Công bố cách thức xáo trộn và lây nhiễm của phần mềm gián điệp FinSpy

Các nhà nghiên cứu tại Kaspersky đã công bố cuộc điều tra toàn diện về tất cả các bản cập nhật gần đây được đưa vào phần mềm gián điện FinSpy dành cho Windows, Mac OS, Linux, và các trình cài đặt của chúng.

Mất 8 tháng để hoàn thành, nghiên cứu đã phát hiện các biện pháp chống phân tích bốn lớp và chống phân tích nâng cao được các nhà phát triển phần mềm gián điệp sử dụng, cũng như việc sử dụng bootkit UEFI để lây nhiễm. Các phát hiện cho thấy việc chú trọng vào khả năng né tránh phòng thủ, khiến FinFisher trở thành một trong những phần mềm gián điệp khó phát hiện nhất cho đến nay.

FinFisher, còn được gọi là FinSpy hoặc Wingbird, là một công cụ giám sát mà Kaspersky đã theo dõi từ năm 2011. Nó có khả năng thu thập các thông tin đăng nhập khác nhau, danh sách tệp và tệp đã xóa, cũng như nhiều tài liệu khác, phát trực tiếp hoặc ghi dữ liệu và giành quyền truy cập vào webcam và micro. Các bộ phận cấy ghép Windows của nó đã được phát hiện và nghiên cứu nhiều lần cho đến năm 2018 khi FinFisher dường như bị đưa ra ánh sáng. 

Sau đó, các giải pháp của Kaspersky đã phát hiện những trình cài đặt đáng ngờ từ các ứng dụng hợp pháp như TeamViewer, VLC Media Player và WinRAR, chứa mã độc mà không thể liên kết với bất kỳ phần mềm độc hại nào đã biết. Cho đến một ngày, một trang web bằng tiếng Myanmar có chứa các trình cài đặt bị nhiễm và các mẫu FinFisher dành cho Android được tìm thấy, giúp xác định chúng đã bị Trojan hóa bằng cùng một phần mềm gián điệp. Khám phá này đã thúc đẩy các nhà nghiên cứu của Kaspersky điều tra FinFisher sâu hơn.

Không giống như các phiên bản trước của phần mềm gián điệp, chứa Trojan ngay trong ứng dụng bị nhiễm, các phiên bản mới được bảo vệ bởi hai thành phần: Trình xác thực trước không liên tục và Trình xác thực sau. Thành phần đầu tiên chạy nhiều lần kiểm tra bảo mật để đảm bảo rằng thiết bị mà nó đang lây nhiễm không thuộc về một nhà nghiên cứu bảo mật nào. Chỉ khi vượt qua quá trình kiểm tra, thành phần Trình xác thực sau mới được máy chủ cung cấp – thành phần này đảm bảo rằng nạn nhân bị lây nhiễm chính là nạn nhân dự kiến. Chỉ khi đó, máy chủ mới triển khai nền tảng Trojan chính thức.

FinFisher bị xáo trộn nhiều với bốn trình làm mờ phức tạp có thể tùy chỉnh. Chức năng chính của sự xáo trộn này là làm chậm quá trình phân tích phần mềm gián điệp. Trên hết, Trojan cũng sử dụng những cách đặc biệt để thu thập thông tin. Ví dụ, nó sử dụng chế độ của nhà phát triển trong trình duyệt để chặn lưu lượng truy cập được bảo vệ bằng giao thức HTTPS.

Các nhà nghiên cứu cũng phát hiện ra một mẫu FinFisher thay thế chương trình khởi động Windows UEFI – một thành phần khởi chạy hệ điều hành sau khi khởi chạy firmware cùng với một phần mềm độc hại. Cách lây nhiễm này cho phép những kẻ tấn công cài đặt bộ khởi động mà không cần phải vượt qua kiểm tra bảo mật firmware. Các trường hợp lây nhiễm UEFI rất hiếm và thường khó thực hiện, chúng nổi bật do khả năng lẩn trốn và tính dai dẳng. Mặc dù trong trường hợp này, những kẻ tấn công không tự lây nhiễm phần firmware UEFI, nhưng ở giai đoạn khởi động tiếp theo của nó, cuộc tấn công đặc biệt lén lút vì mô-đun độc hại được cài đặt trên một phân vùng riêng biệt và có thể kiểm soát quá trình khởi động của máy bị nhiễm.

Igor Kuznetsov, nhà nghiên cứu bảo mật chính tại Nhóm Phân tích và Nghiên cứu Toàn cầu của Kaspersky (GReAT) cho biết: “Những kỹ thuật khiến FinFisher không thể truy cập được đối với các nhà nghiên cứu bảo mật là điều đặc biệt đáng lo ngại và có phần ấn tượng. Có vẻ như các nhà phát triển đã đặt nhiều công sức vào các biện pháp ngăn chặn và chống phân tích như trong Trojan. Do đó, khả năng trốn tránh bất kỳ sự phát hiện và phân tích nào của nó khiến phần mềm gián điệp này đặc biệt khó theo dõi và phát hiện. Thực tế là phần mềm gián điệp này được triển khai với độ chính xác cao và thực tế không thể phân tích được cũng có nghĩa là nạn nhân của nó đặc biệt dễ bị tổn thương và các nhà nghiên cứu phải đối mặt với một thách thức đặc biệt – phải đầu tư một lượng lớn tài nguyên để gỡ rối từng mẫu”.

Để bảo vệ bản thân khỏi các mối đe doạ như FinFisher, Kaspersky khuyến nghị, người dùng cần tải các ứng dụng và chương trình từ các trang web đáng tin cậy. Cập nhật hệ điều hành và tất cả phần mềm thường xuyên. Cẩn trọng với phần đính kèm e-mail theo mặc định. Đối với tổ chức, doanh nghiệp, cần thiết lập chính sách sử dụng phần mềm không phải của công ty. Cài đặt các giải pháp EDR và chống APT có khả năng phát hiện và truy vết mối đe dọa, điều tra và khắc phục kịp thời các sự cố. Cung cấp cho nhóm SOC quyền truy cập vào thông tin tình báo về mối đe dọa mới nhất và thường xuyên nâng cao kỹ năng cho họ bằng các khóa đào tạo chuyên nghiệp.