Tin tặc nhắm mục tiêu tới các thiết bị Linux và IoT để phục vụ việc đào tiền số

09:00 | 13/07/2023 | HACKER / MALWARE

Vừa qua, Microsoft đã đưa ra các thông tin rằng các nhóm tin tặc đang thực hiện các chiến dịch tấn công mạng nhắm tới các thiết bị chạy hệ điều hành Linux và IoT để đánh cắp tài nguyên phần cứng các thiết bị này nhằm phục vụ cho các hoạt động đào tiền số.

Tin tặc nhắm mục tiêu tới các thiết bị Linux và IoT để phục vụ việc đào tiền số

Theo các chuyên gia bảo mật tại Microsoft, chiến dịch tấn công được tin tặc thực hiện bằng việc sử dụng backdoor trên các thiết bị để triển khai mã độc và IRC bot để đánh cắp, chiếm đoạt tài nguyên thiết bị. Tin tặc bắt đầu bằng chuỗi tấn công Brute-force các thông tin xác thực để xâm nhậm vào các thiết bị Linux và IoT có cấu hình sai hoặc để cấu hình xác thực yếu theo mặc định ban đầu của nhà sản xuất.

Sau khi xâm nhập vào thiết bị, một phiên bản OpenSSH có chứa Trojan từ một máy chủ ở xa sẽ được tải về và cài đặt trên thiết bị mục tiêu nhằm chiếm đoạn các thông tin xác thực SSH, giúp tin tặc di chuyển được bên trong mạng và che giấu các kết nối SSH bất hợp pháp tới các thiết bị bị xâm hại. Để duy trì tấn công và che giấu các hành động xâm phạm, tin tặc còn được cho là đã cài đặt thêm các rootkit mã nguồn mở như Diamorphine và Reptile (có mã nguồn trên Github) để xóa các bản ghi và nhật ký hệ thống trên thiết bị mục tiêu (Hình 1).

Hình 1. Chuỗi tấn công đào tiền số trên thiết bị Linux hoặc IoT của tin tặc

Để đảm bảo quyền truy cập SSH liên tục vào thiết bị, tin tặc tiến hành chèn thêm hai khóa công khai vào trong tập tin cấu hình khóa xác thực SSH của tất cả người dùng trên hệ thống thiết bị mục tiêu. Sau khi xâm nhập vào thiết bị, các mã độc chạy tiến trình đào tiền số trên thiết bị, thậm chí chúng còn ưu tiên chạy các tiến trình đào do mình tạo ra và loại bỏ các tiến trình đào tiền số khác đã cài bởi nhóm tin tặc khác trước đó nếu có.

Hơn nữa, tin tặc còn triển khai thêm một phiên bản chỉnh sửa của mã độc "ZiggyStarTux" nhằm biến thiết bị thành một IRC bot có khả năng nhận lệnh từ xa bởi máy chủ được điều khiển bởi tin tặc (C2 Server – Máy chủ IRC được điều khiển bởi tin tặc) để thực hiện tấn công từ chối dịch vụ phân tán. Mã độc này được chỉnh sửa từ mã độc botnet khác có tên là "Kaiten" (hay còn gọi là "Tsunami").

ZiggyStartux được đăng ký chạy như một dịch vụ hệ thống trên thiết bị mục tiêu và được cấu hình dịch vụ tại tệp tin /etc/systemd/system/network-check.service. Sự giao tiếp giữa ZiggyStartux Bots tới máy chủ C2 được che giấu và duy trì thông qua việc sử dụng tên miền phụ của một tổ chức tài chính Đông Nam Á hợp pháp.

Microsoft quy kết chiến dịch tấn công này cho người dùng có tên "Asterzeu" trên diễn đàn tấn công mạng là cardingforum.cx. Người dùng này đã cung cấp nhiều công cụ tấn công để bán đối với các nền tảng linux, bao gồm cả backdoor SSH.

Các công bố về chiến dịch tấn công này của Microsoft diễn ra hai ngày sau khi một báo cáo về chiến dịch tấn công tương tự đã được xuất bản bởi Trung tâm ứng phó bảo mật khẩn cấp Ahnlab. Chiến dịch tấn công bao gồm mã độc Tsunami - một tên khác cho Kaiten hay một dạng DDoS Bot được cài đặt trên các máy chủ Linux SSH được cấu hình yếu. Theo phân tích của các chuyên gia an ninh mạng Microsoft, Tsunami được sử dụng để cài đặt nhiều công cụ độc hại và đào tiền điện tử khác nhau, như shellbot, xmrig coinminer và log Cleaner.

Đinh Văn Hùng

(Học viện Kỹ thuật mật mã)

‹ › ×

Tin liên quan

Mã độc tống tiền IceFire mã hóa trên cả Linux và Windows

11:00 | 21/03/2023

Một chủng mã độc tống tiền dựa trên Windows được biết đến trước đây có tên là IceFire hiện đang mở rộng và nhắm mục tiêu trên các hệ thống Linux bằng một bộ mã hóa chuyên dụng mới.

Lợi ích của sự hội tụ IT/OT trong lĩnh vực IOT công nghiệp

15:00 | 04/08/2023

Trong bối cảnh sự phát triển mạnh mẽ của các công nghệ ngày càng được ứng dụng trong hoạt động sản xuất, cùng với ngành công nghiệp dần được chuyển sang tự động hóa, công nghệ thông tin (Information Technology - IT) và công nghệ vận hành (Operational Technology - OT) đang có những bước chuyển mình tích cực. Tuy nhiên, dường như các doanh nghiệp mới chỉ tập trung phát triển một trong hai nền tảng trên, mà chưa chú trọng đến kết hợp, hội tụ cùng một môi trường sản xuất công nghiệp hiện đại. Bài báo sẽ đưa ra các lợi ích của sự hội tụ của hai hệ thống IT và OT.

Cảnh báo về mã độc Chaos lây nhiễm trên các hệ thống Windows và Linux để tấn công DDoS

14:00 | 17/10/2022

Các nhà nghiên cứu tại Bộ phận tình báo về mối đe dọa Black Lotus Labs của hãng công nghệ Lumen (Hoa Kỳ) vừa phát hiện một dòng botnet đa nền tảng mới dựa trên Go có tên gọi là Chaos. Mã độc này nhắm mục tiêu tới các hệ thống trên Windows, Linux và các bộ định tuyến cho văn phòng nhỏ, văn phòng gia đình (SOHO), máy chủ doanh nghiệp để sử dụng cho mục đích khai thác tiền điện tử và khởi động các cuộc tấn công DDoS.

Đột phá mới từ sự kết hợp Blockchain với IoT và AI

10:00 | 26/05/2023

Trong thời đại số, sự phát triển của các công nghệ như trí tuệ nhân tạo (Artificial Intelligence - AI), Metaverse, Web 3.0, tiền điện tử (Stablecoin), mạng xã hội, truyền thông 6G, Big data, Blockchain và Internet of Things (IoT) đang thúc đẩy sự thay đổi toàn diện về cách thức quản lý, trao đổi và sử dụng thông tin. Những công nghệ này đang trở thành những công cụ quan trọng để tạo ra những hệ thống thông tin an toàn, thông minh, hiệu quả và đáng tin cậy trong nhiều lĩnh vực. Trong giới hạn nội dung bài báo này, tác giả sẽ giới thiệu về xu hướng kết hợp công nghệ Blockchain với công nghệ IoT và AI trong tương lai gần để tạo ra những giải pháp, sản phẩm khoa học công nghệ mới cho thế giới kỹ thuật số.

Hoạt động rửa tiền sử dụng tiền mã hóa: Phương thức, thủ đoạn và biện pháp phòng chống (phần 2)

15:00 | 20/12/2023

Trong phần I bài viết đã thông tin tới độc giả các khái niệm, phương thức, thủ đoạn của hoạt động rửa tiền bằng tiền mã hóa. Phần II tiếp theo của bài báo sẽ tập trung đề xuất các giải pháp phòng, chống rửa tiền sử dụng tiền mã hóa tại Việt Nam.

Tin cùng chuyên mục

Vén màn chiến dịch gián điệp mạng LightSpy

11:00 | 26/04/2024

Các nhà nghiên cứu của công ty an ninh mạng BlackBerry đã phát hiện một chiến dịch gián điệp mạng nhắm vào người dùng iPhone ở khu vực Nam Á, với mục đích phân phối payload của phần mềm gián điệp có tên là LightSpy. BlackBerry cho biết chiến dịch này có khả năng cho thấy sự tập trung mới của các tác nhân đe dọa vào các mục tiêu chính trị và căng thẳng trong khu vực.

Tin tặc có thể sử dụng AI tạo sinh để thao túng các cuộc trò chuyện trực tiếp

09:00 | 09/04/2024

Các nhà nghiên cứu bảo mật của IBM đã chứng minh rằng tin tặc có thể sử dụng trí tuệ nhân tạo (AI) tạo sinh và công nghệ deepfake âm thanh để chiếm quyền điều khiển và thao túng các cuộc hội thoại trực tiếp.

Tin tặc Mustang Panda nhắm mục tiêu vào các quốc gia châu Á với biến thể mới của PlugX

09:00 | 06/03/2024

Tác nhân đe dọa liên quan đến Trung Quốc có tên là Mustang Panda đã nhắm mục tiêu vào nhiều quốc gia châu Á bằng cách sử dụng một biến thể mới của backdoor PlugX có tên là DOPLUGS.

Giải mã mạng botnet NoaBot nhắm mục tiêu khai thác tiền điện tử

15:00 | 26/01/2024

Các nhà nghiên cứu bảo mật của công ty an ninh mạng Akamai (Mỹ) phát hiện ra một mạng botnet mới dựa trên Mirai có tên là NoaBot, hiện đang được các tác nhân đe dọa sử dụng như một phần của chiến dịch khai thác tiền điện tử đã hoạt động kể từ đầu năm 2023. Bài viết này sẽ phân tích về đặc điểm của NoaBot và công cụ khai thác tiền điện tử được sử dụng trong chiến dịch tấn công mạng botnet này.