Cloud9 thực chất là một trojan truy cập từ xa (RAT) trên trình duyệt Chromium, bao gồm cả Google Chrome và Microsoft Edge, cho phép tin tặc thực hiện các lệnh tùy ý từ xa. Tiện ích mở rộng này không có sẵn trên cửa hàng Chrome trực tuyến chính thức mà được phân phối thông qua các kênh thay thế, chẳng hạn như các trang web phát hành bản cập nhật Adobe Flash Player giả mạo.
Tiện ích mở rộng độc hại được phân phối qua Adobe Flash Player giả mạo
Cloud9 có khả năng tạo backdoor trên các trình duyệt Chromium để thực hiện một danh sách mở rộng các chức năng và khả năng độc hại. Nó bao gồm 3 tệp JavaScript để thu thập thông tin hệ thống, khai thác tiền điện tử bằng cách sử dụng tài nguyên của máy chủ, thực hiện các cuộc tấn công DDoS và chèn các tập lệnh chạy khai thác trình duyệt.
Zimperium nhận thấy tiện ích này khai thác các lỗ hổng CVE-2019-11708 và CVE-2019-9810 trong Firefox, CVE-2014-6332 và CVE-2016-0189 trên Internet Explorer và CVE-2016-7200 đối với Edge. Những lỗ hổng này được sử dụng để tự động cài đặt và thực thi phần mềm độc hại của Windows trên máy chủ, cho phép tin tặc tiến hành các cuộc xâm nhập hệ thống.
Tuy nhiên, ngay cả khi không có thành phần độc hại này, tiện ích mở rộng Cloud9 có thể đánh cắp cookie từ trình duyệt bị xâm nhập, từ đó các tin tặc có thể sử dụng để chiếm đoạt các phiên hợp lệ và tài khoản của người dùng.
Mã nguồn đánh cắp cookie của trình duyệt
Ngoài ra, phần mềm độc hại còn có tính năng keylogger để ghi lại và theo dõi các thao tác người dùng thực hiện trên bàn phím nhằm đánh cắp mật khẩu và các thông tin nhạy cảm khác.
Một môđun “clipper” cũng có trong tiện ích mở rộng Cloud9, nó liên tục giám sát bộ nhớ đệm tạm thời của hệ thống để tìm mật khẩu hoặc thẻ tín dụng được sao chép.
Mã nguồn mô-đun clipper của Cloud9
Cloud9 cũng có thể chèn quảng cáo bằng cách tải các trang web một cách âm thầm để tạo ra số lần hiển thị quảng cáo. Từ đó, tiện ích này mang lại doanh thu cho các nhà phát triển của nó. Cuối cùng, phần mềm độc hại có thể lợi dụng máy chủ để thực hiện các cuộc tấn công DDoS ở lớp 7 thông qua các yêu cầu HTTP POST đến mục tiêu.
“Các cuộc tấn công ở lớp 7 thường rất khó phát hiện vì kết nối TCP trông rất giống với các yêu cầu hợp lệ. Các tin tặc có khả năng sử dụng mạng botnet này để cung cấp dịch vụ thực hiện tấn công DDoS”, Zimperium nhận xét.
Các tin tặc đứng sau Cloud9 được cho là có liên hệ với nhóm phần mềm độc hại Keksec, vì các miền C2 được sử dụng trong chiến dịch gần đây đã được phát hiện trong các cuộc tấn công trước đó của Keksec Keksec được xác định là nhóm phát triển nhiều mạng lưới botnet, bao gồm: EnemyBot, Tsunamy, Gafgyt, DarkHTTP, DarkIRC và Necro. Bên cạnh đó, việc quảng bá công khai Cloud9 trên các diễn đàn tội phạm mạng khiến Zimperium tin rằng Keksec có khả năng bán hoặc cho các nhà khai thác khác thuê nó.
Hồng Đạt
10:00 | 19/09/2022
11:00 | 19/04/2023
22:00 | 15/08/2022
14:00 | 22/06/2023
09:00 | 25/12/2023
16:00 | 19/12/2023
21:00 | 12/12/2022
10:00 | 03/10/2022
13:00 | 02/12/2022
12:00 | 15/10/2024
Một làn sóng hành động thực thi pháp luật quốc tế mới với sự tham gia của 12 quốc gia đã bắt giữ 4 thành viên và phá hủy 9 máy chủ có liên quan đến hoạt động tống tiền LockBit (hay còn gọi là Bitwise Spider), đánh dấu đợt tấn công mới nhất nhằm vào băng nhóm tội phạm mạng từng có động cơ tài chính mạnh mẽ.
12:00 | 03/10/2024
Mới đây, các chuyên gia bảo mật tại Kaspersky phát hiện ra 2 phần mềm có chứa mã độc Necro trên cửa hàng ứng dụng Play Store của Google. Đáng chú ý, 2 phần mềm độc hại này đã có tới hơn 11 triệu lượt tải xuống trước khi được các chuyên gia phát hiện.
14:00 | 02/10/2024
Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đưa ra cảnh báo về một lỗ hổng bảo mật nghiêm trọng trong Ivanti Virtual Traffic Manager (vTM) đang bị khai thác tích cực bởi các hacker.
10:00 | 23/07/2024
Ngày 19/7, dịch vụ đám mây Azure, Microsoft 365 và Teams của Microsoft gặp trục trặc khiến hàng nghìn chuyến bay trên toàn cầu bị hoãn, hủy và gây gián đoạn hoạt động tại nhiều sân bay. Nguyên nhân vấn đề được cho là xuất phát từ lỗi trong hệ thống của Công ty an ninh mạng toàn cầu CrowdStrike (Mỹ) - đối tác của Microsoft. Đây được coi là sự cố lớn nhất trong lịch sử với mức độ ảnh hưởng sâu rộng từ giao thông vận tải, ngân hàng đến an ninh, y tế...
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Một lỗ hổng bảo mật hiện đã được vá trong ứng dụng ChatGPT của OpenAI dành cho macOS có thể cho phép kẻ tấn công cài phần mềm gián điệp vào bộ nhớ của công cụ trí tuệ nhân tạo (AI).
11:00 | 24/10/2024
