Tổng quan về Imperial Kitten
Imperial Kitten còn được gọi là Tortoiseshell, TA456, Crimson Sandstorm và Yellow Liderc, đây là nhóm tin tặc có liên quan đến Lực lượng Vệ binh Cách mạng Hồi giáo (IRGC) và đã hoạt động ít nhất từ năm 2017.
Các nhà nghiên cứu cho biết, Imperial Kitten có khả năng thực hiện các nhiệm vụ tình báo chiến lược của Chính phủ Iran liên quan đến các hoạt động của IRGC. Trong quá khứ, nhóm tin tặc này đã thực hiện các cuộc tấn công mạng nhằm vào các tổ chức trong nhiều lĩnh vực khác nhau, bao gồm , công nghệ, viễn thông, hàng hải, năng lượng, tư vấn và các dịch vụ chuyên nghiệp. Các cuộc tấn công gần đây được phát hiện bởi các nhà nghiên cứu tại công ty an ninh mạng CrowdStrike. Họ đã đưa ra nhận định dựa trên sự trùng lặp về cơ sở hạ tầng với các chiến dịch trước đây, các chiến thuật, kỹ thuật và quy trình (TTP) được quan sát, việc sử dụng phần mềm độc hại IMAPLoader.
Cuộc tấn công của Imperial Kitten
Các tin tặc đã cố gắng xâm phạm nạn nhân dựa trên lợi ích chung của họ bằng cách đánh lừa các nạn nhân đến một trang web do tin tặc kiểm soát. Cho đến nay, các tên miền của Imperial Kitten đã đóng vai trò là vị trí chuyển hướng từ các trang web bị xâm nhập (chủ yếu của ).
Các nhà nghiên cứu xác định được phần mềm độc hại đang theo dõi có tên IMAPLoader, được nhóm Imperial Kitten sử dụng làm payload cuối cùng cho các hoạt động tấn công. IMAPLoader được phân phối dưới dạng thư viện liên kết động (DLL) và được tải thông qua việc chèn AppDomainManager. Nó sử dụng email để ra lệnh và kiểm soát và được cấu hình thông qua các địa chỉ được nhúng trong phần mềm độc hại. Ngoài ra, IMAPLoader cũng sử dụng tệp đính kèm trong email để nhận nhiệm vụ và gửi phản hồi.
Một dòng phần mềm độc hại khác được Imperial Kitten triển khai trong chiến dịch mới này có tên là StandardKeyboard. Điều này có nhiều đặc điểm IMAPLoader, với mục đích chính là thực thi các lệnh được mã hóa Base64 nhận được trong nội dung email. Cụ thể, trong một báo cáo được công bố đầu tuần này, các nhà nghiên cứu nói rằng Imperial Kitten đã phát động các cuộc tấn công lừa đảo vào tháng 10/2023, bằng cách sử dụng chủ đề liên quan đến tuyển dụng việc làm trong các email có tệp đính kèm Microsoft Excel độc hại.
Khi mở tài liệu, mã macro độc hại bên trong sẽ trích xuất hai tệp batch thông qua sửa đổi registry và chạy payload để truy cập Reverse shell. Sau đó, tin tặc di chuyển ngang trên mạng bằng cách sử dụng các công cụ như PAExec để thực thi các quy trình từ xa và NetScan để trinh sát mạng. Ngoài ra, chúng còn sử dụng ProcDump để lấy thông tin xác thực từ bộ nhớ hệ thống.
Việc giao tiếp với máy chủ C2 được thực hiện thông qua phần mềm độc hại tùy chỉnh IMAPLoader và StandardKeyboard, cả hai đều dựa vào email để trao đổi thông tin. Các nhà nghiên cứu cho biết StandardKeyboard vẫn tồn tại trên máy bị xâm nhập dưới dạng Keyboard Service Windows và thực thi các lệnh được mã hóa base64 nhận được từ máy chủ C2. CrowdStrike cho biết rằng các cuộc tấn công mạng này xảy ra vào tháng 10/2023 và nhắm vào các tổ chức của Israel trong bối cảnh Israel - Hamas đang diễn biến hết sức phức tạp.
Các chiến dịch trước đây
Trong hoạt động trước đó, Imperial Kitten đã thực hiện các cuộc tấn công Watering Hole bằng cách xâm phạm một số trang web của Israel bằng mã JavaScript và nhằm thu thập thông tin về khách truy cập, chẳng hạn như dữ liệu trình duyệt và địa chỉ IP, lập hồ sơ các mục tiêu tiềm năng.
Trong các trường hợp khác, Crowdstrike đã chứng kiến tin tặc xâm nhập hệ thống mạng trực tiếp, tận dụng mã khai thác công khai, sử dụng thông tin xác thực VPN bị đánh cắp, thực hiện chèn lệnh SQL hoặc thông qua email được gửi đến tổ chức mục tiêu.
Hồng Đạt
(Tổng hợp)
10:00 | 07/11/2023
09:00 | 09/01/2024
14:00 | 08/11/2023
16:00 | 01/12/2023
09:00 | 27/10/2023
10:00 | 29/03/2024
Một dịch vụ lừa đảo mới có tên là Darcula sử dụng 20.000 tên miền để giả mạo thương hiệu và đánh cắp thông tin xác thực từ người dùng Android và iPhone tại hơn 100 quốc gia thông qua iMessage.
10:00 | 28/03/2024
Các nhà nghiên cứu phát hiện nhóm ransomware ShadowSyndicate đang quét các máy chủ tồn tại lỗ hổng directory traversal định danh CVE-2024-23334, hay còn gọi là lỗ hổng path traversal trong thư viện Aiohttp của Python.
09:00 | 29/01/2024
Các nhà nghiên cứu đến từ hãng bảo mật Fortinet (Mỹ) phát hiện một biến thể mới của Trojan truy cập từ xa có tên Bandook đang được phân phối thông qua các cuộc tấn công lừa đảo nhằm mục đích xâm nhập vào các máy tính Windows. Bài viết sẽ phân tích hành vi của Bandook, cung cấp thông tin chi tiết về các thành phần được sửa đổi trong biến thể mới và giải mã một số ví dụ về cơ chế giao tiếp máy chủ ra lệnh và điều khiển (C2) của phần mềm độc hại này.
15:00 | 26/01/2024
Các nhà nghiên cứu bảo mật của công ty an ninh mạng Akamai (Mỹ) phát hiện ra một mạng botnet mới dựa trên Mirai có tên là NoaBot, hiện đang được các tác nhân đe dọa sử dụng như một phần của chiến dịch khai thác tiền điện tử đã hoạt động kể từ đầu năm 2023. Bài viết này sẽ phân tích về đặc điểm của NoaBot và công cụ khai thác tiền điện tử được sử dụng trong chiến dịch tấn công mạng botnet này.
Lợi dụng lỗ hổng CVE-2024-27956 (có điểm 9,9) trong plugin WP Automatic của WordPress, tin tặc có thể tấn công hơn 30.000 trang web bằng cách tạo tài khoản người dùng với đặc quyền quản trị và cài đặt backdoor để truy cập lâu dài.
10:00 | 13/05/2024