PortDoor: Một Backdoor mới của Trung Quốc nhắm vào Nga
Nguồn bài viết: PortDoor: Một Backdoor mới của Trung Quốc nhắm vào Nga
Nhóm nghiên cứu bảo mật Cybereason Nocturnus Team đã dày công theo dõi công cụ RoyalRoad (công cụ giúp phát tán mã độc thông qua lỗ hổng tệp Windows RTF).
RoyalRoad còn được gọi là 8.t Trình tạo khai thác Dropper / RTF.
Nói một cách đơn giản, dễ hiểu, RoyalRoad giúp ẩn mã độc trong các tập tin RTF (giống như các tập tin văn bản mở trên Windows).
Khi người dùng mở tệp có định dạng .rtf Trong trường hợp này, mã độc sẽ tự động cài vào phần khởi động của ứng dụng Word, do đó, mỗi khi bạn mở tệp Word, mã độc sẽ được khởi chạy.
RoyalRoad được các hacker Trung Quốc tin dùng trong nhiều năm, tiêu biểu là Tick, Tonto Team, TA428, Goblin Panda, Rancor với chiến lược gửi email lừa đảo có chứa mã độc đến các tổ chức quốc gia.
Trong bài viết này, tôi sẽ nói về một nhóm tin tặc Trung Quốc (nhiều khả năng là do chính phủ tài trợ) tấn công lừa đảo người đứng đầu cấp cao của Cục thiết kế Rubin (một nhà thầu quốc phòng Nga từng là nhà thầu quốc phòng của Nga). thiết kế tàu ngầm hạt nhân cho Hải quân Nga / Hải quân Liên bang Nga).
Mã độc hại chính được sử dụng bởi nhóm này là PortDoor !
Bài này do CTV của chúng tôi gửi từ cuối năm ngoái (năm 2021) nhưng lỡ tay làm lỡ nên giờ mới đăng 
#Đầu tiên. RoyalRoad
Đây là một công cụ tạo ra “vectơ tấn công ban đầu” bằng cách khai thác các lỗ hổng trong Equation Editor từ Microsoft: CVE-2017-11882, CVE-2018-0798, CVE-2018-0802.
Điển hình là sau khi mở tệp RTF “độc” (do công cụ RoyalRoad này tạo ra), tệp có tên “8.t” sẽ xâm nhập vào máy tính của nạn nhân.
Tiếp theo, tệp này sẽ được giải mã thành tệp thực thi và được lưu trong các thư mục nhạy cảm của Windows.
Trong trường hợp này, tệp “eo” (không phải “8.t”) được giải mã và lưu vào %APPDATA%MicrosoftWordSTARTUPwinlog.wllvì vậy mỗi khi bạn mở Office Word, bạn sẽ thực thi (khởi chạy) mã độc PortDoor.
# 2. Quá trình tấn công của PortDoor
Theo trường hợp được Cybereason Nocturnus Team khai thác, email lừa đảo được mạo danh được gửi từ công ty “Gidropribor” ở St.Petersburg (trung tâm nghiên cứu quốc gia, chuyên thiết kế tàu ngầm và vũ khí dưới nước).
Trong tệp RTF có chứa một thiết kế đơn giản của một thiết bị tự hành dưới nước:
Nhóm tin tặc này cũng sử dụng kỹ thuật Timestomping để thay đổi thời gian tệp RTF được tạo ra vào năm 2007 nhằm đánh lạc hướng cuộc điều tra.
Và để qua mặt cơ chế bảo mật của Windows, mã độc đã được đưa PortDoor vào thư mục khởi động của Microsoft Word thay vì chạy ngay khi mở tệp RTF.
# 3. PortDoor nguy hiểm như thế nào?
Cửa hậu này được trang bị rất nhiều chức năng:
– Thu thập thông tin tình báo, lập hồ sơ chi tiết của máy nạn nhân.
– Nhận lệnh cũng như tải thêm các công cụ hỗ trợ từ máy chủ điều khiển C2 server.
– Nó có thể tương tác với máy chủ C2 thông qua ổ cắm thô và HTTP (cổng 443, hỗ trợ xác thực proxy).
– Có được quyền quản trị để nó thực hiện các tác vụ nâng cao (leo thang đặc quyền, thao tác quy trình). Cụ thể, PortDoor sử dụng kỹ thuật Access Token Theft để đánh cắp mã thông báo từ explorer.exe
Đây là đoạn mã thực hiện chức năng trên:
– Vượt qua “sự né tránh phát hiện tĩnh” của các chương trình bảo mật nhờ cơ chế “Giải quyết API động”.
– Mã hóa dữ liệu nhạy cảm và các tệp cấu hình bằng thuật toán “Mã hóa XOR một byte”.
– Riêng thông tin thu thập được sẽ được mã hóa bằng AES sau đó gửi về máy chủ C2.
#4. Phần kết
Chiến tranh mạng đang dần thay thế chiến tranh thương mại hay chiến tranh đạn dược, và Trung Quốc đang dần khẳng định tiềm năng của mình trên không gian mạng khi có nhiều bằng chứng chỉ ra vô số tổ chức hacker nguy hiểm được cả nước công nhận. Sự bảo trợ này.
Đúng vậy, chiến tranh là điều không thể tránh khỏi, đừng nghĩ rằng hacker không quan tâm đến bạn, vì còn rất nhiều lý do khác ngoài mục đích tình báo mà hacker có thể nhắm vào bạn như:
Biến máy tính của bạn thành máy chủ zombie C2, biến máy tính của bạn thành một phần của mạng botnet … góp phần vào các cuộc tấn công DoS, DDoS trong mạng botnet của hacker, cài Ransomware để đòi tiền chuộc, v.v.
Trong câu chuyện bảo mật, yếu tố con người là quan trọng nhất, tất cả các vụ hack chấn động đều bắt nguồn từ “véc tơ” ban đầu của con người:
Có khi bị “lừa” cắm USB có mã độc, có khi bị “tra khảo” lấy mật khẩu hệ thống bảo mật, và trong bài viết này là bị lừa mở email chứa mã độc.
Vì vậy, hãy luôn lưu ý vấn đề bảo mật trong mọi trường hợp, trên Internet cũng như ngoài đời, đừng quá phụ thuộc vào các giải pháp bảo mật như Internet Security / Anti-virus hay Firewall của hãng, hãy lưu ý bảo mật nhé!
CTV: Dương Minh Thắng – Blogchiasekienthuc.com
Bài gốc: Tại đây!
Chỉnh sửa của Kiên Nguyễn
Ghi chú: Bài viết này có hữu ích cho bạn không? Đừng quên đánh giá bài viết, thích và chia sẻ nó với bạn bè và gia đình của bạn!
Bản quyền thuộc: tinthuthuat.com
from tinthuthuat.com https://ift.tt/Ww1U2Jt
via tinthuthuat.com
Nhận xét
Đăng nhận xét