Cảnh báo 2 cuộc tấn công mạng có chủ đích nhắm tới Việt Nam

Theo NCSC, chiến dịch này có thể liên quan đến nhóm APT 41, đã ảnh hưởng đến các tổ chức chính phủ và quân sự trong khu vực Châu Á – Thái Bình Dương, bao gồm cả Việt Nam.

Qua phân tích, mã độc trong chiến dịch này được xác định là CobaltStrike, với các dấu hiệu kỹ thuật và hạ tầng tương tự nhóm APT 41. Chiến dịch đã gây ra những tác động ảnh hưởng đến các tổ chức chính phủ tại Đài Loan (Trung Quốc) và các đơn vị quân sự ở Philippines.

Điều này cho thấy quy mô và tính chất nguy hiểm của cuộc tấn công, đòi hỏi các biện pháp phòng chống nâng cao từ các cơ quan an ninh mạng trong khu vực.

Các đơn vị cần tăng cường hệ thống bảo mật trước chiến dịch tấn công mạng

Cùng với cảnh báo trên, NCSC cũng phát hiện và ghi nhận các thông tin liên quan đến chiến dịch tấn công mạng được thực hiện bởi nhóm tấn công APT StormBamboo.

Chiến dịch tấn công có chủ đích này nhằm vào các doanh nghiệp cung cấp dịch vụ mạng Internet, gây ảnh hưởng tới dịch vụ DNS của doanh nghiệp, để thực hiện hình thức tấn công DNS poisoning (giả mạo DNS để điều hướng lưu lượng Internet từ máy chủ hợp pháp sang máy chủ giả mạo). Mục đích của nhóm nhằm triển khai phần mềm độc hại trên các hệ thống macOS và Windows của người dùng, qua đó chiếm quyền kiểm soát và đánh cắp thông tin quan trọng.

Nhóm APT StormBamboo (hay còn gọi là Evasive Panda) đã khai thác thành công lỗ hổng an toàn thông tin trong cơ chế cập nhật phần mềm để tấn công hệ thống thông qua các ISP. Vào giữa năm 2023, đã ghi nhận và phát hiện nhiều hệ thống bị nhiễm mã độc do nhóm này tấn công.

Các mã độc này được phát tán thông qua việc thay đổi phản hồi DNS để hướng yêu cầu cập nhật phần mềm tới máy chủ độc hại, từ đó tải về mã độc như: MACMA và POCOSTICK (hay còn gọi là MgBot).

Trong quá trình tấn công, StormBamboo đã tận dụng việc cấu hình DNS của các ISP để thực hiện DNS poisoning. Điều này cho phép nhóm điều hướng yêu cầu cập nhật phần mềm hợp pháp tới máy chủ của họ, nơi chứa file mã độc. Các ứng dụng bị ảnh hưởng sẽ tải về tập tin giả mạo chứa mã độc mà không cần sự can thiệp của người dùng.

Tiện ích này được sử dụng để trích xuất cookies và dữ liệu từ trình duyệt người dùng, sau đó mã hóa và gửi đến tài khoản Google Drive của kẻ tấn công.

Nhằm đảm bảo an toàn thông tin cho hệ thống thông tin, Cục An toàn thông tin khuyến nghị các đơn vị kiểm tra, rà soát hệ thống thông tin đang sử dụng có khả năng bị ảnh hưởng bởi chiến dịch tấn công trên; Chủ động theo dõi các thông tin liên quan đến chiến dịch nhằm thực hiện ngăn chặn nhằm tránh nguy cơ bị tấn công;

Tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu bị khai thác, tấn công mạng; thường xuyên theo dõi kênh cảnh báo của các cơ quan chức năng và các tổ chức lớn về an toàn thông tin để phát hiện kịp thời các nguy cơ tấn công mạng.

Bảo Linh