Tin tặc sử dụng tệp Microsoft MSC để triển khai Backdoor được che giấu
Một chiến dịch lừa đảo mới đã được phát hiện sử dụng các chiêu trò liên quan đến thuế để phát tán phần mềm độc hạ
Công ty an ninh mạng Securonix, đang theo dõi hoạt động này dưới tên FLUX#CONSOLE , cho biết có khả năng cuộc tấn công bắt đầu bằng một liên kết hoặc tệp đính kèm email lừa đảo, mặc dù công ty này cho biết không thể lấy được email gốc được sử dụng để phát động cuộc tấn công.
Các nhà nghiên cứu bảo mật Den Iuzvyk và Tim Peck cho biết : "Một trong những khía cạnh đáng chú ý nhất của chiến dịch này là cách những kẻ đe dọa lợi dụng các tệp MSC (Tài liệu bảng điều khiển chung của Microsoft) để triển khai trình tải và trình thả có mục đích kép nhằm phân phối thêm các phần mềm độc hại" .
Điều đáng chú ý là việc lạm dụng các tệp bảng điều khiển quản lý được lưu trữ đặc biệt (MSC) để thực thi mã độc đã được Elastic Security Labs đặt tên mã là GrimResource .
Điểm khởi đầu là một tệp có phần mở rộng kép (.pdf.msc) ngụy trang thành tệp PDF (nếu cài đặt hiển thị phần mở rộng tệp bị tắt) và được thiết kế để thực thi mã JavaScript nhúng khi khởi chạy bằng Microsoft Management Console (MMC).
Mã này, đến lượt nó, chịu trách nhiệm truy xuất và hiển thị tệp mồi nhử, đồng thời cũng bí mật tải tệp DLL ("DismCore.dll") ở chế độ nền. Một tài liệu như vậy được sử dụng trong chiến dịch có tên là "Giảm thuế, Hoàn tiền và Tín dụng 2024", đây là một tài liệu hợp pháp liên quan đến Hội đồng Doanh thu Liên bang Pakistan (FBR).
Các nhà nghiên cứu cho biết: "Ngoài việc cung cấp dữ liệu từ một chuỗi được nhúng và tối giản, tệp .MSC còn có thể thực thi mã bổ sung bằng cách truy cập vào một tệp HTML từ xa cũng đạt được mục tiêu tương tự", đồng thời nói thêm rằng tính bền bỉ được thiết lập bằng cách sử dụng các tác vụ theo lịch trình.
Tải trọng chính là một backdoor có khả năng thiết lập liên lạc với một máy chủ từ xa và thực hiện các lệnh do máy chủ này gửi để đánh cắp dữ liệu từ các hệ thống bị xâm phạm. Securonix cho biết cuộc tấn công đã bị gián đoạn 24 giờ sau khi bị nhiễm ban đầu.
Hiện vẫn chưa rõ ai là người đứng sau chiến dịch phần mềm độc hại này, mặc dù trước đó đã phát hiện kẻ tấn công có tên Patchwork sử dụng một tài liệu liên quan đến thuế tương tự từ FBR vào đầu tháng 12 năm 2023.
Securonix nói với The Hacker News rằng mặc dù "hoàn toàn có khả năng" Patchwork đứng sau các cuộc tấn công, nhưng họ cho biết họ không thể xây dựng các kết nối vững chắc dựa trên TTP đã biết và các nguồn dữ liệu từ xa khác để có thể tự tin tuyên bố trách nhiệm.
"Các mồi nhử lừa đảo được tham chiếu trông giống nhau, tuy nhiên chúng tôi đã từng thấy những kẻ tấn công sử dụng mồi nhử trước đây, đặc biệt là với các tệp PDF hoặc thậm chí là tệp hình ảnh", Peck, nhà nghiên cứu về mối đe dọa cấp cao tại Securonix, cho biết. "Tuy nhiên, nếu đây là trường hợp và Patchwork chịu trách nhiệm, điều này sẽ cung cấp thêm thông tin chi tiết về hoạt động và chuỗi tấn công hiện tại của chúng".
Các nhà nghiên cứu cho biết: "Từ mã JavaScript được che giấu kỹ lưỡng trong giai đoạn đầu cho đến mã phần mềm độc hại được ẩn sâu trong DLL, toàn bộ chuỗi tấn công cho thấy sự phức tạp trong việc phát hiện và phân tích mã độc hại hiện đại".
"Một khía cạnh đáng chú ý khác của chiến dịch này là việc khai thác các tệp MSC như một sự tiến hóa tiềm năng của tệp LNK cổ điển vốn rất phổ biến với những kẻ tấn công trong vài năm qua. Giống như các tệp LNK, chúng cũng cho phép thực thi mã độc trong khi hòa nhập vào các quy trình quản trị Windows hợp pháp."