Trình tải PNGPlug phân phối phần mềm độc hại ValleyRAT thông qua trình cài đặt phần mềm giả mạo
Các nhà nghiên cứu an ninh mạng đang cảnh báo về một loạt các cuộc tấn công mạng nhắm vào các khu vực nói tiếng Trung như Hồng Kông, Đài Loan và Trung Quốc đại lục bằng một loại phần mềm độc hại có tên là ValleyRAT.
Intezer cho biết trong một báo cáo kỹ thuật được công bố tuần trước rằng các cuộc tấn công này sử dụng trình tải nhiều giai đoạn có tên là PNGPlug để phân phối phần mềm ValleyRAT .
Chuỗi lây nhiễm bắt đầu bằng một trang lừa đảo được thiết kế để khuyến khích nạn nhân tải xuống gói Microsoft Installer (MSI) độc hại được ngụy trang thành phần mềm hợp pháp.
Sau khi thực thi, trình cài đặt sẽ triển khai một ứng dụng vô hại để tránh gây nghi ngờ, đồng thời bí mật giải nén một kho lưu trữ được mã hóa có chứa phần mềm độc hại.
Nhà nghiên cứu bảo mật Nicole Fishbein cho biết: "Gói MSI sử dụng tính năng CustomAction của Windows Installer, cho phép thực thi mã độc hại, bao gồm chạy DLL độc hại được nhúng để giải mã tệp nén (all.zip) bằng mật khẩu được mã hóa cứng 'hello202411' để trích xuất các thành phần phần mềm độc hại cốt lõi".
Chúng bao gồm một DLL độc hại ("libcef.dll"), một ứng dụng hợp pháp ("down.exe") được dùng làm vỏ bọc để che giấu các hoạt động độc hại và hai tệp tin tải trọng ngụy trang thành hình ảnh PNG ("aut.png" và "view.png").
Mục tiêu chính của trình tải DLL, PNGPlug, là chuẩn bị môi trường để thực thi phần mềm độc hại chính bằng cách đưa "aut.png" và "view.png" vào bộ nhớ để thiết lập tính bền bỉ bằng cách thực hiện các thay đổi trong Windows Registry và thực thi ValleyRAT.
ValleyRAT, được phát hiện ngoài tự nhiên từ năm 2023, là một trojan truy cập từ xa (RAT) có khả năng cung cấp cho kẻ tấn công quyền truy cập và kiểm soát trái phép đối với các máy bị nhiễm. Các phiên bản gần đây của phần mềm độc hại đã tích hợp các tính năng để chụp ảnh màn hình và xóa nhật ký sự kiện Windows.
Nhóm này được đánh giá là có liên quan đến một nhóm đe dọa có tên là Silver Fox , nhóm này cũng có nhiều điểm tương đồng về mặt chiến thuật với một nhóm hoạt động khác có tên là Void Arachne do sử dụng một khuôn khổ chỉ huy và kiểm soát (C&C) có tên là Winos 4.0 .
Chiến dịch này độc đáo vì tập trung vào nhóm nhân khẩu học nói tiếng Trung và sử dụng các phần mềm nhử mồi để kích hoạt chuỗi tấn công.
Fishbein cho biết: "Điều đáng chú ý không kém là việc kẻ tấn công sử dụng phần mềm hợp pháp một cách tinh vi làm cơ chế phát tán phần mềm độc hại, kết hợp nhuần nhuyễn các hoạt động độc hại với các ứng dụng có vẻ vô hại".
"Khả năng thích ứng của trình tải PNGPlug càng làm tăng thêm mối đe dọa vì thiết kế dạng mô-đun cho phép tùy chỉnh cho nhiều chiến dịch."