Nhóm tin tặc Việt Nam triển khai phần mềm đánh cắp PXA mới nhắm vào Châu Âu và Châu Á
Một tin tặc người Việt đã bị phát hiện có liên quan đến chiến dịch đánh cắp thông tin nhắm vào các tổ chức chính phủ và giáo dục ở Châu Âu và Châu Á bằng phần mềm độc hại mới dựa trên Python có tên là PXA Stealer .
Các nhà nghiên cứu Joey Chen, Alex Karkins và Chetan Raghuprasad của Cisco Talos cho biết phần mềm độc hại này "nhắm vào thông tin nhạy cảm của nạn nhân, bao gồm thông tin đăng nhập cho nhiều tài khoản trực tuyến, máy khách VPN và FTP, thông tin tài chính, cookie của trình duyệt và dữ liệu từ phần mềm chơi game" .
"PXA Stealer có khả năng giải mã mật khẩu chính của trình duyệt nạn nhân và sử dụng nó để đánh cắp thông tin đăng nhập đã lưu trữ của nhiều tài khoản trực tuyến khác nhau"
Mối liên hệ với Việt Nam bắt nguồn từ sự hiện diện của các bình luận bằng tiếng Việt và một tài khoản Telegram được mã hóa cứng có tên " Lone None " trong chương trình đánh cắp, sau này bao gồm biểu tượng quốc kỳ Việt Nam và hình ảnh biểu tượng của Bộ Công an Việt Nam.
Cisco Talos cho biết họ đã quan sát thấy kẻ tấn công bán thông tin đăng nhập tài khoản Facebook và Zalo, cùng thẻ SIM trên kênh Telegram "Mua Bán Scan MINI", trước đây đã được liên kết với một tác nhân đe dọa khác có tên là CoralRaider . Lone None cũng được phát hiện đang hoạt động trên một nhóm Telegram khác của Việt Nam do CoralRaider điều hành có tên là " Cú Black Ads - Dropship ".
Tuy nhiên, hiện vẫn chưa rõ liệu hai nhóm xâm nhập này có liên quan đến nhau hay không, liệu chúng có thực hiện các chiến dịch độc lập với nhau hay không.
"Các công cụ được kẻ tấn công chia sẻ trong nhóm là các tiện ích tự động được thiết kế để quản lý nhiều tài khoản người dùng. Các công cụ này bao gồm một công cụ tạo hàng loạt Hotmail, một công cụ khai thác email và một công cụ sửa đổi hàng loạt cookie Hotmail", các nhà nghiên cứu cho biết.
"Các gói nén do kẻ tấn công cung cấp thường không chỉ chứa các tệp thực thi cho các công cụ này mà còn chứa cả mã nguồn của chúng, cho phép người dùng sửa đổi chúng khi cần."
Có bằng chứng cho thấy các chương trình như vậy được chào bán thông qua các trang web khác như aehack\[.\]com, nơi tuyên bố cung cấp các công cụ hack và gian lận miễn phí. Các hướng dẫn sử dụng các công cụ này được chia sẻ qua các kênh YouTube , càng làm nổi bật thêm rằng có một nỗ lực đồng bộ để tiếp thị chúng.
Chuỗi tấn công lan truyền PXA Stealer bắt đầu bằng một email lừa đảo có chứa tệp ZIP đính kèm, trong đó có trình tải dựa trên Rust và một thư mục ẩn, trong đó chứa một số tập lệnh hàng loạt của Windows và một tệp PDF giả mạo.
Việc thực thi trình tải sẽ kích hoạt các tập lệnh hàng loạt, có nhiệm vụ mở tài liệu mồi nhử, biểu mẫu đơn xin việc trên Glassdoor, đồng thời chạy các lệnh PowerShell để tải xuống và chạy một phần mềm có khả năng vô hiệu hóa các chương trình diệt vi-rút đang chạy trên máy chủ, sau đó triển khai chính trình đánh cắp đó.
Một tính năng đáng chú ý của PXA Stealer là nó tập trung vào việc đánh cắp cookie của Facebook, sử dụng chúng để xác thực phiên và tương tác với Facebook Ads Manager và Graph API để thu thập thêm thông tin chi tiết về tài khoản và thông tin liên quan đến quảng cáo.
Việc nhắm mục tiêu vào các tài khoản quảng cáo và kinh doanh trên Facebook là một hình thức tấn công thường xuyên của các tác nhân đe dọa người Việt và PXA Stealer cũng không phải là ngoại lệ.
Việc tiết lộ này diễn ra khi IBM X-Force nêu chi tiết về một chiến dịch đang diễn ra kể từ giữa tháng 4 năm 2023, cung cấp StrelaStealer cho các nạn nhân trên khắp châu Âu, cụ thể là Ý, Tây Ban Nha, Đức và Ukraine. Hoạt động này được cho là do một "nhà môi giới truy cập ban đầu" (IAB) "trưởng thành nhanh chóng" mà nó theo dõi là Hive0145, được cho là nhà điều hành duy nhất của phần mềm độc hại đánh cắp.
"Các email lừa đảo được sử dụng trong các chiến dịch này là thông báo hóa đơn thực sự, đã bị đánh cắp thông qua thông tin đăng nhập email đã bị rò rỉ trước đó", các nhà nghiên cứu Golo Mühr, Joe Fasulo và Charlotte Hammond cho biết . "StrelaStealer được thiết kế để trích xuất thông tin đăng nhập của người dùng được lưu trữ trong Microsoft Outlook và Mozilla Thunderbird".
Sự phổ biến của phần mềm độc hại đánh cắp được chứng minh bằng sự phát triển liên tục của các họ phần mềm độc hại hiện có như RECORDSTEALER (hay còn gọi là RecordBreaker hoặc Raccoon Stealer V2) và Rhadamanthys , cùng sự xuất hiện liên tục của các họ phần mềm độc hại mới như Amnesia Stealer và Glove Stealer, bất chấp những nỗ lực ngăn chặn của cơ quan thực thi pháp luật .
"Glove Stealer sử dụng một mô-đun hỗ trợ chuyên dụng để bỏ qua mã hóa liên kết ứng dụng bằng cách sử dụng dịch vụ IElevator ", nhà nghiên cứu Jan Rubín của Gen Digital cho biết . "Mặc dù được phát tán qua email lừa đảo giống ClickFix , bản thân nó cũng cố gắng bắt chước một công cụ sửa lỗi mà người dùng có thể sử dụng trong quá trình khắc phục sự cố mà họ có thể gặp phải".