Nhóm Shadow Brokers công bố một loạt các công cụ hack tiên tiến của NSA

08:00 | 10/02/2017 | HACKER / MALWARE

Shadow Brokers, nhóm tin tặc bí ẩn thu hút sự chú ý của thế giới khi công bố hàng trăm công cụ hack của Cơ quan An ninh Quốc gia Hoa Kỳ NSA vào hồi tháng 8/2016, vừa công bố thêm một loạt các công cụ hack tiên tiến khác của NSA, đồng thời đề nghị cung cấp toàn bộ các công cụ hack của NSA mà họ có trong tay để đổi lấy khoảng 10 ngàn bitcoin (khoảng 8,2 triệu USD).

Nhóm Shadow Brokers công bố một loạt các công cụ hack tiên tiến của NSA

Danh sách công bố lần này bao gồm 61 tệp nhị phân trên Windows, trong đó có các tệp thi hành, các thư viện liên kết động và các trình điều khiển thiết bị. Theo một phân tích, 43 tệp trong số đó đã bị các sản phẩm diệt virus của Kaspersky Lab phát hiện, trong công bố chi tiết của công ty này năm 2015 về Equation Group - nhóm tin tặc có liên quan tới NSA, nhưng chỉ một tệp đã được tải lên dịch vụ quét mã độc củaVirus Total.

Virus Total cho biết, mẫu được tải chỉ được phát hiện bởi 32 trong số 58 sản phẩm diệt virus, dù nó đã được tải lên từ năm 2009. Sau khi các mẫu mới được tải lên Virus Total, chỉ có thêm một tệp được 12 trong số 58 sản phẩm diệt virus nhận diện.

Các chuyên gia mã độc vẫn đang phân tích, nhưng những kết quả ban đầu cho thấy, cũng giống như những tệp mà Shadow Brokers công bố lần trước, những công cụ này thuộc về Tailored Access Operations – nhóm hack tinh nhuệ của NSA.

Nhiều ngày trước tuyên bố ngừng hoạt động, các thành viên của nhóm Shadow Brokers đã đưa ra ảnh chụp màn hình của những công cụ tấn công hệ điều hành Windows mà họ cho là do NSA phát triển. Các hình ảnh đó và tên tệp cho thấy các công cụ hack có thể bao gồm một cổng hậu dựa trên những lỗ hổng chưa được vá của giao thức Server Message Block. Các công cụ khác có thể cung cấp các tính năng:

- Vượt qua các chương trình diệt virus của hơn một chục nhà cung cấp khác nhau, trong đó có Kaspersky, Symantec, McAfee và Trend Micro.

- Xoá bỏ các mục trong event log thường được dùng để điều tra các vụ xâm nhập máy tính và mạng.

- Tấn công email client trên Windows có tên là WorldTouch.

- Chiếm quyền quản trị hay thu thập mật khẩu của các máy tính chạy Windows.

Với những nhà nghiên cứu muốn tìm hiểu về các thành viên trong nhóm Shadow Brokers, những hình ảnh chứa trong tệp dump cho thấy các tệp nằm trong ổ đĩa D – nhiều khả năng là một ổ đĩa USB, căn cứ vào biểu tượng đi kèm. Thư mục được đặt tên là DSZOPSDISK, một chuỗi khớp với tên thư mục của lần công bố trước.

Nhà nghiên cứu độc lập Matt Tait, người đưa tin trên Twitter với tài khoản Pwn All The Things, cho biết: các chứng cứ cho thấy thông tin bị lộ qua một người bên trong tổ chức đã đánh cắp và sau đó bị mất thiết bị nhớ USB, chứ không phải là một vụ tấn công trực tiếp vào NSA. Cũng theo Tait, chiếc máy tính mà thiết bị nhớ USB cắm vào có vẻ chạy Kaspersky AV và các công cụ VMware, không nối mạng và không có card âm thanh, được cấu hình ngày, tháng dạng dd/mm/yyyy. Các tệp này được ký bằng cùng khoá mã hoá dùng để ký các tệp trong lần công bố trước của Shadow Broker.

Đây có lẽ là hoạt động cuối cùng của nhóm Shadow Broker, bởi sau các công bố này, nhóm Shadow Broker cũng tuyên bố sẽ ngừng hoạt động.

‹ › ×

Tin cùng chuyên mục

Ứng dụng chứa mã độc Mandrake tồn tại trên kho ứng dụng Play Store

13:00 | 21/08/2024

Mặc dù đã có những biện pháp kiểm duyệt từ Google, tuy nhiên kho ứng dụng Play Store dành cho nền tảng Android vẫn thường xuyên ghi nhận xuất hiện các phần mềm có chứa mã độc.

Xuất hiện nhóm APT mới có tên CloudSorcerer nhắm mục tiêu vào chính phủ Nga

16:00 | 26/07/2024

Nhóm APT có tên là CloudSorcerer đã được phát hiện đang nhắm mục tiêu vào chính phủ Nga bằng cách tận dụng các dịch vụ đám mây để giám sát và kiểm soát (command-and-control, C2) và lọc dữ liệu.

Lỗ hổng RCE nghiêm trọng được phát hiện trong Công cụ cơ sở hạ tầng AI của Ollama

14:00 | 02/07/2024

Các nhà nghiên cứu an ninh mạng đã đưa ra chi tiết về một lỗ hổng bảo mật hiện đã được vá ảnh hưởng đến nền tảng cơ sở hạ tầng trí tuệ nhân tạo (AI) nguồn mở Ollama có thể bị khai thác để thực thi mã từ xa (RCE).

Lỗ hổng zero-day QNAP QTS trong tính năng Chia sẻ bị khai thác RCE công khai

16:00 | 20/06/2024

Một cuộc kiểm tra bảo mật mở rộng đối với QNAP QTS - hệ điều hành dành cho các sản phẩm NAS đã phát hiện 15 lỗ hổng với các mức độ nghiêm trọng khác nhau, trong đó có 11 lỗ hổng vẫn chưa được vá.