Elastic Security Labs cảnh báo, một chiến dịch tấn công bằng mã độc có tên SPECTRALVIPER đang nhắm vào hàng triệu máy tính hoạt động tại Việt Nam.
SPECTRALVIPER lây nhiễm vào máy tính thông qua lỗ hổng SMB
Dữ liệu từ Elastic cho thấy chiến dịch tấn công gây ra bởi REF2754. Có mã tham chiếu trùng khớp với nhóm tin tặc của Việt Nam có tên APT32. Biệt đội này còn được gọi là Canvas Cyclone, Cobalt Kitty và OceanLotus.
Đại diện Elastic cho biết SPECTRALVIPER là cửa hậu (backdoor) chưa từng tiết lộ trên kiến trúc x64. Chúng dùng kỹ thuật xáo trộn mã (obfuscated) với khả năng đưa dữ liệu độc hại vào hệ thống. Công cụ ProcDump bị lợi dụng để đưa file DLL chứa DONUTLOADER. Loại này được cài đặt để chèn SPECTRALVIPER và các mã độc khác vào hệ thống như P8LOADER, POWERSEAL.
P8LOADER được viết bằng ngôn ngữ C++, có khả năng kích hoạt gói dữ liệu độc hại từ file hoặc bộ nhớ. Còn POWERSEAL có thể chạy lệnh trong PowerShell mà không cần sự cho phép của người dùng.
SPECTRALVIPER duy trì kết nối với máy chủ do tin tặc kiểm soát. Khi nhận lệnh kích hoạt, mã độc này có thể đe dọa đa chiều đến máy chủ và máy khách. Như tiếp cận để chèn dữ liệu độc hại, truy cập tài nguyên nhạy cảm, chỉnh sửa tệp và thư mục trên hệ thống.
SPECTRALVIPER lây nhiễm vào máy tính thông qua lỗ hổng SMB. Có 1/10 máy tính tại Việt Nam tồn tại lỗ hổng SMB và nguy cơ bị nhiễm SPECTRALVIPER. Lỗ hổng SMB từng bị virus WannaCry khai thác để lây nhiễm hơn 300.000 máy tính trên thế giới trong vài giờ. Có 735.000 máy tính tại Việt Nam bị mã độc đào tiền mã hóa W32.CoinMiner tấn công bằng SMB trong năm 2018.
Làm sao để tránh được thiệt hại lên mức tối đa
Người dùng được khuyến cáo cập nhật các bản vá bảo mật cho máy tính càng sớm càng tốt. Bên cạnh đó là việc sao lưu dữ liệu quan trọng để phòng tránh thiệt hại. Trong các tổ chức và doanh nghiệp cần triển khai các giải pháp an ninh mạng. Như tường lửa, trung tâm giám sát (SOC) để kịp thời phát hiện bất thường và ứng cứu nhanh chóng.
Ngoài ra, cần liên hệ các đơn vị chuyên về an ninh mạng để được hỗ trợ rà soát toàn bộ hệ thống. Cần chú ý đến máy chủ, máy trạm và nền tảng đám mây nhằm loại bỏ triệt để mã độc.
Tạm kết
Hãy theo dõi trang tin tức Hoàng Hà Mobile để cập nhật những thông tin công nghệ mới nhất nhé. Và đừng quên truy cập kênh YouTube Hoàng Hà Channel để cập nhật nhiều hơn những tin tức công nghệ nóng hổi.
Xem thêm: Đập hộp Tecno Camon 20 & Tecno Camon 20 Premier 5G cực HOT
