Phát hiện phần mềm gián điệp DarkHotel xâm nhập qua Wi-Fi khách sạn

Các chuyên gia bảo mật Kaspersky Lab vừa phát hiện mối đe dọa mang tên Darkhotel chuyên ăn cắp dữ liệu nhạy cảm từ các nhân viên thường xuyên đi công tác nước ngoài. Được biết, Darkhotel đã tồn tại từ lâu và sau khi tấn công thành công, khách rời khách sạn cũng là lúc phần mềm này xóa mọi dấu vết.

Nhóm tội phạm mạng của chiến dịch Darkhotel không bao giờ theo đuổi mục tiêu hai lần và chuyên nhắm vào những du khách của những khách sạn cao cấp. Chúng thực hiện nhanh gọn, xâm nhập, lấy dữ liệu và tiếp tục “nằm vùng” chờ đợi con mồi mới. Các nạn nhân của chiến dịch này gần đây nhất là những người quản lý cấp cao từ Mỹ và châu Á. Đa phần nạn nhân đều là những người kinh doanh và đầu tư trong khu vực APAC như CEO, Phó Chủ tịch, giám đốc Sales & Marketing và đội ngũ nhân viên nghiên cứu và phát triển.  Kaspersky Lab cảnh báo rằng mối đe dọa này vẫn còn tồn tại và chưa bị triệt phá hoàn toàn.

Bọn tội phạm mạng Darkhotel hoạt động như thế nào?

Bọn chúng hiện vẫn có thể xâm nhập một cách thuận lợi vào mạng lưới wi-fi khách sạn. Mạng lưới này đã cung cấp cho tội phạm mạng rất nhiều thông tin truy cập trong những năm qua. Ngay cả đối với những hệ thống được cho là bí mật và an toàn, tội phạm mạng vẫn có cách để tiếp cận. Sau khi các mục tiêu đã hoàn tất thủ tục check-in khách sạn và kết nối với Wi-Fi ở đây, họ sẽ sử dụng số phòng của mình để đăng nhập. Những kẻ tấn công sẽ chờ đến lúc ấy rồi sử dụng thủ thuật hack nào đó khiến nạn nhân buộc phải tải về và cài đặt một bản cập nhật phần mềm dưới danh nghĩa hợp pháp. Chẳng hạn như thanh công cụ của Google, Adobe Flash hay Windows Messenger mà không hề biết rằng thực chất đó là một backdoor. Backdoor được cài vào máy tính của nạn nhân sẽ bắt đầu lây nhiễm, gây hại. Đây chính là cách hoạt động của phần mềm gián điệp Darkhotel.

Sau khi tải về máy tính, backdoor này giúp những kẻ tấn công xác định tầm quan trọng của các nạn nhân, rồi mới quyết định có nên để nạn nhân tiếp tục tải về các công cụ cao cấp hơn. Ngoài ra còn có Trojan 'Karba', để thu thập dữ liệu trên hệ thống và phần mềm bảo mật được cài đặt trên nó. Sau khi cuộc tấn công hoàn tất và vị khách rời đi, DarkHotel sẽ xóa mọi dấu vết.

Kurt Baumgartner, chuyên gia nghiên cứu bảo mật chính của Kaspersky Lab, cho biết: “Trong vài năm qua, một nhân tố với tên là Darkhotel đã thực hiện một số cuộc tấn công thành công đối với cá nhân cao cấp, phương pháp sử dụng và kỹ thuật vượt ra khỏi hành vi tội phạm ảo điển hình. Tội phạm mạng Darkhotel sở hữu quyền quản lý, khả năng tấn công dựa trên phương pháp toán học, khả năng tấn công bằng phân tích crypto và các nguồn lực khác. Với những yếu tố này, nó đủ sức để lợi dụng mạng lưới thương mại đáng tin cậy và nhằm vào các mục tiêu cụ thể với độ chính xác cao."

Tuy nhiên, các hoạt động nguy hiểm của Darkhotel có thể không nhất quán: Nó rất bừa bãi trong việc lây lan phần mềm độc hại cùng với các cuộc tấn công có mục tiêu xác định của nó.

"Sự kết hợp của các cuộc tấn công vừa rất chọn lọc lại vừa khá bừa bãi đang trở nên ngày càng phổ biến trong các cuộc tấn công có mục tiêu, nhắm đến những nạn nhân cấp cao, và các hệ thống vận hành botnet-style đang được sử dụng cho việc giám sát trên diện rộng hoặc tiến hành các nhiệm vụ khác như: tấn công DDOS, hay nâng cấp công cụ tấn công phức tạp hơn dành cho các nạn nhân cấp cao.”  Kurt Baumgartner nói thêm.

Các phòng tránh trò lừa đảo của Darkhotel:

- Sử dụng các đường truyền VPN tin cậy khi truy cập Wi-Fi công cộng.

- Khi đi công tác, luôn cẩn trọng với các cập nhật phần mềm đáng ngờ. Cẩn trọng xem xét nguồn gốc các gói cập nhật có được xác nhận từ nhà cung cấp hay không.

- Cài đặt phần mềm bảo mật Internet chất lượng, không chỉ bảo vệ chống virus mà còn bao gồm các phần mềm chủ động chống lại các mối đe dọa.

Thông tin tham khảo:

- Căn cứ vào một dấu vết mà những kẻ tấn công để lại trong chuỗi các mã độc hại đã giúp các chuyên gia tìm ra một nhân tố sử dụng tiếng Hàn Quốc.

- Các sản phẩm của Kaspersky Lab phát hiện và vô hiệu hóa các chương trình độc hại và biến thể được sử dụng bởi bộ công cụ Darkhotel.

- Kaspersky Lab hiện đang làm việc với các tổ chức có liên quan để giảm thiểu tối đa hậu quả của Darkhotel để lại.

Để tìm hiểu thêm thông tin, vui lòng xem các bài viết trên securelist.com.

Theo Kaspersky Lab