Phân tích kỹ thuật mã độc Casbaneiro và chiến dịch tấn công ngân hàng tại Mỹ Latinh

Các nhà nghiên cứu bảo mật vừa phát đi báo cáo phân tích chi tiết về chiến dịch tấn công mới của dòng mã độc ngân hàng Casbaneiro, nổi bật với khả năng che giấu lưu lượng điều khiển tinh vi.

Phương thức phát tán và lọc địa lý

Chiến dịch tấn công của trojan Casbaneiro chủ yếu nhắm vào khu vực Mỹ Latinh, bao gồm các quốc gia như Argentina, Peru, Colombia và Mexico. Kẻ tấn công khởi xướng chiến dịch bằng các email lừa đảo (phishing) chứa tệp PDF giả mạo hóa đơn hoặc thông báo pháp lý nhằm tạo áp lực tâm lý cho nạn nhân. Một số email thậm chí được cá nhân hóa bằng cách chèn trực tiếp địa chỉ email của người nhận nhằm tăng độ tin cậy.

Khi người dùng tương tác với liên kết trong email, hệ thống của kẻ tấn công sẽ tiến hành kiểm tra địa chỉ IP. Nếu xác định nạn nhân nằm ngoài khu vực địa lý mục tiêu, mã độc sẽ tự động chuyển hướng họ sang các trang web thông thường như Google hoặc YouTube. Kỹ thuật lọc địa lý này tương tự như mã độc Grandoreiro, nhằm qua mặt các hệ thống giám sát và các nhà nghiên cứu bảo mật.

Cấu trúc kỹ thuật và quá trình lây nhiễm

Sau khi vượt qua bước kiểm tra khu vực, mã độc tiến hành tải xuống một tệp định dạng ZIP chứa tệp HTA. Tệp này thực thi mã JavaScript để truy xuất gói tập lệnh XML chứa mã JScript. Đồng thời, mã độc tận dụng Windows Management Instrumentation (WMI) để quét và kiểm tra môi trường sandbox cũng như ngôn ngữ của hệ điều hành.

Giai đoạn tiếp theo liên quan đến việc trình tải xuống thu thập ba thành phần cốt lõi: một trình thông dịch AutoIt hợp lệ, một script AutoIt đã biên dịch và một payload nén. Việc đặt tên tệp ngẫu nhiên và chia nhỏ các thành phần giúp mã độc cản trở đáng kể quá trình phân tích tĩnh.

Khả năng thâm nhập và biện pháp phòng ngừa

Casbaneiro thực hiện tiêm payload trực tiếp vào các tiến trình hợp pháp như RegSvcs.exe hoặc mobsync.exe. Bên cạnh đó, mã độc còn có khả năng thu thập thông tin danh bạ từ ứng dụng Outlook và truyền dữ liệu này về máy chủ mà không cần mã hóa.

Để bảo vệ hệ thống trước các mối đe dọa như Casbaneiro, các tổ chức và doanh nghiệp cần triển khai đồng bộ các giải pháp bảo mật như EDR và SIEM nhằm liên kết sự kiện từ nhiều nguồn khác nhau. Việc áp dụng các khung tham chiếu như MITRE ATT&CK cũng giúp đội ngũ an ninh mạng nắm bắt tốt hơn các chiến thuật và kỹ thuật mà nhóm tấn công sử dụng.