Phân tích mạng lưới tấn công giả mạo Iron Man System nhắm vào hàng chục nghìn tổ chức

Các nhà nghiên cứu an ninh mạng vừa công bố thông tin chi tiết về một mạng lưới tấn công giả mạo (phishing) quy mô lớn do các đối tượng tại Trung Quốc vận hành, nhắm đến khoảng 75.000 tổ chức trên toàn cầu với ước tính hơn 1 tỷ tin nhắn được phát tán.

Quy mô và bản chất của Iron Man System

Trọng tâm của chiến dịch này là Iron Man System, một nền tảng dịch vụ lừa đảo trực tuyến (phishing-as-a-service) cho phép tội phạm mạng triển khai các trang web mạo danh và thu thập dữ liệu nhạy cảm mà không cần tự phát triển công cụ. Qua quá trình phân tích trong môi trường cô lập, các chuyên gia từ Resecurity xác định đây không phải là mã độc cài cắm trực tiếp, mà là một bộ công cụ tinh vi được viết bằng ngôn ngữ Go và đóng gói dưới dạng container image.

Giao diện và mô hình thương mại

Hệ thống cung cấp bảng điều khiển hỗ trợ song ngữ tiếng Anh và tiếng Trung, giúp kẻ tấn công dễ dàng quản lý trang web giả mạo, tùy chỉnh thương hiệu và kiểm tra trạng thái bản quyền. Phiên bản 6.3.1 của phần mềm này tích hợp nhiều tính năng như đếm ngược thời hạn thuê bao và cấu hình thanh toán, hạ thấp đáng kể rào cản kỹ thuật cho những kẻ muốn thực hiện hành vi phạm pháp.

Thư viện mẫu giả mạo đa dạng

Bộ công cụ sở hữu thư viện gồm 2.360 mẫu giao diện giả mạo các tổ chức tài chính, cơ quan thuế, dịch vụ chuyển phát, nhà bán lẻ và viễn thông. Trong đó, thương hiệu DHL bị lợi dụng nhiều nhất với 37 mẫu, theo sau là DPD với 24 mẫu và Apple với 23 mẫu. Những mẫu này được bổ sung và cập nhật liên tục, với các bản ghi nhận mới nhất xuất hiện vào đầu tháng 10 năm 2026.

Lỗ hổng từ hạ tầng máy chủ và giải pháp phòng thủ

Quá trình điều tra cũng chỉ ra một máy chủ Gitea công khai chứa mã nguồn và registry của nền tảng, làm lộ 911 phiên bản image cùng 8 tài khoản người dùng. Hệ thống sử dụng cơ sở dữ liệu MariaDB và lưu trữ tương thích S3. Đáng chú ý, cơ chế kiểm tra bản quyền cục bộ của phần mềm diễn ra khoảng 20 giây một lần, tạo ra kết nối liên tục đến máy chủ xác thực. Đây được xem là điểm yếu then chốt giúp lực lượng phòng thủ có thể vô hiệu hóa hàng loạt trang web giả mạo cùng lúc. Các tổ chức được khuyến nghị tích hợp các chỉ số thỏa hiệp (IoCs) vào hệ thống SIEM và giám sát chặt chẽ lưu lượng truy cập để phòng ngừa sớm.