PLAYFULGHOST được phân phối thông qua lừa đảo và đầu độc SEO trong các ứng dụng VPN bị Trojan hóa
Các nhà nghiên cứu an ninh mạng đã phát hiện ra một phần mềm độc hại mới có tên là PLAYFULGHOST , có nhiều tính năng thu thập thông tin như ghi lại phím bấm, chụp màn hình, ghi âm thanh, shell từ xa và truyền/thực thi tệp.
Theo nhóm Phòng thủ được quản lý của Google, cửa hậu này có chức năng trùng lặp với một công cụ quản trị từ xa được gọi là Gh0st RAT , có mã nguồn bị rò rỉ công khai vào năm 2008.
Các con đường truy cập ban đầu của PLAYFULGHOST bao gồm việc sử dụng email lừa đảo có chứa mã mồi liên quan đến hành vi hoặc kỹ thuật đầu độc tối ưu hóa công cụ tìm kiếm (SEO) để phân phối các phiên bản trojan của các ứng dụng VPN hợp pháp như LetsVPN.
"Trong một trường hợp lừa đảo, quá trình lây nhiễm bắt đầu bằng cách lừa nạn nhân mở một tệp RAR độc hại được ngụy trang thành tệp hình ảnh bằng cách sử dụng phần mở rộng .jpg", công ty cho biết . "Khi được nạn nhân giải nén và thực thi, tệp này sẽ thả một tệp thực thi Windows độc hại, cuối cùng sẽ tải xuống và thực thi PLAYFULGHOST từ một máy chủ từ xa".
Mặt khác, chuỗi tấn công sử dụng thủ thuật đầu độc SEO nhằm đánh lừa người dùng nhẹ dạ tải xuống trình cài đặt có chứa phần mềm độc hại cho LetsVPN. Khi khởi chạy, trình cài đặt này sẽ thả một phần mềm tạm thời có nhiệm vụ truy xuất các thành phần cửa sau.
Đặc điểm đáng chú ý của loại nhiễm trùng này là lợi dụng các phương pháp như chiếm quyền điều khiển thứ tự tìm kiếm DLL và tải phụ để khởi chạy DLL độc hại sau đó được dùng để giải mã và tải PLAYFULGHOST vào bộ nhớ.
Mandiant cho biết họ cũng quan sát thấy "một kịch bản thực thi phức tạp hơn" trong đó tệp phím tắt Windows ("QQLaunch.lnk") kết hợp nội dung của hai tệp khác có tên "h" và "t" để xây dựng DLL độc hại và tải nó bằng phiên bản đã đổi tên của "curl.exe".
PLAYFULGHOST có khả năng thiết lập tính bền bỉ trên máy chủ bằng bốn phương pháp khác nhau: Chạy khóa sổ đăng ký, tác vụ theo lịch trình, thư mục Khởi động Windows và dịch vụ Windows. Nó tự hào có một bộ tính năng mở rộng cho phép thu thập dữ liệu mở rộng, bao gồm các lần nhấn phím, ảnh chụp màn hình, âm thanh, thông tin tài khoản QQ, sản phẩm bảo mật đã cài đặt, nội dung clipboard và siêu dữ liệu hệ thống.
Nó cũng có khả năng thả nhiều dữ liệu hơn, chặn đầu vào chuột và bàn phím, xóa nhật ký sự kiện Windows, xóa dữ liệu clipboard, thực hiện các thao tác tệp, xóa bộ nhớ đệm và hồ sơ liên quan đến các trình duyệt web như Sogou, QQ, 360 Safety, Firefox và Google Chrome, cũng như xóa hồ sơ và bộ nhớ cục bộ cho các ứng dụng nhắn tin như Skype, Telegram và QQ.
Một số công cụ khác được triển khai thông qua PLAYFULGHOST là Mimikatz và rootkit có khả năng ẩn sổ đăng ký, tệp và quy trình do tác nhân đe dọa chỉ định. Cũng bị loại bỏ cùng với việc tải xuống các thành phần PLAYFULGHOST là một tiện ích nguồn mở có tên là Terminator có thể tiêu diệt các quy trình bảo mật bằng cách sử dụng cuộc tấn công Bring Your Own Vulnerable Driver ( BYOVD ).
"Có một lần, Mandiant đã quan sát thấy một tải trọng PLAYFULGHOST được nhúng trong BOOSTWAVE", gã khổng lồ công nghệ cho biết. "BOOSTWAVE là một shellcode hoạt động như một dropper trong bộ nhớ cho một tải trọng Portable Executable (PE) được thêm vào".
Việc nhắm mục tiêu vào các ứng dụng như Sogou, QQ và 360 Safety và việc sử dụng mồi nhử LetsVPN làm tăng khả năng các loại nhiễm trùng này nhắm vào người dùng Windows nói tiếng Trung. Vào tháng 7 năm 2024, nhà cung cấp an ninh mạng Canada eSentire đã tiết lộ một chiến dịch tương tự, sử dụng trình cài đặt giả mạo cho Google Chrome để phát tán Gh0st RAT bằng cách sử dụng một trình thả có tên là Gh0stGambit.