Ảnh minh họa hacker gõ máy tính. Ảnh: iStock.
Theo cảnh báo của công ty an ninh mạng Elastic Security Labs, chiến dịch tấn công bằng mã độc có tên SPECTRALVIPER đang nhắm vào hàng triệu máy tính hoạt động tại Việt Nam.
Dữ liệu cho thấy chiến dịch tấn công gây ra bởi REF2754, mã tham chiếu trùng khớp với nhóm tin tặc của Việt Nam có tên APT32, còn gọi là Canvas Cyclone, Cobalt Kitty và OceanLotus.
Đại diện Elastic cho biết SPECTRALVIPER là cửa hậu (backdoor) chưa từng tiết lộ trên kiến trúc x64, dùng kỹ thuật xáo trộn mã (obfuscated) với khả năng đưa dữ liệu độc hại vào hệ thống.
Trong một đợt lây nhiễm do Elastic phát hiện, công cụ ProcDump bị lợi dụng để đưa file DLL chứa DONUTLOADER được cài đặt để chèn SPECTRALVIPER và các mã độc khác vào hệ thống như P8LOADER, POWERSEAL.
SPECTRALVIPER duy trì kết nối với máy chủ do tin tặc kiểm soát. Khi nhận lệnh kích hoạt, mã độc này có thể tiếp cận để chèn dữ liệu độc hại, truy cập tài nguyên nhạy cảm, chỉnh sửa tệp và thư mục trên hệ thống.
P8LOADER được viết bằng ngôn ngữ C++, có khả năng kích hoạt gói dữ liệu độc hại từ file hoặc bộ nhớ. Trong khi đó, POWERSEAL có thể chạy lệnh trong PowerShell mà không cần sự cho phép của người dùng.
SPECTRALVIPER lây nhiễm vào máy tính thông qua lỗ hổng SMB. Theo thống kê của Bkav, 1/10 máy tính tại Việt Nam tồn tại lỗ hổng SMB, nguy cơ bị nhiễm SPECTRALVIPER.
Sơ đồ thực thi mã độc SPECTRALVIPER của tin tặc. Ảnh: Elastic Security Labs.
"Lỗ hổng SMB từng bị virus WannaCry khai thác để lây nhiễm hơn 300.000 máy tính trên thế giới trong vài giờ. Năm 2018, có tới 735.000 máy tính tại Việt Nam bị mã độc đào tiền mã hóa W32.CoinMiner tấn công bằng khai thác SMB.
Dù đã được cảnh báo nhiều lần, vẫn còn khoảng 10% máy tính tại Việt Nam tồn tại lỗ hổng này", ông Nguyễn Tiến Đạt, Tổng giám đốc Trung tâm nghiên cứu mã độc của Bkav, cho biết.
Người dùng được khuyến cáo cập nhật các bản vá bảo mật cho máy tính càng sớm càng tốt, sao lưu dữ liệu quan trọng để phòng tránh thiệt hại.
Trong khi đó, tổ chức và doanh nghiệp cần triển khai các giải pháp an ninh mạng như tường lửa, trung tâm giám sát (SOC), lập tức phát hiện bất thường nhằm ứng cứu và xử lý kịp thời.
Ngoài ra, cần liên hệ các đơn vị chuyên về an ninh mạng để được hỗ trợ rà soát toàn bộ hệ thống gồm máy chủ, máy trạm và nền tảng đám mây nhằm loại bỏ triệt để mã độc.
