Phân tích biến thể mới của phần mềm độc hại SysJoker trong các cuộc tấn công mạng nhắm vào Israel

16:00 | 01/12/2023 | HACKER / MALWARE

Các nhà nghiên cứu an ninh mạng của hãng bảo mật Check Point cho biết đã phát một số biến thể mới của phần mềm độc hại SysJoker, trong đó bao gồm một biến thể được mã hóa bằng Rust, được các tin tặc ủng hộ Hamas sử dụng trong các cuộc tấn công mạng nhắm đến Israel, trong bối cảnh leo thang cuộc xung đột vũ trang giữa Israel và Hamas đang diễn ra. Trong bài viết này sẽ tập trung phân tích phiên bản Rust của SysJoker dựa trên báo cáo nghiên cứu mới đây của Check Point.

Phân tích biến thể mới của phần mềm độc hại SysJoker trong các cuộc tấn công mạng nhắm vào Israel

TỔNG QUAN

SysJoker được công ty an ninh mạng Intezer phát hiện lần đầu vào tháng 01/2021, là backdoor đa nền tảng với nhiều biến thể dành cho , Linux và Mac, với khả năng thu thập thông tin hệ thống và thiết lập liên lạc với máy chủ chỉ huy và kiểm soát (C2) của kẻ tấn công, bằng cách truy cập vào tệp văn bản được lưu trữ trên có chứa URL được mã hóa cứng.

Khi điều tra các biến thể mới hơn của SysJoker được sử dụng trong các cuộc tấn công có chủ đích vào năm 2023, Check Point đã phát hiện ra một biến thể được viết bằng Rust, điều này cho thấy mã nguồn của phần mềm độc hại đã được chỉnh sửa lại hoàn toàn, trong khi vẫn duy trì các chức năng tương tự.

Đồng thời, kẻ tấn công cũng đã chuyển sang sử dụng OneDrive thay vì Google Drive để lưu trữ các URL động máy chủ C2. Sau khi thiết lập kết nối với máy chủ, phần mềm độc hại sẽ chờ các payload bổ sung tiếp theo được thực thi trên máy chủ bị xâm nhập.

Bên cạnh đó, các nhà nghiên cứu cũng phát hiện ra những điểm tương đồng về hành vi với một chiến dịch khác có tên là Operation Electric Powder, với mục tiêu nhắm vào Công ty Điện lực từ tháng 4/2016 đến tháng 02/2017.

Hoạt động này được hãng bảo mật McAfee liên kết với một nhóm tin tặc liên kết với được gọi là Molerats (còn gọi là Extreme Jackal, Gaza Cyber Gang và TA402).

VMware cho biết vào năm ngoái: “Việc sử dụng phần mềm độc hại đa nền tảng cho phép kẻ tấn công có thể tận dụng lợi thế của việc lây nhiễm rộng rãi. SysJoker có khả năng thực thi các lệnh từ xa cũng như tải xuống và thực thi phần mềm độc hại mới trên máy nạn nhân”.

BIẾN THỂ RUST SYSJOKER

Biến thể SysJoker được viết bằng Rust sử dụng các khoảng thời gian nghỉ ngẫu nhiên ở các giai đoạn thực thi khác nhau, để trốn tránh khả năng phân tích và phát hiện của các giải pháp bảo mật, ví dụ như sandbox. Biến thể mới này có hai chế độ hoạt động được xác định bởi sự hiện diện của nó trong một đường dẫn cụ thể. Điều này nhằm mục đích phân biệt lần thực hiện đầu tiên với bất kỳ lần thực hiện tiếp theo sau đó.

Đầu tiên, nó kiểm tra xem module đang thực thi hiện tại có khớp với đường dẫn C:\ProgramData\php-7.4.19-Win32-vc15-x64\php-cgi.exe hay không. Dựa trên kết quả, phần mềm độc hại sẽ tiến hành một trong hai giai đoạn có thể xảy ra.

Thực hiện đầu tiên

Nếu module hoạt động từ một vị trí khác, cho biết đây là lần đầu được thực thi, thì phần mềm độc hại sẽ tự sao chép vào đường dẫn C:\ProgramData\php-7.4.19-Win32-vc15-x64\php-cgi.exe rồi tự động thực thi từ đường dẫn mới được tạo bằng PowerShell với tham số sau: -Command C:\ProgramData\php-7.4.19-Win32-vc15-x64\php-cgi.exe. Cuối cùng, nó tạo ra một cơ chế bền vững rồi thoát khỏi chương trình.

Các lần thực thi tiếp theo

SysJoker liên hệ với một URL trên OneDrive để lấy địa chỉ máy chủ C2. URL được mã hóa bên trong tệp sau: https: //onedrive.live[.]com/download?resid=16E2AEE4B7A8BBB1%21112&authkey=!AED7TeCJaC7JNVQ.

Phản hồi cũng phải chứa một khối dữ liệu được mã hóa trong base64. Trong quá trình điều tra, các nhà nghiên cứu đã nhận được phản hồi sau: KnM5Sjpob2glNTY8AmcaYXt8cAh/fHZ+ZnUNcwdld2Mr. Sau khi giải mã điều này, địa chỉ IP và cổng tương ứng cũng đã được phát hiện: {“url”:“//85[.]31[.]231[.]49:443”}.

Việc sử dụng OneDrive cho phép kẻ tấn công dễ dàng thay đổi địa chỉ C2. Hành vi này vẫn nhất quán trên các phiên bản khác nhau của SysJoker. Phần mềm độc hại thu thập thông tin về hệ thống bị nhiễm, bao gồm phiên bản Windows, tên người dùng, địa chỉ MAC và nhiều dữ liệu khác. Thông tin này sau đó được gửi đến API endpoint /api/attach trên máy chủ C2 và để phản hồi, nó nhận được một mã thông báo duy nhất đóng vai trò là mã định danh khi phần mềm độc hại giao tiếp với C2.

Hình 1. Gọi tới API đăng ký bot

Sau khi đăng ký với máy chủ C2, phần mềm độc hại sẽ chạy vòng lặp C2 chính. Nó gửi yêu cầu POST chứa mã thông báo duy nhất đến API endpoint /api/req và C2 phản hồi bằng dữ liệu JSON.

Hình 2. Yêu cầu và phản hồi lệnh C2

Phản hồi dự kiến từ máy chủ là dữ liệu JSON gồm trường “data” chứa một loạt hành động để thực thi. Mỗi mảng bao gồm các thông tin như “id” và “request” các trường. Trường request này là một JSON khác có các trường “url” và “name”.

Hình 3. Một ví dụ về phản hồi từ máy chủ

Phần mềm độc hại tải xuống kho lưu trữ từ URL được chỉ định trong trường “url”. Kho lưu trữ này chứa một tệp thực thi mà sau khi giải nén sẽ được lưu vào thư mục: C:\ProgramData\php-Win32-libs.

Hình 4. Kho lưu trữ được giải nén bằng lệnh PowerShell

Điều quan trọng cần đề cập là trong các hoạt động SysJoker trước đây, phần mềm độc hại không chỉ có khả năng tải xuống và thực thi các tệp từ xa từ kho lưu trữ mà còn có khả năng thực thi các lệnh do kẻ tấn công đưa ra.

Chức năng này bị thiếu trong phiên bản Rust lần này. Sau khi nhận và thực thi lệnh tải tệp, tùy vào thao tác có thành công hay không, phần mềm độc hại sẽ liên lạc lại với máy chủ C2 và gửi thông báo thành công hoặc ngoại lệ tới đường dẫn /api/req/res. Máy chủ gửi lại xác nhận JSON cho biết rằng nó đã nhận được thông tin như sau: {“status”:“success”}.

Mã hóa

Phần mềm độc hại có hai phương pháp giải mã chuỗi. Phương pháp đầu tiên rất đơn giản và xuất hiện trên nhiều biến thể SysJoker, chứa một số khối dữ liệu và khóa được mã hóa base64. Sau đó, cả hai đều giải mã và được XOR để tạo ra các chuỗi văn bản thuần túy.

Phương pháp mã hóa thứ hai được sử dụng nhiều lần trong suốt chương trình tại thời điểm biên dịch. Điều này tạo ra một thuật toán giải mã chuỗi phức tạp trong toàn bộ mẫu.

Hình 5. Ví dụ về giải mã chuỗi “php-”

Ngoài biến thể Rust mới được tìm thấy, các nhà nghiên cứu đã phát hiện thêm hai mẫu SysJoker chưa được công khai trước đây. Cả hai mẫu này phức tạp hơn một chút so với phiên bản Rust hoặc bất kỳ mẫu nào được phân tích trước đó, có thể do việc phát hiện và phân tích công khai phần mềm độc hại. Một trong những mẫu này, trái ngược với các phiên bản khác, có quy trình thực thi nhiều giai đoạn, bao gồm trình tải xuống, trình cài đặt và tệp DLL payload riêng biệt.

Cơ sở hạ tầng

Cơ sở hạ tầng được sử dụng trong chiến dịch này được cấu hình động. Đầu tiên, phần mềm độc hại liên hệ với một địa chỉ OneDrive và từ đó nó giải mã JSON chứa địa chỉ C2 để liên lạc.

Tác nhân đe dọa này thường sử dụng các dịch vụ lưu trữ đám mây. Các báo cáo trước đây cho thấy Google Drive đã được sử dụng cho mục đích tương tự.

Hình 6. Siêu dữ liệu của tệp OneDrive chứa máy chủ C2 được mã hóa

Mối quan hệ với chiến dịch Operation Electric Powder

SysJoker sử dụng mã hóa tùy chỉnh của riêng nó cho ba chuỗi chính: URL OneDrive chứa địa chỉ C2 cuối cùng, địa chỉ C2 nhận được từ yêu cầu tới OneDrive và lệnh PowerShell được sử dụng để duy trì tính bền vững.

Hình 7. Lệnh PowerShell của biến thể Rust SysJoker

Lệnh PowerShell dựa trên lớp StdRegProv WMI này khá độc đáo. Nó được chia sẻ giữa nhiều biến thể của SysJoker và dường như có liên quan đến Operation Electric Powder đã được đề cập trước đó.

Trong chiến dịch Operation Electric Powder nhắm vào Công ty Điện lực Israel, các tin tặc đã sử dụng các trang giả mạo để phát tán phần mềm độc hại cho cả Windows và Android. Phần mềm độc hại trên Windows được sử dụng trong chiến dịch này bao gồm một trình Dropper, backdoor và module keylogger dựa trên Python để ghi lại thao tác bàn phím và chụp màn hình.

Quá trình phân tích hoạt động SysJoker, các nhà nghiên cứu nhận thấy các dấu hiệu cho thấy rằng cùng một tác nhân đe dọa chịu trách nhiệm cho cả hai cuộc tấn công, mặc dù có khoảng cách thời gian lớn giữa các hoạt động. Cả hai chiến dịch đều sử dụng URL API và triển khai các lệnh tập lệnh theo cách tương tự. Ví dụ, hình ảnh dưới đây cho thấy điểm tương đồng giữa các tập lệnh được các phần mềm độc hại khác nhau sử dụng khi thu thập dữ liệu từ thiết bị bị nhiễm sang các tệp văn bản tạm thời.

Hình 8. Sử dụng lệnh “type” trong chiến dịch Operation Electric Powder và các biến thể của SysJoker

KẾT LUẬN

Mặc dù đến nay SysJoker chưa xác định được nhóm tin tặc nào đứng sau nó, nhưng các nhà nghiên cứu đã tìm thấy bằng chứng cho thấy phần mềm độc hại này và các biến thể mới hơn đã được sử dụng trong các cuộc tấn công mạng liên quan đến xung đột Israel - Hamas. Check Point cũng có thể tạo mối liên hệ giữa SysJoker và chiến dịch Electric Powder Operation chống lại Công ty Điện lực Israel.

Các phiên bản trước của SysJoker được mã hóa bằng C++. Vì không có phương pháp đơn giản nào để chuyển mã đó sang Rust, nên điều này cho thấy phần mềm độc hại đã được viết lại hoàn toàn và có thể đóng vai trò là nền tảng cho những thay đổi và cải tiến trong tương lai.

Hồng Đạt

(Tổng hợp)

‹ › ×

Tin liên quan

Phân tích cuộc tấn công chuỗi cung ứng để cài đặt backdoor nhắm vào các hệ thống Linux

13:00 | 20/09/2023

Trong vài năm qua, các máy chủ Linux đã ngày càng trở thành mục tiêu nổi bật của các tác nhân đe dọa. Mới đây, Kaspersky đã tiết lộ một chiến dịch độc hại trong đó một trình cài đặt phần mềm có tên “Free Download Manager” được các tin tặc sử dụng để cài đặt backdoor trên các máy chủ Linux kéo dài trong suốt 3 năm qua. Các nhà nghiên cứu phát hiện ra rằng nạn nhân đã bị lây nhiễm khi họ tải xuống phần mềm từ trang web chính thức, cho thấy đây có thể là một cuộc tấn công chuỗi cung ứng. Các biến thể của phần mềm độc hại được sử dụng trong chiến dịch này lần đầu tiên được xác định vào năm 2013.

Phân tích phần mềm độc hại RisePro: Khám phá giao tiếp C2 trong phiên bản mới

13:00 | 14/12/2023

RisePro là một phần mềm độc hại đánh cắp thông tin dưới dạng dịch vụ, được xác định lần đầu tiên vào năm 2022. Gần đây, các nhà nghiên cứu của Anyrun nhận thấy hoạt động của phần mềm độc hại này tăng đột biến, đồng thời thay đổi cách giao tiếp với máy chủ điều khiển và kiểm soát (C2), cũng như trang bị những khả năng mới, đặc biệt là các tính năng điều khiển từ xa khiến nó có khả năng hoạt động như một RAT (Remote Access Trojan).

90% công ty năng lượng trên thế giới đã gặp phải sự cố vi phạm của bên thứ ba

09:00 | 12/12/2023

Việc cung cấp năng lượng cho nền kinh tế toàn cầu và các hoạt động hàng ngày khiến ngành năng lượng trở thành mục tiêu lớn của tin tặc. Theo nghiên cứu mới đây từ công ty bảo mật SecurityScorecard của Mỹ, 90% các công ty năng lượng trên thế giới đã gặp phải sự cố vi phạm của bên thứ ba trong 12 tháng qua.

Tin tặc Iran triển khai chiến dịch tấn công phần mềm độc hại vào lĩnh vực công nghệ của Israel

21:00 | 16/11/2023

Các nhà nghiên cứu bảo mật của công ty an ninh mạng CrowdStrike cho biết đã phát hiện một chiến dịch tấn công mạng mới được thực hiện bởi nhóm tin tặc Imperial Kitten, với các mục tiêu nhắm vào các công ty trong lĩnh vực vận tải, hậu cần và công nghệ của Israel.

Khám phá các kỹ thuật chống phân tích mới của phần mềm độc hại GuLoader

09:00 | 25/12/2023

Các nhà nghiên cứu tại công ty an ninh mạng Elastic Security Labs (Singapore) cho biết đã phát hiện các kỹ thuật mới được sử dụng bởi phần mềm độc hại GuLoader để khiến việc phân tích trở nên khó khăn hơn. Một trong những thay đổi này là việc bổ sung các ngoại lệ vào tính năng VEH (Vectored Exception Handler) trong một chiến dịch tấn công mạng mới đây.

Nhóm tin tặc ủng hộ Hamas nhắm mục tiêu vào Israel bằng phần mềm độc hại Wiper mới

14:00 | 08/11/2023

Một nhóm tin tặc hacktivist ủng hộ phong trào Hamas đã bị phát hiện đang sử dụng phần mềm độc hại Wiper mới dựa trên hệ điều hành Linux với mục tiêu nhắm vào các công ty của Israel, trong bối cảnh cuộc chiến quân sự giữa Israel và Hamas đang diễn ra.

Giải mã vụ tấn công mạng nhà máy điện của Israel

09:00 | 27/10/2023

Xung đột quân sự đang diễn ra giữa Israel và Hamas cũng đã mở rộng sang lĩnh vực kỹ thuật số. Ngày nay, không gian mạng đóng một vai trò quan trọng và ảnh hưởng của nó có thể tác động trực tiếp đến cục diện trên chiến trường, khi xuất hiện nhiều hơn các nhóm tin tặc tham gia vào các cuộc tấn công mạng với mục tiêu nhắm vào các hệ thống thông tin liên lạc, quân sự, phương tiện truyền thông và cơ sở hạ tầng quan trọng của đối phương. Các nhóm này có thể là các chủ thể độc lập theo chủ nghĩa hacktivist hoạt động với động cơ chính trị rõ ràng hoặc được chính phủ các nước hậu thuẫn và bảo trợ phía sau.

Gia tăng các mối đe dọa mạng trong bối cảnh xung đột quân sự Israel - Hamas

15:00 | 13/10/2023

Khi bối cảnh xung đột quân sự giữa Israel và Hamas xảy ra, thế giới đã chứng kiến sự gia tăng các cuộc tấn công mạng có tổ chức nhắm vào cả hai bên và nhận thấy được tầm ảnh hưởng của không gian mạng đến toàn cục diện trên chiến trường, vốn đã được minh chứng trong cuộc xung đột giữa Nga - Ukraine.

Tin cùng chuyên mục

Lỗ hổng LogoFAIL có thể ảnh hưởng đến phần lớn các máy tính

16:00 | 18/12/2023

Các nhà nghiên cứu từ công ty bảo mật chuỗi cung ứng Binarly cho biết lỗ hổng firmware có tên gọi là LogoFAIL có thể ảnh hưởng đến 95% máy tính, cho phép tin tặc vượt qua cơ chế bảo vệ Secure Boot và thực thi phần mềm độc hại trong quá trình khởi động. Các lỗ hổng xuất phát từ trình phân tích cú pháp hình ảnh được sử dụng trong firmware hệ thống UEFI để tải hình ảnh logo trên màn hình khởi động.

Hãng viễn thông lớn nhất Ukraine bị tấn công mạng

15:00 | 18/12/2023

Ngày 12/12, Kyivstar - nhà mạng lớn nhất Ukraine hứng chịu một cuộc tấn công mạng lớn, khiến hàng triệu người dùng mất kết nối di động và Internet. Đáng chú ý sự cố gây ảnh hưởng đến hệ thống cảnh báo không kích của nước này.

Phân tích BunnyLoader - Phần mềm độc hại dưới dạng dịch vụ mới nhất

13:00 | 09/10/2023

Vừa qua, các nhà nghiên cứu của nhóm bảo mật ThreatLabz tại công ty an ninh mạng Zscaler đã phát hiện ra mối đe dọa phần mềm độc hại dưới dạng dịch vụ (MaaS) mới có tên là “BunnyLoader”, đang được rao bán trên các diễn đàn tội phạm có thể đánh cắp và thay thế nội dung bộ nhớ đệm hệ thống.

Tin tặc tấn công Tập đoàn kỹ thuật số hàng đầu Trung Quốc

14:00 | 04/10/2023

Ngày 12/9, tập đoàn công nghệ kỹ thuật số hàng đầu Cyberport (Hong Kong) cho biết, dữ liệu nhạy cảm trong đó có thông tin của nhân viên và hồ sơ thẻ tín dụng của công ty đã bị rò rỉ trên mạng.