Biến thể Ransomware 'Helldown' mới mở rộng các cuộc tấn công vào hệ thống VMware và Linux
Các nhà nghiên cứu an ninh mạng đã phát hiện ra biến thể Linux của một loại ransomware tương đối mới có tên là Helldown, cho thấy kẻ tấn công đang mở rộng phạm vi tấn công.
"Helldown triển khai ransomware Windows bắt nguồn từ mã LockBit 3.0", Sekoia cho biết trong một báo cáo chia sẻ với The Hacker News. "Với sự phát triển gần đây của ransomware nhắm vào ESX, có vẻ như nhóm này có thể đang phát triển các hoạt động hiện tại của mình để nhắm vào các cơ sở hạ tầng ảo hóa thông qua VMware".
Helldown lần đầu tiên được Halcyon công khai ghi chép vào giữa tháng 8 năm 2024, mô tả nó là "nhóm ransomware hung hăng" xâm nhập vào các mạng mục tiêu bằng cách khai thác các lỗ hổng bảo mật. Một số lĩnh vực nổi bật mà nhóm tội phạm mạng nhắm đến bao gồm dịch vụ CNTT, viễn thông, sản xuất và chăm sóc sức khỏe.
Giống như các nhóm ransomware khác, Helldown được biết đến với việc tận dụng các trang web rò rỉ dữ liệu để gây áp lực buộc nạn nhân phải trả tiền chuộc bằng cách đe dọa công bố dữ liệu bị đánh cắp, một chiến thuật được gọi là tống tiền kép. Người ta ước tính rằng nhóm này đã tấn công ít nhất 31 công ty trong vòng ba tháng.
Trong một phân tích được công bố đầu tháng này, Truesec đã nêu chi tiết các chuỗi tấn công Helldown được quan sát thấy sử dụng tường lửa Zyxel hướng internet để có được quyền truy cập ban đầu, sau đó thực hiện các hoạt động dai dẳng, thu thập thông tin xác thực, liệt kê mạng, né tránh phòng thủ và di chuyển ngang để cuối cùng triển khai phần mềm tống tiền.
Phân tích mới của Sekoia cho thấy những kẻ tấn công đang lợi dụng các lỗ hổng bảo mật đã biết và chưa biết trong các thiết bị Zyxel để xâm nhập mạng, sử dụng chỗ đứng để đánh cắp thông tin đăng nhập và tạo đường hầm SSL VPN với người dùng tạm thời.
Phiên bản Windows của Helldown, sau khi khởi chạy, thực hiện một loạt các bước trước khi trích xuất và mã hóa các tệp, bao gồm xóa các bản sao ẩn của hệ thống và chấm dứt nhiều quy trình liên quan đến cơ sở dữ liệu và Microsoft Office. Ở bước cuối cùng, tệp nhị phân ransomware bị xóa để che giấu dấu vết, một ghi chú đòi tiền chuộc được đưa ra và máy bị tắt.
Theo công ty an ninh mạng của Pháp, phiên bản Linux của nó thiếu cơ chế che giấu và chống gỡ lỗi, trong khi vẫn kết hợp một bộ chức năng ngắn gọn để tìm kiếm và mã hóa tệp, nhưng trước đó phải liệt kê và tắt tất cả các máy ảo (VM) đang hoạt động.
"Phân tích tĩnh và động không phát hiện ra bất kỳ giao tiếp mạng nào, cũng không có khóa công khai hoặc bí mật chung nào", công ty cho biết. "Điều này đáng chú ý vì nó đặt ra câu hỏi về cách kẻ tấn công có thể cung cấp công cụ giải mã".
"Việc chấm dứt VM trước khi mã hóa sẽ cấp cho ransomware quyền ghi vào các tệp hình ảnh. Tuy nhiên, cả phân tích tĩnh và động đều cho thấy rằng, mặc dù chức năng này tồn tại trong mã, nhưng nó không thực sự được gọi. Tất cả những quan sát này cho thấy ransomware không quá tinh vi và có thể vẫn đang được phát triển."
Các hiện vật của Helldown Windows đã được phát hiện có điểm tương đồng về hành vi với DarkRace, xuất hiện vào tháng 5 năm 2023 bằng cách sử dụng mã từ LockBit 3.0 và sau đó đổi tên thành DoNex . Avast đã cung cấp trình giải mã cho DoNex vào tháng 7 năm 2024.
"Cả hai mã đều là biến thể của LockBit 3.0", Sekoia cho biết. "Với lịch sử đổi thương hiệu của Darkrace và Donex và những điểm tương đồng đáng kể của chúng với Helldown, khả năng Helldown là một thương hiệu đổi thương hiệu khác không thể bị loại trừ. Tuy nhiên, mối liên hệ này không thể được xác nhận chắc chắn ở giai đoạn này".
Sự phát triển này diễn ra khi Cisco Talos tiết lộ một họ ransomware mới nổi khác có tên là Interlock, nhắm vào các lĩnh vực chăm sóc sức khỏe, công nghệ và chính phủ tại Hoa Kỳ và các đơn vị sản xuất tại Châu Âu. Nó có khả năng mã hóa cả máy Windows và Linux.
Các chuỗi tấn công phân phối phần mềm tống tiền đã được quan sát thấy bằng cách sử dụng tệp nhị phân cập nhật trình duyệt Google Chrome giả mạo được lưu trữ trên một trang web tin tức hợp pháp nhưng bị xâm phạm. Khi chạy, tệp nhị phân này sẽ giải phóng một trojan truy cập từ xa (RAT) cho phép kẻ tấn công trích xuất dữ liệu nhạy cảm và thực thi các lệnh PowerShell được thiết kế để thả các phần mềm độc hại nhằm thu thập thông tin đăng nhập và tiến hành do thám.
Các nhà nghiên cứu Talos cho biết : "Trong blog của mình, Interlock tuyên bố nhắm vào cơ sở hạ tầng của các tổ chức bằng cách khai thác các lỗ hổng chưa được giải quyết và tuyên bố hành động của họ một phần là do mong muốn buộc các công ty phải chịu trách nhiệm về tình trạng an ninh mạng kém, bên cạnh mục đích kiếm lợi nhuận" .
Công ty cho biết thêm, Interlock được đánh giá là một nhóm mới xuất phát từ các nhà điều hành hoặc nhà phát triển Rhysida, đồng thời chỉ ra sự trùng lặp về nghề nghiệp, công cụ và hành vi tống tiền.
"Sự liên kết có thể có của Interlock với các nhà điều hành hoặc nhà phát triển Rhysida sẽ phù hợp với một số xu hướng rộng hơn trong bối cảnh đe dọa mạng", công ty cho biết. "Chúng tôi đã quan sát thấy các nhóm ransomware đa dạng hóa khả năng của họ để hỗ trợ các hoạt động tiên tiến và đa dạng hơn, và các nhóm ransomware đã trở nên ít bị cô lập hơn, vì chúng tôi đã quan sát thấy các nhà điều hành ngày càng làm việc cùng với nhiều nhóm ransomware".
Trùng hợp với sự xuất hiện của Helldown và Interlock là một thành viên mới khác của hệ sinh thái ransomware có tên là SafePay, tuyên bố đã nhắm mục tiêu vào 22 công ty cho đến nay. SafePay, theo Huntress, cũng sử dụng LockBit 3.0 làm cơ sở, cho thấy rằng việc rò rỉ mã nguồn LockBit đã tạo ra một số biến thể.
Trong hai sự cố được công ty điều tra, "hoạt động của tác nhân đe dọa được phát hiện có nguồn gốc từ cổng hoặc cổng VPN, vì tất cả các địa chỉ IP được quan sát được chỉ định cho các máy trạm của tác nhân đe dọa đều nằm trong phạm vi nội bộ", các nhà nghiên cứu của Huntress cho biết .
"Kẻ đe dọa có thể sử dụng thông tin xác thực hợp lệ để truy cập vào điểm cuối của khách hàng và không thấy kích hoạt RDP, không tạo tài khoản người dùng mới hay tạo bất kỳ hành vi cố định nào khác."