Nhóm hacker Winnti mở rộng nền tảng tấn công

Nghiên cứu của Kaspersky Lab vừa cho hay, tổ chức tội phạm Winnti đang mở rộng tấn công vào các quốc gia Hàn Quốc, Anh và Nga.

Các chuyên gia tại Kaspersky Lab theo dõi hoạt động của nhóm hacker Winnti nhận thấy mối đe dọa đang hoạt động dựa trên rootkit installer 2006. Mối đe dọa được Kaspersky Lab gọi là “HDRoot”, thay cho cái tên “HDD Rootkit” ban đầu, là nền tảng phổ biến xuất hiện dai dẳng trên hệ thống mục tiêu có thể được dùng như bệ đỡ cho bất kì công cụ nào. 

“HDRoot” bị phát hiện khi mẫu của phần mềm độc hại này thu hút sự chú ý của Nhóm phân tích và nghiên cứu toàn cầu Kaspersky Lab (GReAT) bởi 2 nguyên nhân. Thứ nhất, Trojan được bảo vệ bằng VMProtect Win64, có thể khởi chạy trên máy tính với chứng chỉ thỏa hiệp thuộc công ty công nghệ YuanLuo, Quảng Châu, Trung Quốc – chứng chỉ Winnti lạm dụng để đánh dấu các công cụ khác. Thứ hai, đặc tính và câu lệnh đầu ra bị nhái lại để làm cho nó trông như Net Command net.exe của Microsoft, rõ ràng là dùng để giảm khả năng bị quản trị viên hệ thống liệt chương trình vào danh sách thù địch.

Phân tích sâu hơn cho thấy, HDRoot rootkit là nền tảng phổ biến xuất hiện dai dẳng trên hệ thống mục tiêu, nó có thể được dùng để khởi chạy những công cụ khác. Các nhà nghiên cứu GReAT tìm thấy 2 loại backdoor được khởi chạy với sự trợ giúp từ công cụ này và có thể còn nhiều hơn. Một trong những loại backdoor này có thể vượt mặt sản phẩm lâu đời chống virus ở Hàn Quốc, như AhnLab’s V3 Lite, AhnLab’s V3 365 Clinic và ESTsoft’s ALYac. Chính vì vậy Winnti đã dùng nó để khởi chạy phần mềm độc hại trên máy mục tiêu ở Hàn Quốc.

Theo dữ liệu an ninh mạng của Kaspersky, Hàn Quốc là khu vực chính ở Đông Nam Á mà Winnti nhắm tới, cùng với các mục tiêu khác trong khu vực bao gồm các tổ chức tại Nhật Bản, Trung Quốc, Bangladesh và Ấn Độ. Kaspersky Lab cũng phát hiện sự lây nhiễm từ HDRoot trong một công ty ở Anh và một công ty ở Nga, cả 2 công ty này trước đây đều đã từng bị Winnti nhắm vào.

Dmitry Tarakanov, Nhân viên cấp cao trong nhóm Nhà nghiên cứu bảo mật, GReAT, Kaspersky Lab cho biết: “Mục đích quan trọng nhất của bất kì APT nào là để không bị phát hiện, để lẩn trốn trong bóng tối. Đó là vì sao chúng tôi hiếm khi thấy bầt kì sự mã hóa mã phức tạp nào bởi vì chúng sẽ gây sự chú ý. Nhóm hacker Winnti chấp nhận rủi ro vì chúng có thể biết dấu hiệu nào nên che đậy và dấu hiệu nào có thể bị bỏ sót vì các tổ chức không phải lúc nào cũng áp dụng chính sách bảo mật tốt nhất. Quản trị viên hệ thống phải luôn nhớ rất nhiều thứ, và nếu nhóm nhỏ thì cơ hội để hoạt động của tội phạm mạng tồn tại thậm chí sẽ cao hơn”.

Sự phát triển của HDD Rootkit có thể là việc của kẻ nào đó đang thực hiện để tham gia nhóm Winnti khi nhóm này được thành lập. Kaspersky Lab tin rằng Winnti được lập ra từ năm 2009, do vậy chưa từng tồn tại vào năm 2006, nhưng có khả năng là Winnti sử dụng phần mềm từ bên thứ ba. Có thể phần mềm và mã nguồn đã có sẵn trên chợ đen Trung Quốc hoặc những tội phạm mạng khác. Từ khi Kaspersky Lab bắt đầu rà soát, nhóm đứng sau các cuộc tấn công bắt đầu thích nghi được khi chưa đầy 1 tháng sau, một bản bổ sung đã được tìm thấy. 

Ô Lâu