Điểm chính

  • FBI và Bộ Tư pháp Hoa Kỳ đã tịch thu 7 tên miền điều khiển để cắt đứt liên lạc của nhóm tin tặc Flax Typhoon.
  • Nhóm này vận hành một botnet dựa trên mã độc Mirai thông qua ứng dụng quản lý Sparrow.
  • Các cơ quan chức năng khuyến nghị doanh nghiệp rà soát hệ thống và giám sát lưu lượng mạng để phòng ngừa.

Cục Điều tra Liên bang (FBI) phối hợp cùng Bộ Tư pháp Hoa Kỳ (DoJ) vừa thông báo vô hiệu hóa thành công các công cụ độc hại của nhóm tin tặc Flax Typhoon, một tổ chức tấn công có chủ đích (APT) có liên hệ với Trung Quốc.

Triệt phá cơ sở hạ tầng điều khiển

Trong chiến dịch mới nhất, các cơ quan chức năng đã thực hiện lệnh tịch thu đối với 7 tên miền quan trọng mà nhóm Flax Typhoon sử dụng để điều phối các cuộc tấn công mạng. Biện pháp này giúp cắt đứt hoàn toàn đường dây liên lạc giữa các thiết bị đã bị nhiễm mã độc và hệ thống máy chủ điều khiển của nhóm tin tặc.

Flax Typhoon, còn được biết đến qua các biệt danh Ethereal Panda hoặc RedJuliett, có quan hệ chặt chẽ với Integrity Technology Group. Tổ chức này từng đứng sau botnet Raptor Train quy mô lớn bao gồm hàng nghìn thiết bị IoT và thiết bị mạng gia đình/văn phòng nhỏ (SOHO) bị chiếm quyền.

Phương thức hoạt động và công cụ độc hại

Theo tài liệu tòa án, Integrity Tech đã phát triển một botnet sử dụng biến thể của mã độc Mirai. Hệ thống này ứng dụng các tên miền con của w8510[.]com để thiết lập kết nối điều khiển C2 hai chiều, đồng thời quản lý toàn bộ mạng lưới thông qua một ứng dụng chuyên biệt mang tên Sparrow.

Nhóm tin tặc chủ yếu dựa vào hai công cụ chính trong các chiến dịch xâm nhập. Thứ nhất là Microscan, một công cụ quét lỗ hổng phát triển bằng ngôn ngữ Python tích hợp hơn 1.300 script kiểm thử xâm nhập, cho phép tự động tìm kiếm điểm yếu trên các dịch vụ phổ biến như OpenSSL, Oracle WebLogic, WordPress và Apache Struts. Thứ hai là FishHub, công cụ chuyên dùng cho các cuộc tấn công lừa đảo có chủ đích (spear-phishing) nhằm triển khai mã độc tiếp theo sau khi đã xâm nhập thành công vào hệ thống của các mục tiêu như trường đại học và cơ quan nghiên cứu tại Đài Loan.

Khuyến nghị bảo mật cho doanh nghiệp

Trước những diễn biến phức tạp, các tổ chức và doanh nghiệp được khuyến cáo nhanh chóng rà soát lại toàn bộ hệ thống nhằm phát hiện sớm dấu hiệu xâm nhập từ Flax Typhoon. Việc chủ động giám sát lưu lượng mạng hướng tới các tên miền đã bị tịch thu, cùng với việc kiểm tra các tiến trình bất thường liên quan đến SoftEther VPN, đóng vai trò cốt lõi để bảo vệ hạ tầng trọng yếu. Sự phối hợp chặt chẽ giữa các cơ quan an ninh quốc tế như CISA và NCSC Anh tiếp tục là minh chứng cho nỗ lực chung nhằm suy yếu các thực thể tấn công mạng.