Nhà nghiên cứu Tom Fakterman thuộc nhóm tư vấn tình báo về mối đe dọa và bảo mật của Palo Alto Networks (Unit 42) cho biết: "Kẻ đe dọa này đã sử dụng tính năng reverse shell nhúng trong Code để xâm nhập vào mạng mục tiêu". Chiến dịch này được đánh giá là sự tiếp nối của hoạt động tấn công được ghi nhận trước đó nhằm vào một tổ chức chính phủ Đông Nam Á giấu tên vào cuối tháng 9/2023.
hay còn được gọi bằng tên BASIN, Bronze President, Camaro Dragon, Earth Preta, HoneyMyte, RedDelta và Red Lich. Nhóm đã hoạt động từ năm 2012, thường xuyên tiến hành các chiến dịch gián điệp mạng nhắm vào các tổ chức chính phủ và tôn giáo trên khắp châu Âu và châu Á, đặc biệt là những tổ chức ở các quốc gia có lãnh thổ trên Biển Đông.
Chuỗi tấn công mới nhất được quan sát cho thấy tin tặc đang lạm dụng shell ngược của Visual Studio Code để thực thi mã tùy ý và phân phối các.
Fakterman lưu ý: "Để lạm dụng Visual Studio Code cho mục đích xấu, kẻ tấn công có thể sử dụng phiên bản di động của code.exe (tệp thực thi cho Visual Studio Code) hoặc phiên bản phần mềm đã cài đặt. Bằng cách chạy lệnh code.exe tunnel, kẻ tấn công nhận được liên kết yêu cầu đăng nhập vào GitHub bằng tài khoản của riêng hắn. Khi bước này hoàn tất, kẻ tấn công sẽ được chuyển hướng đến môi trường web Visual Studio Code được kết nối với máy bị nhiễm, cho phép chạy lệnh hoặc tạo tệp mới”.
Cơ chế tấn công được tin tặc Mustang Panda sử dụng
Điều đáng chú ý là việc sử dụng kỹ thuật này với mục đích xấu trước đây đã được công ty an ninh mạng Hà Lan Mnemonic nhắc đến liên quan đến việc khai thác zero-day trong các sản phẩm cổng của Check Point (CVE-2024-24919, điểm CVSS: 8,6) vào đầu năm nay.
Unit 42 cho biết tin tặc Mustang Panda đã tận dụng cơ chế này để phân phối phần mềm độc hại, thực hiện trinh sát và nhạy cảm. Hơn nữa, kẻ tấn công được cho là đã sử dụng OpenSSH để thực thi lệnh, chuyển tệp và phát tán trên mạng.
Không chỉ vậy, một phân tích sâu hơn đã tiết lộ một nhóm hoạt động thứ hai xảy ra đồng thời và đôi khi trên cùng một điểm cuối sử dụng phần mềm độc hại ShadowPad, một cửa hậu mô-đun được nhiều nhóm gián điệp Trung Quốc chia sẻ rộng rãi.
Hiện tại vẫn chưa rõ liệu hai nhóm xâm nhập này có liên quan đến nhau hay không.
Fakterman cho biết: "Dựa trên bằng chứng pháp y và mốc thời gian, ta có thể kết luận rằng hai cụm này bắt nguồn từ cùng một tác nhân đe dọa (Stately Taurus). Tuy nhiên, có thể có những lời giải thích khác để thể giải thích cho mối liên hệ này, chẳng hạn như nỗ lực hợp tác giữa hai của Trung Quốc".
Trường An
(Theo thehackernews)
09:00 | 06/03/2024
14:00 | 05/09/2024
10:00 | 04/10/2024
10:00 | 18/07/2024
13:00 | 13/09/2024
Cisco đã phát hành bản cập nhật bảo mật để giải quyết hai lỗ hổng nghiêm trọng ảnh hưởng đến tiện ích cấp phép thông minh (Smart Licensing Utility), có thể cho phép kẻ tấn công từ xa chưa được xác thực leo thang đặc quyền hoặc truy cập thông tin nhạy cảm.
07:00 | 10/09/2024
Trong bối cảnh chuyển đổi số và hội nhập quốc tế ngày càng sâu rộng, Việt Nam đang trở thành mục tiêu hấp dẫn cho các cuộc tấn công chuỗi cung ứng tinh vi. Các doanh nghiệp Việt từ các tổ chức nhỏ đến các tập đoàn lớn đều phải đối mặt với nguy cơ bị tấn công qua những lỗ hổng bảo mật trong hệ thống của đối tác hay nhà cung cấp.
11:00 | 03/09/2024
Theo báo cáo mới nhất được Viettel công bố ngày 26/8 vừa qua, cho thấy tình hình an ninh mạng đáng báo động với sự xuất hiện của 17.000 lỗ hổng mới chỉ trong 6 tháng đầu năm, đặt ra thách thức lớn cho các doanh nghiệp Việt.
09:00 | 02/08/2024
Chỉ vài ngày sau khi một lỗi trong phần mềm CrowdStrike khiến 8,5 triệu máy tính Windows bị sập, người dùng hệ điều hành này lại đang phải đối mặt với một vấn đề mới sau khi cài đặt bản cập nhật bảo mật tháng 7.
Một chuỗi các lỗ hổng bảo mật mới đã được phát hiện trong hệ thống in CUPS (Common Unix Printing System) Linux, có thể cho phép các tin tặc thực hiện chèn lệnh từ xa trong một số điều kiện nhất định.
09:00 | 11/10/2024