Trong năm 2021, hơn 35 ngàn máy tính bị nhiễm mã độc PseudoManuscrypt

www.tuoitre.vn -   03/01/2022 12:00:00 843

Một khi được cài đặt, PseudoManuscrypt đi kèm với một loạt khả năng xâm nhập, cho phép kẻ tấn công chiếm quyền kiểm soát hoàn toàn hệ thống bị nhiễm. Điều này bao gồm vô hiệu hóa antivirus, đánh cắp dữ liệu kết nối VPN, cài đặt keylog, ghi âm, chụp ảnh và quay video màn hình cũng như can thiệp vào các dữ liệu được lưu trữ ở bộ nhớ tạm.

Trong năm 2021, hơn 35 ngàn máy tính bị nhiễm mã độc PseudoManuscrypt

Các tổ chức của chính phủ và các ngành công nghiệp, bao gồm cả các tập đoàn ở trong khu liên hợp công nghiệp-quân sự và các phòng thí nghiệm đang là mục tiêu của một loại mã độc botnet mới (PseudoManyscrypt) đã lây nhiễm khoảng 35,000 máy tính chạy hệ điều hành Windows chỉ tính riêng trong năm nay.

Các chuyên gia của Kaspersky cho biết biệt danh này tới từ những điểm tương đồng của nó với mã độc Manuscrypt, vốn là một phần trong bộ công cụ tấn công của nhóm Lazarus APT, các chuyên gia mô tả chiến dịch này là “một chiến dịch tấn công mạng quy mô lớn”. Công ty an ninh mạng của Nga cho biết họ đã phát hiện các vụ xâm nhập lần đầu tiên vào tháng 6/2021.

Có ít nhất 7,2% các máy tính bị tấn công bởi mã độc này là một phần của các hệ thống điều khiển công nghiệp (ICS), được sử dụng bởi các tập đoàn trong nhiều lĩnh vực khác nhau như kỹ thuật, chế tạo tự động, năng lượng, gia công, xây dựng, tiện ích và quản lý nguồn nước chủ yếu tại các nước như Ấn Độ, Việt Nam và Nga. Khoảng 1/3 (29,4%) các máy tính không thuộc hệ thống ICS nằm ở nga (10,1%), Ấn Độ (10%) và Brazil (9,3%).

Đội ICS CERT của Karpersky cho biết: “Bộ cài đặt của PseudoManuscrypt xâm nhập vào hệ thống của người dùng thông qua nền tảng MaaS phát tán mã độc trong bộ cài đặt các phần mềm lậu. Một trường hợp đặc biệt cụ thể thì PseudoManuscrypt được cài đặt thông qua mạng botnet Glupteba”.

Trong năm 2021, hơn 35 ngàn máy tính bị nhiễm mã độc PseudoManuscrypt

Trùng hợp là các hoạt động của Glupteba cũng đã phải chịu ảnh hưởng khá lớn sau khi Google ra thông báo vào đầu tháng này rằng họ đang hành động để đánh sập cơ sở hạ tầng của mạng lưới botnet này, cùng với đó sẽ theo đuổi vụ kiện 2 công dân người Nga được cho là điều khiển hệ thống mã độc này cùng với 15 người chưa biết tên khác.

Trong số các bộ cài đặt phần mềm lậu được sử dụng để phát tán botnet gồm có Windows 10, Microsoft Office, Adobe Acrobat, Garmin, Call of Duty, SolarWinds Engineer’s Toolset và thậm chí là cả phần mềm antivirus của chính Kaspersky. Việc cài đặt các phần mềm lậu được thúc đẩy sử dụng một phương pháp gọi là đầu độc tìm kiếm (search poisoning), trong đó những kẻ tấn công tạo ra các trang web độc hại và sử dụng chiến thuật tối ưu hóa công cụ tìm kiếm (SEO) để khiến chúng nổi bật lên trong kết quả tìm kiếm.

Một khi được cài đặt, PseudoManuscrypt đi kèm với một loạt khả năng xâm nhập, cho phép kẻ tấn công chiếm quyền kiểm soát hoàn toàn hệ thống bị nhiễm. Điều này bao gồm vô hiệu hóa antivirus, đánh cắp dữ liệu kết nối VPN, cài đặt keylog, ghi âm, chụp ảnh và quay video màn hình cũng như can thiệp vào các dữ liệu được lưu trữ ở bộ nhớ tạm.

Trong năm 2021, hơn 35 ngàn máy tính bị nhiễm mã độc PseudoManuscrypt

Kaspersky cho biết rằng họ đã phát hiện hơn 100 phiên bản khác nhau của PseudoManuscrypt, với các phiên bản thử nghiệm đầu tiên xuất hiện từ 27/3/2021. Các thành phần của trojan này đã được mượn từ những malware khác như Fabookie và một thư viện KCP protocol để gửi dữ liệu về máy chủ chỉ huy và điều khiển (C2) của kẻ tấn công được sử dụng bởi nhóm hacker Trung Quốc APT41.

Các mẫu malware được phân tích bởi ICS CERT cho thấy có các bình luận được viết bằng tiếng Trung Quốc và cũng xác định được rằng tiếng Trung Quốc là ngôn ngữ được chỉ định để sử dụng khi kết nối với máy chủ C2. Tuy nhiên chỉ những bằng chứng này là không đủ để đưa ra kết luận về những kẻ vận hành malware này hoặc nguồn gốc của nó. Một điểm chưa rõ khác đó là mục tiêu cuối cùng của chiến dịch này, điều này làm dấy lên câu hỏi các cuộc tấn công mang động cơ tài chính hay được hỗ trợ bởi các quốc gia.

Các chuyên gia cho biết: “Số lượng lớn máy tính kỹ thuật bị tấn công, bao gồm các hệ thống được sử dụng cho 3D và dựng mô hình vật lý, sự phát triển và sử dụng bản sao kỹ thuật số ảo (digital twins) làm dấy lên lo ngại về vấn đề gián điệp trong ngành công nghiệp như một mục tiêu khả thi của chiến dịch này”.

Theo Thehackernews

TIN CÙNG CHUYÊN MỤC

Hội nghị đại lý “Let’s go Next: cybersec...

09/05/2024 10:00:00 149
Chiều ngày 7/5, Kaspersky đã có buổi hội nghị đại lý “Let’s go Next: cybersecurity redefined” tại So...

Họp báo ra mắt dòng sản phẩm chủ lực mới...

09/05/2024 09:00:00 69
Ngày 7/5, Kaspersky tự hào ra mắt giải pháp XDR tiên tiến Kaspersky Next, đồng thời chuyển đổi toàn ...

Google đã ngăn chặn 2,28 triệu ứng dụng ...

29/04/2024 08:00:00 219
Google hôm thứ Hai tiết lộ rằng gần 200.000 ứng dụng gửi tới Play Store dành cho Android đã bị từ ch...

Nhiều ứng dụng AI bị Apple gỡ khỏi App S...

29/04/2024 12:00:00 214
Apple đang tiến hành xử lý một danh mục ứng dụng tạo hình ảnh AI “quảng cáo khả năng tạo ra hình ảnh...

Để kiếm tiền từ Generative AI, các hãng ...

26/04/2024 12:00:00 274
Chi phí đằng sau Generative AI thực sự khá cao, vì nó đòi hỏi nhiều sức mạnh xử lý để đào tạo và vận...

Lỗ hổng bảo mật lớn phơi bày thao tác gõ...

25/04/2024 08:00:00 140
Các lỗ hổng bảo mật được phát hiện trong các ứng dụng bàn phím bính âm dựa trên đám mây có thể bị kh...
Xem thêm

TAGS

LIÊN HỆ

Thông tin liên hệ