Chiến dịch Horns&Hooves phân phối RAT qua email giả mạo và tải trọng JavaScript
Một chiến dịch phần mềm độc hại mới được phát hiện nhắm vào người dùng cá nhân, nhà bán lẻ và doanh nghiệp dịch vụ chủ yếu ở Nga để phát tán NetSupport RAT và BurnsRAT.
Chiến dịch này, được Kaspersky gọi là Horns&Hooves , đã tấn công hơn 1.000 nạn nhân kể từ khi bắt đầu vào khoảng tháng 3 năm 2023. Mục tiêu cuối cùng của các cuộc tấn công này là tận dụng quyền truy cập mà các trojan này cung cấp để cài đặt phần mềm độc hại đánh cắp như Rhadamanthys và Meduza .
"Những tháng gần đây đã chứng kiến sự gia tăng các thư có tệp đính kèm email trông giống như tệp ZIP chứa các tập lệnh JScript", nhà nghiên cứu bảo mật Artem Ushkov cho biết trong một phân tích hôm thứ Hai. "Các tập tin tập lệnh \[được\] ngụy trang thành các yêu cầu và giá thầu từ khách hàng hoặc đối tác tiềm năng".
Những kẻ tấn công đứng sau các hoạt động này đã chứng minh được sự phát triển tích cực của chúng đối với mã độc JavaScript, tạo ra những thay đổi đáng kể trong suốt quá trình diễn ra chiến dịch.
Trong một số trường hợp, tệp ZIP được phát hiện có chứa các tài liệu khác liên quan đến tổ chức hoặc cá nhân bị mạo danh để tăng khả năng thành công của cuộc tấn công lừa đảo và lừa người nhận mở tệp chứa phần mềm độc hại.
Một trong những mẫu sớm nhất được xác định là một phần của chiến dịch là tệp Ứng dụng HTML (HTA), khi chạy sẽ tải xuống hình ảnh PNG giả mạo từ máy chủ từ xa bằng tiện ích curl dành cho Windows, đồng thời cũng lén lút truy xuất và chạy một tập lệnh khác ("bat\_install.bat") từ máy chủ khác bằng công cụ dòng lệnh BITSAdmin .
Sau đó, tập lệnh mới tải xuống sẽ tiếp tục sử dụng BITSAdmin để lấy một số tệp khác, bao gồm phần mềm độc hại NetSupport RAT, thiết lập kết nối với máy chủ chỉ huy và kiểm soát (C2) do kẻ tấn công thiết lập.
Một lần lặp lại tiếp theo của chiến dịch được quan sát vào giữa tháng 5 năm 2023 liên quan đến JavaScript trung gian bắt chước các thư viện JavaScript hợp pháp như Next.js để kích hoạt chuỗi lây nhiễm NetSupport RAT.
Kaspersky cho biết họ cũng tìm thấy một biến thể khác của tệp JavaScript có chức năng thả trình cài đặt NSIS, sau đó chịu trách nhiệm triển khai BurnsRAT trên máy chủ bị xâm nhập.
"Mặc dù cửa hậu hỗ trợ các lệnh tải xuống và chạy tệp từ xa, cũng như nhiều phương pháp thực thi lệnh khác nhau thông qua dòng lệnh Windows, nhưng nhiệm vụ chính của thành phần này là khởi động Hệ thống điều khiển từ xa ( RMS ) dưới dạng dịch vụ và gửi ID phiên RMS đến máy chủ của kẻ tấn công", Ushkov giải thích.
"RMS là ứng dụng cho phép người dùng tương tác với các hệ thống từ xa qua mạng. Nó cung cấp khả năng quản lý máy tính để bàn, thực hiện lệnh, truyền tệp và trao đổi dữ liệu giữa các thiết bị ở các vị trí địa lý khác nhau."
Trong một dấu hiệu cho thấy kẻ tấn công tiếp tục thay đổi phương thức hoạt động, hai chuỗi tấn công khác được phát hiện vào cuối tháng 5 và tháng 6 năm 2023 đi kèm với tệp BAT được thiết kế lại hoàn toàn để cài đặt NetSupport RAT và tích hợp phần mềm độc hại trực tiếp vào mã JavaScript.
Có dấu hiệu cho thấy chiến dịch này là tác phẩm của một tác nhân đe dọa được gọi là TA569 (hay còn gọi là Gold Prelude, Mustard Tempest và Purple Vallhund), được biết đến với việc vận hành phần mềm độc hại SocGholish (hay còn gọi là FakeUpdates). Mối liên hệ này bắt nguồn từ sự chồng chéo trong giấy phép NetSupport RAT và các tệp cấu hình được sử dụng trong các hoạt động tương ứng.
Điều đáng nói là TA569 cũng được biết đến là hoạt động như một môi giới truy cập ban đầu cho các cuộc tấn công ransomware tiếp theo như WastedLocker.
"Tùy thuộc vào việc quyền truy cập này rơi vào tay ai, hậu quả đối với các công ty nạn nhân có thể từ việc đánh cắp dữ liệu đến mã hóa và gây thiệt hại cho hệ thống", Ushkov cho biết. "Chúng tôi cũng quan sát thấy những nỗ lực cài đặt phần mềm đánh cắp trên một số máy bị nhiễm".hêm nội dung độc quyền mà chúng tôi đăng tải.