UAC-0125 lợi dụng nhân viên Cloudflare để phân phối phần mềm độc hại ngụy trang thành ứng dụng Army+
Đội ứng phó khẩn cấp máy tính của Ukraine (CERT-UA) đã tiết lộ rằng một tác nhân đe dọa mà họ theo dõi là UAC-0125 đang lợi dụng dịch vụ Cloudflare Workers để lừa quân nhân trong nước tải xuống phần mềm độc hại được ngụy trang thành Army+ , một ứng dụng di động được Bộ Quốc phòng giới thiệu vào tháng 8 năm 2024 nhằm mục đích giúp lực lượng vũ trang không cần giấy tờ.
Người dùng truy cập vào các trang web giả mạo Cloudflare Workers sẽ được nhắc tải xuống tệp thực thi Windows của Army+, được tạo bằng Nullsoft Scriptable Install System ( NSIS ), một công cụ nguồn mở được sử dụng để tạo trình cài đặt cho hệ điều hành.
Mở tệp nhị phân sẽ hiển thị một tệp tin giả sẽ được khởi chạy, đồng thời thực thi một tập lệnh PowerShell được thiết kế để cài đặt OpenSSH trên máy chủ bị nhiễm, tạo một cặp khóa mật mã RSA, thêm khóa công khai vào tệp "authorized\_keys" và truyền khóa riêng đến máy chủ do kẻ tấn công kiểm soát bằng mạng ẩn danh TOR.
Mục tiêu cuối cùng của cuộc tấn công là cho phép kẻ thù truy cập từ xa vào máy của nạn nhân, CERT-UA cho biết. Hiện tại vẫn chưa biết những liên kết này được truyền bá như thế nào.
Cơ quan này cũng lưu ý rằng UAC-0125 có liên quan đến một nhóm khác có tên là UAC-0002 , được biết đến nhiều hơn với tên gọi APT44, FROZENBARENTS, Sandworm, Seashell Blizzard và Voodoo Bear, một nhóm đe dọa dai dẳng tiên tiến (APT) có liên hệ với Đơn vị 74455 thuộc Tổng cục Tham mưu trưởng Lực lượng vũ trang Liên bang Nga (GRU).
Đầu tháng này, Fortra tiết lộ rằng họ đã quan sát thấy "xu hướng gia tăng tình trạng lạm dụng dịch vụ hợp pháp" khi kẻ xấu sử dụng Cloudflare Workers và Pages để lưu trữ các trang xác minh và đăng nhập Microsoft 365 giả mạo nhằm đánh cắp thông tin đăng nhập của người dùng.
Công ty cho biết họ đã chứng kiến mức tăng 198% các cuộc tấn công lừa đảo vào Cloudflare Pages, từ 460 vụ việc vào năm 2023 lên 1.370 vụ việc tính đến giữa tháng 10 năm 2024. Tương tự như vậy, các cuộc tấn công lừa đảo sử dụng Cloudflare Workers đã tăng vọt 104%, từ 2.447 vụ việc vào năm 2023 lên 4.999 vụ việc cho đến nay.
Diễn biến này diễn ra trong bối cảnh Hội đồng châu Âu áp đặt lệnh trừng phạt đối với 16 cá nhân và ba thực thể mà họ cho là chịu trách nhiệm cho "các hành động gây bất ổn của Nga ở nước ngoài".
Trong đó bao gồm Đơn vị 29155 của GRU , vì có liên quan đến các vụ ám sát, đánh bom và tấn công mạng ở nước ngoài trên khắp châu Âu, Groupe Panafricain pour le Commerce et l'Investissement, một mạng lưới thông tin sai lệch thực hiện các hoạt động gây ảnh hưởng bí mật thân Nga tại Cộng hòa Trung Phi và Burkina Faso, và African Initiative, một hãng thông tấn khuếch đại tuyên truyền và thông tin sai lệch của Nga ở châu Phi.
Các lệnh trừng phạt cũng nhắm vào Doppelganger , một mạng lưới thông tin sai lệch do Nga cầm đầu, được biết đến với việc phát tán các câu chuyện và ủng hộ cuộc chiến tranh xâm lược của Nga chống lại Ukraine, thao túng dư luận chống lại quốc gia này và làm xói mòn sự ủng hộ của phương Tây.
Vì mục đích đó, Sofia Zakharova, trưởng phòng Văn phòng Tổng thống Liên bang Nga về Phát triển Công nghệ Thông tin và Truyền thông và Cơ sở hạ tầng Truyền thông, và Nikolai Tupikin, người đứng đầu kiêm nhà sáng lập của GK Struktura (hay còn gọi là Company Group Structura), đã bị đóng băng tài sản và cấm đi lại.
Tupikin cũng đã bị Văn phòng Kiểm soát Tài sản Nước ngoài (OFAC) thuộc Bộ Tài chính Hoa Kỳ trừng phạt vào tháng 3 năm 2024 vì tham gia vào các chiến dịch gây ảnh hưởng xấu ở nước ngoài.