Moriya: Một loại Rootkit ‘tàng hình’ tân tiến và rất nguy hiểm
Nguồn bài viết: Moriya: Một loại Rootkit ‘tàng hình’ tân tiến và rất nguy hiểm
Trong suốt 4 năm theo dõi, từ năm 2018 đến nay, các chuyên gia bảo mật của Kaspersky vẫn chưa biết ai / tổ chức nào đứng sau Rootkit Moriya, thưa các bạn.
Kaspersky suy đoán rằng Moriya là một phần của chiến dịch tấn công APT (Mối đe dọa liên tục nâng cao) tiên tiến có tên TunnelSnake do tin tặc Trung Quốc vận hành.
TunnelSnake được cho là đã phát triển rất nhiều về khả năng tàng hình hay nói cách khác là tàng hình, đi kèm với các công cụ phụ trợ tiên tiến và nó được đầu tư rất tốt trong việc xâm nhập vào các tổ chức. lớn, đa quốc gia / đa khu vực của Châu Á và Châu Phi để phá hoại và đánh cắp dữ liệu.
#Đầu tiên. Rootkit Moriya thách thức hệ điều hành Windows Microsoft
Thật đáng buồn là với những nỗ lực không ngừng của Microsoft trong việc cải thiện hiệu suất và bảo mật của hệ điều hành Windows bằng cách liên tục cập nhật các tính năng mới và mạnh mẽ, nó vẫn bị rootkit này vượt mặt:
- Thực thi chữ ký của người lái xe Để ngăn chặn việc thực thi mã độc hại trong không gian hạt nhân, các trình điều khiển đã sửa đổi / chưa được ký sẽ bị chặn.
- Kernel Patch Protection (PatchGuard) để ngăn các tệp / chương trình hệ thống bị sửa đổi. Nếu mã độc cố gắng sửa đổi hệ thống, lỗi Blue Screen of Death huyền thoại trên Windows sẽ xuất hiện ngay lập tức.
- Tích hợp sâu chương trình bảo mật Windows Security vào hệ thống (từ Firewall đến khả năng diệt virus).
Bạn nên nhớ rằng, Moriya là một rootkit, vì vậy một khi nó xâm nhập vào hệ thống, hầu hết mọi cơ chế bảo mật của hệ điều hành đều bị nó thao túng.
Về cơ bản, vì rootkit hoạt động trong không gian Kernel (vùng nhớ chứa mã đáng tin cậy của hạt nhân hệ thống), nên mọi lệnh mà nó thực thi đều có quyền tuyệt đối đối với hệ điều hành. Giống như quyền Quản trị viên, quyền cao nhất.
Nó có thể cài đặt các trình điều khiển độc hại vào hệ điều hành để vừa đảm bảo mã thực thi được dễ dàng triển khai (sau này) vừa có quyền hệ thống tuyệt đối.
Với khả năng thay đổi các hoạt động I / O (tệp tin, lưu lượng mạng) ở mức cao nhất và sớm nhất, giúp tạo ra bộ giáp tàng hình cho Moriya.
# 2. Moriya Rootkit Stealth Armor
Phần mềm độc hại nói chung dễ bị phát hiện bằng cách liên tục liên hệ với các máy chủ C&C để nhận lệnh thực thi, khi các máy chủ C&C này bị các hãng bảo mật đưa vào danh sách đen, phần mềm độc hại rất dễ bị phát hiện.
Nhưng rootkit Moriya thì khác, nó tạo ra một cửa hậu Passive trong vùng chờ, nhưng có một điều là máy chủ trong mạng của chính nạn nhân lại là máy chủ C&C của mạng!
Ngoài ra, nó còn có cơ chế ẩn khiến các chương trình bảo mật phải “khóc thét”, Moriya sẽ lọc các gói lưu lượng mạng (trước một bước trước bất kỳ chương trình bảo mật nào, vì nó là rootkit) để xem gói đó. chứa “lệnh thực thi” từ máy chủ C&C hoặc các máy chủ xác sống trung gian.
Khi nó bắt được các gói này, nó sẽ ngay lập tức lưu “lệnh” đó vào tệp / luồng TCP của chính nó để đọc sau, rồi xóa “lệnh” khỏi gói đó.
Như vậy, lưu lượng / gói tin mạng khi đến tay các chương trình bảo mật sẽ chỉ là những gói tin bình thường, kết hợp với việc đặt tên / mạo danh các công cụ / quy trình không khác gì các thành phần của Windows, khiến Moriya có thể ẩn mình như “tắc kè hoa”.
# 3. Tóm lược
– Rootkit Moriya được phát triển bởi các hacker Trung Quốc (không chắc chắn 100%) để tạo các cửa hậu thụ động trên máy chủ công cộng của các tổ chức lớn (Kaspersky mới chỉ phát hiện ra nạn nhân ở Châu Á và Châu Phi).
Sau đó, các máy chủ Public này (thường là máy chủ web IIS) sẽ được sử dụng để phát tán rootkit Windows này sâu hơn vào tổ chức thông qua các công cụ quét mạng, khai thác lỗ hổng, … và các máy chủ này sẽ đảm nhận việc đó. luôn đóng vai trò là máy chủ C&C trung gian.
– Rootkit này được phát hiện lần đầu tiên vào năm 2018, hoạt động vào tháng 10 năm 2019 cho đến tháng 5 năm 2020, mỗi đợt tấn công thường kéo dài vài tháng và sau đó rootkit tự xóa dấu vết của nó.
Nam Á là khu vực hoạt động mạnh nhất với một biến thể với nhiều chức năng nguy hiểm (được sử dụng bởi nhóm hacker khét tiếng Trung Quốc APT1).
– Bộ rootkit này có thể vô hiệu hóa các chương trình bảo mật (anti-virus) một cách dễ dàng, vì vậy đừng nghĩ rằng bạn đã bỏ tiền ra mua các phần mềm diệt virus nổi tiếng như Kaspersky hay ESET.
Nếu bạn có đủ khả năng chi trả cho bảo mật, hãy mua Internet Security (cao cấp hơn chống vi-rút) – xem lý do tại sao. Và hãy luôn nhớ cập nhật phần mềm cũng như cập nhật hệ điều hành Windows lên phiên bản mới nhất một cách thường xuyên nhé!
CTV: Dương Minh Thắng – Blogchiasekienthuc.com
Ghi chú: Bài viết này có hữu ích cho bạn không? Đừng quên đánh giá bài viết, thích và chia sẻ nó với bạn bè và gia đình của bạn!
Bản quyền thuộc: tinthuthuat.com
from tinthuthuat.com https://ift.tt/FleMu5c
via tinthuthuat.com
Nhận xét
Đăng nhận xét