Mã độc mới tấn công Windows chuyên dụng cho chính phủ tại châu Á

Nhóm GReAT thuộc hãng bảo mật Kaspersky vừa phát hiện mã độc NetamLoader lợi dụng phần mềm hợp pháp để tấn công phiên bản Windows 10 chuyên dụng của một cơ quan chính phủ tại châu Á.

Báo cáo được Nhóm Nghiên cứu và Phân tích Toàn cầu (GReAT) của Kaspersky công bố tại Hội nghị Thượng đỉnh Phân tích bảo mật diễn ra ở Bali, Indonesia.

Mục tiêu của đợt tấn công là phiên bản hệ điều hành Windows 10 được tùy biến riêng cho các cơ quan chính phủ tại một quốc gia châu Á.

Đáng chú ý, kẻ tấn công đã phát triển bộ khung mã độc chưa từng được ghi nhận trước đây mang tên NetamLoader, có khả năng kích hoạt và tải thêm mã độc bổ sung mà không bị hệ thống phòng thủ phát hiện.

Hiện danh tính nhóm tin tặc đứng sau vụ việc vẫn chưa được xác định.

Theo Kaspersky, mã độc mới nhằm vào phiên bản hệ điều hành Windows 10 được tùy biến riêng cho các cơ quan chính phủ tại một quốc gia châu Á. Ảnh: Kaspersky

Quá trình điều tra cho thấy kẻ xấu đã can thiệp vào các tệp hỗ trợ để "mượn tay" các chương trình hợp pháp tải xuống lệnh độc hại.

Trong số các tệp tin trong thư mục cập nhật Windows của nạn nhân, nhiều thành phần có chữ ký số hợp lệ của Microsoft và công cụ quản trị bản vá của bên thứ ba (Patch My PC).

Dù vậy, dữ liệu điều tra xác nhận hệ thống phân phối của Patch My PC không bị xâm phạm; kẻ xấu chủ yếu lợi dụng kẽ hở trong quy trình phân phối hoặc cập nhật để cài cắm tệp nén độc hại vào máy mục tiêu.

Mã độc NetamLoader giải nén dữ liệu qua nhiều lớp mã hóa bảo mật (Encryption), nén dữ liệu (Compression) và mã hóa định dạng (Encoding), sau đó nhúng trực tiếp mã thực thi vào các tiến trình Windows hợp pháp để xóa dấu vết.

Bộ khung mã độc này còn có khả năng tự động tắt tính năng quét diệt virus của hệ thống, đồng thời xóa bỏ các tệp dữ liệu nhật ký (log) để cản trở quá trình điều tra ngược.

Để né tránh các công cụ giám sát mạng ngắn hạn, NetamLoader áp dụng cơ chế trì hoãn tinh vi: chờ từ 20 đến 40 phút trước khi kết nối lần đầu về máy chủ điều khiển (C&C Server).

Nếu máy chủ không phản hồi, mã độc sẽ tạm dừng hoạt động từ 22 đến 28 giờ mới thử kết nối lại, khiến lưu lượng mạng phát sinh rất ít tín hiệu bất thường.

Ông Sergey Lozhkin, Giám đốc Trung tâm Nghiên cứu Kaspersky GReAT khu vực APAC & META, nhận định: "Tự chủ công nghệ đang là ưu tiên hàng đầu của chính phủ nhiều nước, và phát triển hệ điều hành riêng thường là bước đi đầu tiên. Tự vận hành nền tảng giúp tăng quyền kiểm soát, nhưng cũng đặt ra bài toán bảo vệ toàn bộ hệ sinh thái xung quanh, từ kênh cập nhật đến công cụ phụ trợ".

Theo chuyên gia, các đội ngũ an ninh mạng không thể chỉ kiểm tra tính hợp pháp của từng chương trình riêng lẻ, mà phải đánh giá mối tương tác tổng thể giữa các phần mềm.

Đối với các cơ quan công quyền và tổ chức chính phủ, Kaspersky khuyến cáo cần siết chặt giám sát thư mục chứa các bản cập nhật Windows, kiểm soát chặt các công cụ quản lý của bên thứ ba và áp dụng giải pháp lưu trữ nhật ký hệ thống tập trung tách biệt khỏi máy tính đầu cuối để ngăn chặn nguy cơ tin tặc xóa dấu vết xâm nhập.