Một lỗi đơn giản của các mối đe dọa mạng đã hé lộ một nỗ lực gián điệp quy mô lớn, nhắm mục tiêu vào bệnh viện, văn phòng chính phủ và trường học trên nhiều châu lục vào đầu năm 2026. Vào giữa tháng 4, các tác nhân đã vô tình để một máy chủ dàn dựng mở với các công cụ, lịch sử lệnh và gói lừa đảo đã sẵn sàng.
Chiến dịch Gián điệp Mạng JadeProx và Loader TriBack
Sự sơ suất này đã phơi bày một chiến dịch đang hoạt động, hiện được theo dõi dưới tên JadeProx, xoay quanh một loader mới được xác định là TriBack. Đây là một minh chứng rõ ràng về mối đe dọa mạng liên tục nhắm vào các tổ chức quan trọng.
Chiến dịch đã tấn công hệ thống hình ảnh y tế của một bệnh viện công ở Việt Nam, Bộ Ngoại giao Malaysia và một số trang web giáo dục ở Hồng Kông cùng lúc.
Hoạt động song song cũng nhắm đến Honduras, sử dụng các chủ đề phần mềm Claude giả mạo để lôi kéo nạn nhân mở các gói dàn dựng.
Các nhà phân tích từ Group-IB đã xác định phần mềm độc hại và lập bản đồ cách cùng một loader xuất hiện trong mọi chuỗi lây nhiễm mà họ đã xem xét.
Kỹ thuật Khai thác của TriBack Loader
Group-IB trong một báo cáo chia sẻ với Cyber Security News (CSN) cho biết TriBack Loader bắt đầu thông qua kỹ thuật DLL sideloading. Nó giải mã và chạy shellcode bằng cách sử dụng các hàm gọi lại (callback functions) thông thường của Windows.
Phương pháp này giúp công cụ bảo mật ít có khả năng phát hiện việc khởi chạy, làm tăng tính lẩn tránh của mối đe dọa mạng này. Sự tinh vi trong cách thức triển khai cho thấy mức độ phức tạp của mối đe dọa mạng mà chiến dịch này đại diện.
Hai biến thể phát tán các beacon AdaptixC2, trong khi một biến thể khác phân phối một backdoor được theo dõi là Beagle.
Các cổng thông tin giả mạo, bao gồm một cổng mạo danh hệ thống thuế thành phố Venezuela, đã hoạt động trên cơ sở hạ tầng của chiến dịch để đánh cắp thông tin đăng nhập từ khách truy cập.
Phạm vi Mục tiêu và Phân tích Cơ sở Hạ tầng
Các mục tiêu của chiến dịch này trải dài từ Đông Nam Á đến Mỹ Latinh, phù hợp với các mô hình thường thấy trong các chiến dịch gián điệp mạng phức tạp. Mức độ phân tán của tấn công mạng này thể hiện khả năng thích ứng cao của các tác nhân đe dọa.
Honduras đã nhận được một mồi nhử được tạo kiểu như một tuyên bố của công ty đồ uống lớn tại địa phương, gửi đến Quốc hội của họ.
Các tác nhân đã phơi bày hộp dàn dựng Alibaba Cloud của họ bằng cách để một máy chủ web Python với tính năng liệt kê thư mục được bật.
Máy chủ này chứa lịch sử bash, đường dẫn webshell, bộ công cụ lừa đảo và các công cụ hậu khai thác được hiển thị rõ ràng.
Bên trong thư mục mở có các công cụ chuyển tiếp cổng (port forwarders), đường hầm SOCKS (SOCKS tunnels), máy quét mạng và các script nhằm che giấu máy chủ khỏi sự giám sát của nhà cung cấp dịch vụ đám mây.
Bằng chứng từ Nhật ký Hệ thống
Nhật ký lệnh cho thấy các đường hầm vào hệ thống hình ảnh bệnh viện Việt Nam và các nỗ lực truy cập vào hệ thống ngoại giao Malaysia.
Các nhật ký tương tự cũng tiết lộ cách các tác nhân phân phối các gói DLL sideloading tới các máy chủ Windows được truy cập thông qua các đường hầm nội bộ.
Một kho lưu trữ liên quan nhắm vào Honduras đã sử dụng một nhị phân máy chủ Microsoft đã ký để tải một DLL độc hại mà không có cảnh báo dễ dàng.
Các gói chủ đề Claude đã lạm dụng các chương trình nhà cung cấp đáng tin cậy khác theo cách tương tự trên các lần tải lên. Các nhóm theo dõi các phương pháp DLL sideloading sẽ nhận ra cách các chương trình đáng tin cậy bị lạm dụng để khởi động giai đoạn tiếp theo một cách âm thầm, là một chiến thuật phổ biến trong các tấn công mạng.
Cơ chế Hoạt động và Né tránh Phát hiện của TriBack Loader trong các Tấn công mạng
TriBack Loader đến dưới dạng một tập hợp nhỏ các tệp: một chương trình đã ký, một DLL độc hại và một tệp dữ liệu được mã hóa.
Sau một bước giải mã ngắn đảo ngược các byte và áp dụng một khóa cuộn (rolling key), mã chạy thông qua các hàm gọi lại Windows bất thường thay vì các khởi tạo luồng (thread starts) phổ biến.
Thiết kế đó giúp nó vượt qua nhiều sản phẩm điểm cuối (endpoint products) theo dõi các mẫu tạo luồng thông thường trên các máy trạm, làm cho việc phát hiện xâm nhập trở nên khó khăn hơn.
Bốn bản dựng đã xuất hiện trong khoảng hai tháng, mỗi bản hoán đổi các nhị phân máy chủ và lựa chọn gọi lại trong khi vẫn giữ nguyên kiểu xây dựng. Việc hiểu rõ cơ chế này là chìa khóa để đối phó hiệu quả với mối đe dọa mạng.
Hai trong số đó đã phân phối AdaptixC2 với các cài đặt beacon đầy đủ được các nhà nghiên cứu khôi phục, bao gồm thời gian ngủ và hồ sơ HTTP.
Một đường dẫn thứ ba đã sử dụng shellcode để chạy Beagle và giao tiếp với các miền tuân theo cùng một mẫu đăng ký. Việc lạm dụng AdaptixC2 mã nguồn mở cho thấy tại sao framework này tiếp tục thu hút các tác nhân đe dọa.
Biện pháp Phòng thủ và Nâng cao An ninh mạng
Các nhà phòng thủ nên chặn các miền và địa chỉ được liệt kê (nếu có) tại lớp biên (edge) và lớp DNS để ngăn chặn mối đe dọa mạng.
Họ cũng nên săn tìm các thư mục lồng nhau được đặt tên như _CL theo sau bởi các chữ số trong nhật ký email và điểm cuối.
Gắn cờ các nhị phân nhà cung cấp đã ký khởi chạy từ các đường dẫn có thể ghi của người dùng khi có một tệp dữ liệu hoặc tệp nhật ký đi kèm ở gần.
Xem xét các mục trong thư mục Khởi động, theo dõi một script dọn dẹp phần mở rộng kép và ưu tiên các bản vá cho các ứng dụng Java đối diện internet cộng với các lỗ hổng nghiêm trọng chưa được vá. Việc không cập nhật bản vá kịp thời có thể mở ra những lỗ hổng nghiêm trọng cho mối đe dọa mạng.
Các hoạt động chiến dịch APT thường chia sẻ các loader và công cụ đường hầm, vì vậy các khóa của TriBack vẫn là các điểm neo săn tìm mạnh mẽ để bảo vệ an ninh mạng của tổ chức.
Hướng dẫn về các bước giảm thiểu săn tìm mạng có thể giúp các nhóm áp dụng những phát hiện này một cách hiệu quả để củng cố an ninh mạng.
Chỉ số Thỏa hiệp (Indicators of Compromise – IoCs)
Thực hiện Phát hiện xâm nhập Hiệu quả
Để tăng cường khả năng phát hiện xâm nhập, các tổ chức nên triển khai các chỉ số thỏa hiệp (IoCs) vào hệ thống phòng thủ của mình. Mặc dù các địa chỉ IP và tên miền cụ thể không được cung cấp công khai trong nội dung gốc, các nhà nghiên cứu khuyến nghị chặn các miền và địa chỉ liên quan tại lớp biên và lớp DNS.
Các IoCs có thể bao gồm các hash của tệp độc hại, tên miền C2, địa chỉ IP liên quan và các chuỗi dấu vết trong nhật ký hệ thống. Việc sử dụng các IoCs này là cần thiết để chống lại các mối đe dọa mạng đang phát triển.
Các chuyên gia bảo mật được khuyến nghị tham khảo báo cáo gốc của Group-IB để biết thêm chi tiết kỹ thuật có thể bao gồm các IoCs chưa được công bố rộng rãi.
Lưu ý: Các địa chỉ IP và miền thường được làm ẩn (defanged) trong các báo cáo công khai (ví dụ: [.] thay cho .) để ngăn chặn việc phân giải hoặc siêu liên kết ngẫu nhiên. Chỉ nên khôi phục (re-fang) trong các nền tảng threat intelligence được kiểm soát như MISP, VirusTotal, hoặc SIEM của bạn.
