Cảnh báo: Cuộc tấn công phun rải mật khẩu của mạng botnet Quad7 từ Trung Quốc

Microsoft đã đưa ra cảnh báo về việc nhiều nhóm tin tặc từ Trung Quốc đang lợi dụng một mạng botnet có tên gọi Quad7 để thực hiện các cuộc tấn công phun rải mật khẩu.

Quad7 là mạng botnet được đặt tên theo số cổng định tuyến TCP. Với khoảng 8.000 thiết bị bị xâm nhập, botnet này chủ yếu bắt nguồn các router TP-Link được sử dụng trong các văn phòng nhỏ và gia đình. Phun rải mật khẩu là kỹ thuật chỉ sử dụng một mật khẩu phổ biến để dò đoán cho tất cả tài khoản tồn tại trong hệ thống.

Theo Microsoft, botnet Quad7 còn được biết đến với tên gọi xlogin, đã xuất hiện từ năm 2023. Công ty theo dõi botnet này dưới tên CovertNetwork-1658 và cho biết một nhóm tin tặc có tên Storm-0940 từ Trung Quốc đang đóng vai trò chủ chốt trong các cuộc tấn công phun rải mật khẩu mà họ phát hiện.

Microsoft nhấn mạnh rằng việc chuyển giao nhanh chóng các thông tin xác thực bị xâm phạm cho thấy có thể có mối liên hệ chặt chẽ giữa các nhà điều hành CovertNetwork-1658 và Storm-0940. Công ty cũng cho biết các nhà điều hành Quad7 gần như chắc chắn đang hoạt động từ Trung Quốc.

Chiến dịch phun rải mật khẩu này vẫn đang diễn ra. Microsoft cảnh báo rằng những kẻ điều hành botnet có khả năng sẽ xây dựng cơ sở hạ tầng mới với các dấu vân tay đã được sửa đổi. Sự chú ý ngày càng tăng từ các nhà nghiên cứu bảo mật đối với botnet Quad7 đã khiến các nhà điều hành của nó thực hiện các biện pháp để che giấu hoạt động của mình. Công ty an ninh mạng Sekoia đã chỉ ra rằng các nhà điều hành botnet này hiện đang xâm nhập vào các thiết bị như VPN Zyxel, router không dây Ruckus và các thiết bị lưu trữ gắn mạng Axentra.

Microsoft cho biết các nhà điều hành botnet rất cẩn thận trong việc thực hiện các cuộc tấn công khi chỉ gửi một số lượng rất nhỏ các nỗ lực đăng nhập vào nhiều tài khoản tại một tổ chức mục tiêu. Trong khoảng 80% các trường hợp, CovertNetwork-1658 chỉ thực hiện một lần đăng nhập cho mỗi tài khoản mỗi ngày.

Hoạt động của Quad7 có thể khó theo dõi do tuổi thọ trung bình của một bot chỉ khoảng 90 ngày. Việc sử dụng các router SOHO làm bot cũng khiến cho việc theo dõi trở nên khó khăn vì không có địa chỉ IP trung tâm nào để giám sát.

Storm-0940 đã hoạt động từ năm 2021 và sử dụng thông tin đăng nhập bị xâm phạm cho nhiều hoạt động khác nhau, bao gồm di chuyển trong mạng nội bộ, tải lên các công cụ proxy, trojan truy cập từ xa, cũng như đánh cắp dữ liệu.

Microsoft khuyến cáo người dùng nên vô hiệu hóa xác thực cũ và chuyển sang hình thức xác minh không cần mật khẩu, đồng thời khuyên nên vô hiệu hóa các tài khoản không sử dụng để bảo vệ an toàn thông tin.

Theo BankInfoSecurity