Tổng quan về Imperial Kitten
Imperial Kitten còn được gọi là Tortoiseshell, TA456, Crimson Sandstorm và Yellow Liderc, đây là nhóm tin tặc có liên quan đến Lực lượng Vệ binh Cách mạng Hồi giáo (IRGC) và đã hoạt động ít nhất từ năm 2017.
Các nhà nghiên cứu cho biết, Imperial Kitten có khả năng thực hiện các nhiệm vụ tình báo chiến lược của Chính phủ Iran liên quan đến các hoạt động của IRGC. Trong quá khứ, nhóm tin tặc này đã thực hiện các cuộc tấn công mạng nhằm vào các tổ chức trong nhiều lĩnh vực khác nhau, bao gồm , công nghệ, viễn thông, hàng hải, năng lượng, tư vấn và các dịch vụ chuyên nghiệp. Các cuộc tấn công gần đây được phát hiện bởi các nhà nghiên cứu tại công ty an ninh mạng CrowdStrike. Họ đã đưa ra nhận định dựa trên sự trùng lặp về cơ sở hạ tầng với các chiến dịch trước đây, các chiến thuật, kỹ thuật và quy trình (TTP) được quan sát, việc sử dụng phần mềm độc hại IMAPLoader.
Cuộc tấn công của Imperial Kitten
Các tin tặc đã cố gắng xâm phạm nạn nhân dựa trên lợi ích chung của họ bằng cách đánh lừa các nạn nhân đến một trang web do tin tặc kiểm soát. Cho đến nay, các tên miền của Imperial Kitten đã đóng vai trò là vị trí chuyển hướng từ các trang web bị xâm nhập (chủ yếu của ).
Các nhà nghiên cứu xác định được phần mềm độc hại đang theo dõi có tên IMAPLoader, được nhóm Imperial Kitten sử dụng làm payload cuối cùng cho các hoạt động tấn công. IMAPLoader được phân phối dưới dạng thư viện liên kết động (DLL) và được tải thông qua việc chèn AppDomainManager. Nó sử dụng email để ra lệnh và kiểm soát và được cấu hình thông qua các địa chỉ được nhúng trong phần mềm độc hại. Ngoài ra, IMAPLoader cũng sử dụng tệp đính kèm trong email để nhận nhiệm vụ và gửi phản hồi.
Một dòng phần mềm độc hại khác được Imperial Kitten triển khai trong chiến dịch mới này có tên là StandardKeyboard. Điều này có nhiều đặc điểm IMAPLoader, với mục đích chính là thực thi các lệnh được mã hóa Base64 nhận được trong nội dung email. Cụ thể, trong một báo cáo được công bố đầu tuần này, các nhà nghiên cứu nói rằng Imperial Kitten đã phát động các cuộc tấn công lừa đảo vào tháng 10/2023, bằng cách sử dụng chủ đề liên quan đến tuyển dụng việc làm trong các email có tệp đính kèm Microsoft Excel độc hại.
Khi mở tài liệu, mã macro độc hại bên trong sẽ trích xuất hai tệp batch thông qua sửa đổi registry và chạy payload để truy cập Reverse shell. Sau đó, tin tặc di chuyển ngang trên mạng bằng cách sử dụng các công cụ như PAExec để thực thi các quy trình từ xa và NetScan để trinh sát mạng. Ngoài ra, chúng còn sử dụng ProcDump để lấy thông tin xác thực từ bộ nhớ hệ thống.
Việc giao tiếp với máy chủ C2 được thực hiện thông qua phần mềm độc hại tùy chỉnh IMAPLoader và StandardKeyboard, cả hai đều dựa vào email để trao đổi thông tin. Các nhà nghiên cứu cho biết StandardKeyboard vẫn tồn tại trên máy bị xâm nhập dưới dạng Keyboard Service Windows và thực thi các lệnh được mã hóa base64 nhận được từ máy chủ C2. CrowdStrike cho biết rằng các cuộc tấn công mạng này xảy ra vào tháng 10/2023 và nhắm vào các tổ chức của Israel trong bối cảnh Israel - Hamas đang diễn biến hết sức phức tạp.
Các chiến dịch trước đây
Trong hoạt động trước đó, Imperial Kitten đã thực hiện các cuộc tấn công Watering Hole bằng cách xâm phạm một số trang web của Israel bằng mã JavaScript và nhằm thu thập thông tin về khách truy cập, chẳng hạn như dữ liệu trình duyệt và địa chỉ IP, lập hồ sơ các mục tiêu tiềm năng.
Trong các trường hợp khác, Crowdstrike đã chứng kiến tin tặc xâm nhập hệ thống mạng trực tiếp, tận dụng mã khai thác công khai, sử dụng thông tin xác thực VPN bị đánh cắp, thực hiện chèn lệnh SQL hoặc thông qua email được gửi đến tổ chức mục tiêu.
Hồng Đạt
(Tổng hợp)
10:00 | 25/10/2024
10:00 | 07/11/2023
10:00 | 25/10/2024
16:00 | 01/12/2023
09:00 | 09/01/2024
14:00 | 08/11/2023
15:00 | 21/05/2024
09:00 | 27/10/2023
10:00 | 30/10/2024
Vụ việc hàng nghìn máy nhắn tin và các thiết bị liên lạc khác phát nổ ở Liban hồi tháng 9 đã gióng lên hồi chuông cảnh báo về phương thức tấn công chuỗi cung ứng mới vô cùng nguy hiểm, đánh dấu sự leo thang mới trong việc sử dụng chuỗi cung ứng chống lại các đối thủ. Điều này đã đặt ra yêu cầu cấp bách cho các nhà lãnh đạo toàn cầu về việc giảm phụ thuộc vào công nghệ từ các đối thủ.
13:00 | 30/09/2024
Cơ quan Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) đã thêm 5 lỗ hổng vào danh mục Các lỗ hổng đã biết bị khai thác (KEV), trong đó có lỗ hổng thực thi mã từ xa (RCE) ảnh hưởng đến Apache HugeGraph-Server.
08:00 | 26/09/2024
Theo dữ liệu mới từ Kaspersky, tình hình an ninh mạng Việt Nam đã có những dấu hiệu tích cực trong quý II/2024 so với cùng kỳ năm trước. Tuy nhiên, trước sự gia tăng và phức tạp của các loại hình tấn công mạng, việc duy trì cảnh giác cao độ và đầu tư vào các giải pháp bảo mật vẫn là nhiệm vụ cần được ưu tiên hàng đầu.
07:00 | 23/09/2024
Theo hãng bảo mật Doctor Web (Nga), tin tặc đã sử dụng mã độc Android.Vo1d để cài đặt backdoor trên các TV box, cho phép chúng chiếm quyền kiểm soát thiết bị hoàn toàn, sau đó tải và thực thi các ứng dụng độc hại khác. Được biết, các TV box này chạy hệ điều hành Android đã lỗi thời.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Một lỗ hổng bảo mật hiện đã được vá trong ứng dụng ChatGPT của OpenAI dành cho macOS có thể cho phép kẻ tấn công cài phần mềm gián điệp vào bộ nhớ của công cụ trí tuệ nhân tạo (AI).
11:00 | 24/10/2024
