C2), chuyển tiếp dữ liệu và giảm thiểu đáng kể khả năng nạn nhân có thể truy vết hoạt động về nguồn gốc, làm tăng cường mức độ nguy hiểm của mối đe dọa mạng.
Chi Tiết Kỹ Thuật về Các Sản Phẩm của Guangdong Chanming
Guangdong Chanming được ghi nhận là không có trang web công khai, cửa hàng thực tế hoặc danh mục sản phẩm thương mại rõ ràng. Sự thiếu vắng này tạo nên một bức màn bí ẩn xung quanh các hoạt động và mục đích thực sự của công ty.
Tuy nhiên, các bằng sáng chế đã đăng ký và bản quyền phần mềm của công ty mô tả các sản phẩm với những cái tên mang tính kỹ thuật cao như:
- Internet Security Access System: Hệ thống truy cập an toàn internet.
- Multi-functional Security Proxy System: Hệ thống proxy bảo mật đa chức năng.
- File Transfer Network System: Hệ thống mạng truyền tải tệp.
- Security Tunnel Network: Mạng lưới đường hầm bảo mật.
- Anti-traceability Network System: Hệ thống mạng chống truy vết.
Ngoài ra, một số tiêu đề sản phẩm đã được ghi nhận cũng đề cập đến các công cụ chuyên biệt như Android Secret Extraction System (Hệ thống trích xuất bí mật Android) và Telegram Data Collection System (Hệ thống thu thập dữ liệu Telegram).
Mặc dù chỉ riêng tên sản phẩm không thể chứng minh trực tiếp việc sử dụng trong các hoạt động cụ thể, chúng rõ ràng gợi ý rằng công việc của công ty mở rộng vượt ra ngoài các sản phẩm mạng tiêu dùng thông thường. Các khả năng được mô tả bao gồm giám sát, thu thập dữ liệu và che giấu, tất cả đều là thành phần cốt lõi của các chiến dịch tấn công mạng tinh vi và mối đe dọa mạng tiềm ẩn.
Kết Nối Với Các Hoạt Động Mạng Liên Quan đến Quân Sự
Các nhà nghiên cứu đã phát hiện các danh sách mua sắm ghi nhận Guangdong Chanming là nhà cung cấp cho People’s Liberation Army (PLA). Điều này thiết lập một mối liên hệ trực tiếp giữa công ty và các tổ chức quân sự.
Một danh sách cụ thể mô tả một Anonymous Network System được chuyển giao cho một đơn vị quân sự ở quận Haidian, Bắc Kinh. Khu vực này được biết đến là nơi tập trung nhiều tổ chức quân sự và công nghệ quan trọng, làm tăng thêm ý nghĩa của giao dịch này đối với an ninh mạng khu vực và quốc tế.
Mối liên hệ này càng trở nên quan trọng hơn khi Haidian cũng được liên kết với PLA Cyberspace Force, bộ phận chịu trách nhiệm về các hoạt động mạng quân sự. Điều này cho thấy khả năng công nghệ của Guangdong Chanming đã được tích hợp vào các chiến lược phòng thủ và tấn công mạng.
Báo cáo lập luận rằng công nghệ mạng do Guangdong Chanming cung cấp có thể đã tạo ra một lớp vỏ bọc thực tế, cho phép các nhà điều hành thực hiện các chiến dịch gián điệp dài hạn với khả năng ẩn danh cao, gây ra những mối đe dọa mạng nghiêm trọng.
Phân Tích Sâu Hơn: FCN và Liên Kết Mã Độc WHIPWEAVE
Cuộc điều tra đã đào sâu vào Wang Huiping, một trong những cổ đông được liệt kê của Guangdong Chanming, để tìm kiếm các mối liên hệ kỹ thuật.
Các nhà nghiên cứu đã liên kết một số điện thoại liên quan đến Wang với một địa chỉ email. Địa chỉ email này cũng được kết nối với FCN, hay FreeConnect, một dự án phần mềm từng được lưu trữ trên GitHub dưới tên người dùng “boywhp”.
Mặc dù kho lưu trữ gốc của FCN đã bị xóa, các bản sao (forks) vẫn còn trực tuyến. Những bản sao này đã cung cấp manh mối quan trọng, dẫn các nhà nghiên cứu đến tên miền xfconnect[.]com, một điểm nóng tiềm năng cho các hoạt động bí mật.
Kết quả từ VirusTotal cho các tệp liên quan đến tên miền đó bao gồm các mẫu mà các nhà nghiên cứu cho rằng có hình thái tương tự với stn.exe. Tệp này được mô tả là một phần của sản phẩm STN Security Tunnel, cho thấy khả năng nó là một công cụ ẩn danh.
Các nhà nghiên cứu cũng phát hiện ra rằng các phiên bản Linux của FCN sử dụng một lệnh bất thường để nhận dạng giao diện mạng. Lệnh này không phổ biến và có dấu hiệu của sự tùy chỉnh.
Việc tìm kiếm lệnh đặc biệt đó đã dẫn họ đến “bulbature”, một tệp liên quan đến mã độc WHIPWEAVE. Mã độc này đã được liên kết với mạng lưới bí mật RedRelay hoặc ORBWEAVER, vốn nổi tiếng trong các hoạt động gián điệp mạng. Đây là một minh chứng rõ ràng về mối đe dọa mạng phức tạp.
Sự trùng lặp trong các manh mối này không tự nó chứng minh rằng mọi người dùng FCN đều tham gia vào các hoạt động có liên quan đến các tổ chức nhà nước.
Tuy nhiên, IntrusionTruth lập luận rằng các bằng chứng về phát triển chung, mô tả bằng sáng chế và hồ sơ mua sắm đã tạo nên một bức tranh mạnh mẽ hơn. Bức tranh này cho thấy một bộ công cụ thương mại có thể đã phát triển thành cơ sở hạ tầng được sử dụng bởi các tác nhân tấn công mạng.
Bạn có thể tham khảo báo cáo chi tiết từ IntrusionTruth để hiểu rõ hơn về phân tích này tại: IntrusionTruth Report.
Các Nhóm Tác Nhân Đe Dọa Liên Quan
Báo cáo liên kết việc sử dụng RedRelay với một cụm các tác nhân đe dọa đã được biết đến rộng rãi với nhiều tên gọi khác nhau, cho thấy một sự phức tạp trong việc truy vết và phân loại mối đe dọa mạng này. Các tên gọi bao gồm:
- Red Vulture
- APT15
- Ke3chang
- Vixen Panda
- Playful Dragon
- Nylon Typhoon
Các hoạt động của những nhóm này thường tận dụng các công cụ ẩn danh để thực hiện các chiến dịch gián điệp, đặt ra một thách thức liên tục cho an ninh mạng toàn cầu.
Khuyến Nghị Bảo Mật và Phát Hiện Xâm Nhập
Để đối phó với các mối đe dọa mạng sử dụng hạ tầng ẩn danh tương tự, các tổ chức cần áp dụng các biện pháp phòng ngừa và phát hiện chủ động.
Các tổ chức có nguy cơ cao nên thực hiện các hành động sau:
- Theo dõi kỹ lưỡng lưu lượng mạng đi ra (outbound network traffic) để phát hiện các kết nối chuyển tiếp không quen thuộc hoặc bất thường.
- Điều tra các tệp nhị phân Linux không mong muốn hoặc không rõ nguồn gốc trên hệ thống.
- Bảo quản cẩn thận các nhật ký hệ thống (logs) có thể tiết lộ các kết nối đa bước (multi-hop connections), vốn là dấu hiệu của các hoạt động ẩn danh.
Các biện pháp cơ bản nhưng hiệu quả như phân đoạn mạng mạnh mẽ (strong segmentation), triển khai xác thực đa yếu tố (MFA) và duy trì khả năng hiển thị mạng (network visibility) vẫn là những yếu tố thiết yếu.
Những giải pháp này đóng vai trò quan trọng trong việc tăng cường khả năng phòng thủ của tổ chức và củng cố an ninh mạng tổng thể, đặc biệt khi các nhóm đe dọa dai dẳng tiếp tục nhắm mục tiêu vào các hệ thống có giá trị cao.
Các Chỉ Số Thỏa Hiệp (IOCs)
Dưới đây là các Chỉ số Thỏa hiệp (IOCs) được xác định trong quá trình nghiên cứu, có thể giúp các nhà phòng thủ nhận diện và ứng phó với mối đe dọa mạng này:
- Tên miền:
xfconnect[.]com - Tệp nhị phân:
stn.exe(liên quan đến STN Security Tunnel) - Tên tệp liên quan đến mã độc:
bulbature(liên quan đến WHIPWEAVE)
Lưu ý quan trọng: Các địa chỉ IP và tên miền trong danh sách IOCs được cố ý làm giả (ví dụ: thay . bằng [.]) để ngăn chặn việc phân giải ngẫu nhiên hoặc tạo siêu liên kết không mong muốn. Để sử dụng các chỉ số này trong hệ thống của bạn, hãy hoàn nguyên chúng về định dạng gốc chỉ trong các nền tảng thông tin tình báo mối đe dọa được kiểm soát như MISP, VirusTotal hoặc hệ thống SIEM của bạn.
