Darkhotel tăng cường tấn công nhờ rò rỉ từ Hacking Team

Sau khi những tập tin của Hacking Team – công ty bán “phần mềm gián điệp hợp pháp” cho nhiều chính phủ và cơ quan thi hành pháp luật – bị rò rỉ thì nhiều nhóm gián điệp mạng bắt đầu sử dụng công cụ mà công ty này cung cấp cho khách hàng để thực hiện tấn công, bao gồm nhiều cuộc khai thác nhắm vào Adobe Flash Player và hệ điều hành Windows.

Năm 2014, các chuyên gia Kaspersky Lab đã phát hiện Darkhotel – nhóm gián điệp nổi tiếng với hành động thâm nhập vào mạng Wi-Fi ở những khách sạn cao cấp nhằm gây tổn hại cho nhiều giám đốc điều hành đã sử dụng một lỗ hổng zero-day của Hacking Team từ đầu tháng 7, ngay sau khi nhiều tập tin từ Hacking Team bị rò rỉ vào ngày 5/7. Chưa từng là khách hàng của Hacking Team nhưng có vẻ Darkhotel đã có được những tập tin này ngay khi chúng bị công khai.
 
Kaspersky Lab ước tính trong nhiều năm qua, nhóm này đầu tư một số tiền đáng kể để bổ sung vào kho vũ khí của mình khi nó không chỉ đi qua một lỗ hổng zero-day mà là rất nhiều, nhắm vào Adobe Flash Player. Năm 2015, Darkhotel mở rộng phạm vi địa lí ra khắp thế giới trong khi vẫn tiếp tục lừa đảo bằng email ở Triều Tiên, Hàn Quốc, Nga, Nhật Bản, Bangladesh, Thái Lan, Ấn Độ, Mozambique và Đức.
 
Kaspersky Lab nhận ra công nghệ mới và hoạt động của Darkhotel đã hoạt động được gần 8 năm. Trong những lần tấn công vào năm 2014 và trước đó, nhóm này đã lạm dụng chứng chỉ số bị đánh cắp và sử dụng phương thức khác thường để đặt công cụ gián điệp vào hệ thống mục tiêu như tấn công Wi-Fi khách sạn. Năm 2015, nhiều công nghệ và hoạt động trong số đó được giữ lại nhưng Kaspersky Lab cũng phát hiện ra nhiều biến thể của tập tin độc hại có thể chạy được trên máy tính, việc tiếp tục sử dụng chứng chỉ đánh cắp được, liên tục lặp lại kĩ thuật thu thập thông tin cá nhân một cách bất hợp pháp và triển khai lỗ hổng zero-day từ Hacking Team:
 
· Tiếp tục sử dụng giấy chứng nhận bị đánh cắp: Có vẻ là Darkhotel lưu giữ một kho các chứng chỉ đánh cắp được và triển khai phần mềm download và bí mật viết kí hiệu lên chúng để lừa hệ thống mục tiêu. Một số chứng nhận bị thu hồi gần đây bao gồm các chứng nhận của Xuchang Hongguang Technology Co. Ltd, công ty có chứng chỉ được dùng trong những lần tấn công trước.

· Không ngừng lừa đảo bằng email: APT Darkhotel rất kiên nhẫn khi cố gắng lừa đảo mục tiêu bằng email, nếu không thành công, nó sẽ quay trở lại sau vài tháng và tiếp tục với kế hoạch tương tự.

· Thực hiện khai thác lỗ hổng zero-day từ Hacking Team: Tisone360.com – website bị tấn công chứa rất nhiều bí mật. Thú vị nhất trong số đó là lỗ hổng zero-day của Hacking Team Flash.

Kurt Baumgartner, Trưởng ban Nghiên cứu Bảo mật tại Kaspersky Lab nhận định – “Darkhotel đã trở lại với việc khai thác Adobe Flash Player dựa trên website bị tấn công và lần này có vẻ nhờ vào sự rò rỉ từ Hacking Team. Nhóm này đã từng khai thác một Flash khác trên cùng website mà Kaspersky đã thông báo cho Adobe vào 1/2014. Trong nhiều năm qua, Darkhotel đã tấn công rất nhiều Flash zero-day và half-day và có thể sẽ còn tiếp tục tấn công chính xác hơn vào những nhân vật cấp cao trên toàn thế giới. Từ những lần tấn công trước, chúng tôi thấy rằng Darkhotel đã do thám nhiều giám đốc điều hành, phó chủ tịch, giám đốc bán hàng và marketing, và nhân viên nghiên cứu và phát triển cấp cao”.

Từ năm ngoái, nhóm này đã làm việc cật lực để nâng cao kĩ thuật phòng thủ, như mở rộng danh sách công nghệ chống bị phát hiện của mình. Phiên bản downloader 2015 của Darkhotel được thiết kế để xác định công nghệ chống virus từ 27 nhà cung cấp với mục đích là phớt lờ chúng. 

Lưu Xuân