Điểm chính

  • Kẻ tấn công mạo danh trang tải xuống PuTTY thông qua tên miền giả mạo để lừa đảo quản trị viên hệ thống.
  • Mã độc sử dụng chuỗi lây nhiễm đa giai đoạn, bao gồm cả việc cài đặt Node.js và thực thi mã JavaScript được làm rối.
  • Kỹ thuật EtherHiding được áp dụng để ẩn địa chỉ máy chủ C2 thông qua các hợp đồng thông minh trên mạng Ethereum.

Các chuyên gia bảo mật từ Unit 42 vừa đưa ra cảnh báo về một chiến dịch tấn công mạng có chủ đích, nhắm trực tiếp vào đối tượng quản trị viên hệ thống thông qua các bộ cài đặt phần mềm quen thuộc bị làm giả.

Phương thức phát tán và thủ đoạn lừa đảo

Kẻ xấu đã dựng lên một trang web giả mạo mang tên miền puty[.]ink với giao diện sao chép tinh vi từ trang tải xuống chính thức của công cụ PuTTY. Khi quản trị viên tìm kiếm và tải về tệp tin Putty-x86_64.msi từ nguồn giả mạo này, hệ thống của họ sẽ âm thầm kích hoạt chuỗi lây nhiễm độc hại mà không hay biết.

Hành vi của mã độc trong hệ thống

Ngay khi người dùng thực thi tệp cài đặt, ứng dụng sẽ thực hiện song song hai tác vụ. Một mặt, nó khởi chạy phiên bản PuTTY 0.85 hợp pháp có chữ ký số để che mắt nạn nhân. Mặt khác, các thành phần mã độc được giải nén ngầm vào thư mục Local AppData. Tiếp theo, một đoạn script mang tên 44JYYsqg.cmd được kích hoạt để kiểm tra và tự động tải xuống môi trường Node.js nếu máy tính chưa trang bị sẵn, mở đường cho việc thực thi payload JavaScript đã qua làm rối.

Ứng dụng kỹ thuật EtherHiding để qua mặt bảo mật

Điểm đáng chú ý trong chiến dịch này là việc kẻ tấn công từ bỏ các địa chỉ máy chủ điều khiển (C2) truyền thống. Thay vào đó, mã độc tận dụng kỹ thuật EtherHiding để truy vấn các hợp đồng thông minh trên blockchain Ethereum qua các cổng RPC công cộng nhằm lấy địa chỉ C2 thực tế. Các yêu cầu này được ngụy trang khéo léo dưới vỏ bọc tệp hình ảnh hoặc CSS để né tránh sự kiểm tra của các giải pháp an ninh mạng.

Biện pháp phòng ngừa và phát hiện

Nhằm giảm thiểu rủi ro từ chiến dịch này, các trung tâm điều hành an ninh mạng (SOC) cần theo dõi sát sao hoạt động của tiến trình node.exe phát sinh từ thư mục AppData. Đồng thời, việc giám sát các kết nối hướng ra ngoài tới mạng lưới Ethereum trên những thiết bị không chuyên biệt về blockchain là dấu hiệu nhận diện quan trọng. Quản trị viên cũng nên áp dụng chính sách chặn thực thi thông qua AppLocker hoặc WDAC đối với các thư mục người dùng, đồng thời xây dựng cổng phân phối phần mềm nội bộ chính thống.