Phát hiện biến thể Lite mới của malware Grandoreiro đang nhắm vào 30 ngân hàng

Tại Hội nghị thượng đỉnh phân tích bảo mật (SAS) 2024, Nhóm nghiên cứu và phân tích toàn cầu của Kaspersky (GReAT) tiết lộ một phát hiện đáng chú ý: một phiên bản Lite của phần mềm độc hại Grandoreiro đang nhắm mục tiêu vào khoảng 30 ngân hàng tại Mexico.

Mặc dù những kẻ chủ mưu đứng sau việc phát tán Grandoreiro đã bị bắt giữ từ đầu năm nay, các nhóm tội phạm mạng khác vẫn tiếp tục lợi dụng loại malware này để thực hiện các cuộc tấn công. Grandoreiro hiện là một trong những mối đe dọa hàng đầu trong lĩnh vực bảo mật ngân hàng, chiếm tới 5% tổng số cuộc tấn công ngân hàng sử dụng trojan trên toàn cầu trong năm nay. Mexico đang là một trong những quốc gia bị ảnh hưởng nặng nề nhất, với hơn 51.000 vụ tấn công liên quan đến các biến thể Grandoreiro, bao gồm cả phiên bản Lite nêu trên. 

Sau khi hỗ trợ một chiến dịch phối hợp cùng INTERPOL, giúp chính quyền Brazil bắt giữ những kẻ điều hành đứng sau vụ tấn công ngân hàng sử dụng trojan Grandoreiro, Kaspersky phát hiện nhóm tội phạm đã phân tách mã nguồn này thành các phiên bản trojan gọn nhẹ. Thông qua phân tích, gần đây Kaspersky đã phát hiện trojan phiên bản lite, cụ thể nhắm vào khoảng 30 ngân hàng tại Mexico. Điều này cho thấy, những kẻ tạo ra malware Grandoreiro vẫn có khả năng tiếp cận được mã nguồn của phần mềm này, và đang sử dụng một phiên bản đơn giản hóa của malware để triển khai các chiến dịch tấn công mới.

Ông Fabio Assolini, Trưởng nhóm nghiên cứu và phân tích toàn cầu (GReAT) khu vực Mỹ Latinh của Kaspersky giải thích thêm: “Khi nhìn vào tất cả các phần mềm độc hại được phát triển gần đây, không khó để nhận ra mối đe dọa đang ngày càng trở nên phức tạp. Các phiên bản gọn nhẹ có thể báo hiệu một xu hướng tấn công lan rộng bên ngoài khu vực Mỹ Latinh. Tuy nhiên, chúng tôi cho rằng chỉ một số đối tác tin cậy của nhóm tội phạm mới có quyền truy cập vào mã nguồn để phát triển các phiên bản lite mới. Grandoreiro hoạt động khác với mô hình ‘Malware-as-a-Service’ truyền thống mà chúng ta thường thấy. Chúng ta không tìm thấy thông báo bán gói malware Grandoreiro trên các diễn đàn hoạt động ngầm. Thay vào đó, việc truy cập vào mã nguồn có vẻ như bị giới hạn“.

Các biến thể khác nhau của Grandoreiro, bao gồm malware ban đầu và phiên bản gọn nhẹ, chiếm khoảng 5% các vụ tấn công ngân hàng toàn cầu bằng cách sử dụng trojan được Kaspersky phát hiện trong năm 2024. Điều này cho thấy: các biến thể của Grandoreiro đã trở thành một trong những mối đe dọa mạnh mẽ nhất trên toàn thế giới. Từ năm 2024, Kaspersky cũng phân tích các biến thể mới của malware Grandoreiro và phát hiện tội phạm đang áp dụng nhiều chiến thuật tấn công mới. Chẳng hạn, phần mềm độc hại sẽ ghi lại hoạt động của chuột máy tính để mô phỏng mô hình hành vi của người dùng thực, nhằm qua mặt các hệ thống bảo mật dựa trên máy học phân tích hành vi. Bằng cách mô phỏng các chuyển động tự nhiên giống như người dùng thật đang lướt chuột máy tính, malware có thể “đánh lừa” để qua mặt các công cụ chống lừa đảo và các hành vi bất thường trong hệ thống.  

Thêm vào đó, Grandoreiro còn được áp dụng Ciphertext Stealing (CTS), một kỹ thuật mã hóa mà Kaspersky chưa từng bắt gặp trong các malware trước đây. Việc áp dụng kỹ thuật này nhằm mục đích mã hóa các chuỗi malware. Fabio Assolini giải thích thêm: “Với cấu trúc lớn và phức tạp, Grandoreiro sẽ dễ dàng bị các công cụ bảo mật hoặc nhà phân tích phát hiện nếu các chuỗi malware không được mã hóa. Có lẽ đây là lý do vì sao tội phạm áp dụng kỹ thuật mới này, nhằm gây khó khăn cho việc phát hiện và phân tích các cuộc tấn công”.

Theo dữ liệu từ Kaspersky, phần mềm độc hại Grandoreiro đã hoạt động từ năm 2016. Đến năm 2024, mối đe dọa này đã nhắm vào hơn 1.500 tổ chức tài chính và 276 ví tiền điện tử trên 45 quốc gia và vùng lãnh thổ. Gần đây nhất, châu Á và châu Phi đã bị thêm vào danh sách mục tiêu,  thực sự biến Grandoreiro thành mối đe dọa tài chính toàn cầu.