Một kẻ đe dọa có động cơ tài chính đã được quan sát thấy đã triển khai một rootkit trước đây chưa được biết đến nhằm vào các hệ thống Oracle Solaris với mục tiêu xâm phạm mạng chuyển mạch Máy rút tiền tự động (ATM) và thực hiện rút tiền trái phép tại các ngân hàng khác nhau bằng thẻ gian lận.
Công ty ứng phó sự cố và tình báo mối đe dọa Mandiant đang theo dõi cụm này với biệt danh UNC2891, với một số chiến thuật, kỹ thuật và thủ tục của nhóm này trùng lặp với cụm khác có tên UNC1945 .
Các nhà nghiên cứu Mandiant cho biết trong một báo cáo mới được công bố trong tuần này, các cuộc xâm nhập do kẻ này dàn dựng liên quan đến “mức độ cao của OPSEC và tận dụng cả phần mềm độc hại, tiện ích và tập lệnh công khai và riêng tư để xóa bằng chứng và cản trở nỗ lực phản ứng”.
Đáng quan tâm hơn, các cuộc tấn công kéo dài vài năm trong một số trường hợp, trong suốt thời gian mà tác nhân vẫn không bị phát hiện bằng cách tận dụng bộ rootkit có tên là CAKETAP, được thiết kế để che giấu các kết nối mạng, quy trình và tệp.
Mandiant, công ty có khả năng khôi phục dữ liệu pháp y trong bộ nhớ từ một trong những máy chủ chuyển mạch ATM bị nạn, lưu ý rằng một biến thể của bộ rootkit nhân đi kèm với các tính năng chuyên biệt cho phép nó đánh chặn thông báo xác minh thẻ và mã PIN và sử dụng dữ liệu bị đánh cắp để thực hiện hành vi gian lận tiền mặt. rút tiền từ các thiết bị đầu cuối ATM.
Cũng được đưa vào sử dụng là hai backdoor được gọi là SLAPSTICK và TINYSHELL, cả hai đều được gán cho UNC1945 và được sử dụng để truy cập từ xa liên tục vào các hệ thống quan trọng cũng như thực thi shell và truyền tệp qua rlogin, telnet hoặc SSH.
“Do sự quen thuộc của nhóm với các hệ thống dựa trên Unix và Linux, UNC2891 thường đặt tên và định cấu hình các cửa hậu TINYSHELL của họ bằng các giá trị giả mạo là các dịch vụ hợp pháp mà các nhà điều tra có thể bỏ qua, chẳng hạn như systemd (SYSTEMD), daemon bộ đệm tên dịch vụ (NCSD) và Linux tại daemon (ATD), “các nhà nghiên cứu chỉ ra.
Ngoài ra, các chuỗi tấn công đã sử dụng nhiều phần mềm độc hại và các tiện ích công khai, bao gồm –
- STEELHOUND – Một biến thể của ống nhỏ giọt trong bộ nhớ STEELCORGI được sử dụng để giải mã tải trọng được nhúng và mã hóa các tệp nhị phân mới
- WINGHOOK – Một keylogger cho các hệ điều hành dựa trên Linux và Unix để ghi lại dữ liệu ở định dạng được mã hóa
- WINGCRACK – Một tiện ích được sử dụng để phân tích cú pháp nội dung được mã hóa được tạo bởi WINGHOOK
- WIPERIGHT – Một tiện ích ELF xóa các mục nhật ký liên quan đến một người dùng cụ thể trên các hệ thống dựa trên Linux và Unix
- MIGLOGCLEANER – Một tiện ích ELF xóa sạch nhật ký hoặc xóa một số chuỗi nhất định khỏi nhật ký trên các hệ thống dựa trên Linux và Unix
Các nhà nghiên cứu cho biết: “[UNC2891] sử dụng kỹ năng và kinh nghiệm của họ để tận dụng tối đa khả năng hiển thị và các biện pháp bảo mật giảm thường có trong môi trường Unix và Linux”. “Mặc dù một số điểm trùng lặp giữa UNC2891 và UNC1945 là đáng chú ý, nhưng vẫn chưa đủ kết luận để quy các vụ xâm nhập vào một nhóm mối đe dọa duy nhất.”
CÔNG TY TNHH CÔNG NGHỆ VNBACK
Website: https://vnback.com
Fanpage: https://www.facebook.com/vnback.technology/
Hotline/Zalo: 0973.608.148
Địa chỉ văn phòng: Số 6, Ngõ 34 Đường Mỹ Đình, Phường Mỹ Đình 2, Quận Nam Từ Liêm, Thành phố Hà Nội
