Mã độc backdoor mới có tên GhostContainer tấn công Microsoft Exchange được phát hiện bởi nhóm bảo mật an ninh của Kaspersky, đây là một dạng mã độc mới được xây dựng trên các công cụ mã nguồn mở.
So với các dòng mã độc trước đây thì đây là một mã độc mới rất tinh vi. Nhóm GReAT đã tình cờ phát hiện ra các dòng mã độc mới nay trong lần khắc phục sự cố tại các hệ thống chính phủ có sử dụng Microsoft Exchange. GhostContainer được cho rằng đây là một hình thức tấn công kéo dài (APT), nhắm vào các cơ quan chính phủ, các tập đoàn tài chính, bảo hiểm, các công ty tại châu Á, kể cả các công ty công nghệ lớn.
Tệp tin độc hại có tên gọi App_Web_Container_1.dll được Kaspersky thực chất là một backdoor đa chức năng, cho phép mở rộng nhiều lần tùy biến bằng cách tải thêm các mô-đun khác từ xa. Mã độc được phát triển từ các dự án mã nguồn mở và được ẩn giấu một cách tinh vi để tránh bị phát hiện bởi các phần mềm, công nghệ an ninh.
Một GhostContainer đã thâm nhập được vào hệ thống, tin tặc chiếm quyền quản lý máy chủ Exchange, qua đó có thể làm được nhiều việc mà người dùng không hề hay biết. Mã độc này được che đậy tinh vi dưới vỏ bọc một tập tin bình thường và sử dụng nhiều kỹ thuật né tránh giám sát để tránh bị phát hiện bởi các phần mềm diệt virus và qua mặt hệ thống giám sát an ninh.
Bên cạnh đó, mã độc còn đóng vai trò như một máy chủ trung gian (proxy) hay đường hầm mã hóa (tunnel), tạo ra lỗ hỏng để hacker, hay tin tặc xâm nhập vào hệ thống lớn đánh cắp thông tin nhạy cảm. Dựa theo kinh nghiệm nhiều năm, mục đích chính của việc sử dụng mã độc này là để do thám, gián điệp mạng (cyber espionage).
Ông Sergey Lozhkin, Trưởng nhóm Nghiên cứu và Phân tích Toàn cầu khu vực châu Á – Thái Bình Dương và Trung Đông – châu Phi của Kaspersky chia sẻ rằng : ” Dựa theo báo cáo từ đội ngũ, thủ phạm đứng sau đã nhận ra lỗ hỏng từ Microsoft Exchange và thủ đoạn của bọn họ thực hiện rất chuyên nghiệp. Họ đã sử dụng nhiều mã nguồn mở để thâm nhập vào hệ thống của IIS và Exchange, đồng thời phát triển mã độc dựa theo các mã nguồn này. Qua việc này chúng tôi sẽ thực hiện đánh giá và theo dõi các cuộc tấn công, nhằm hiểu rõ mục đích của việc này là gì “.
Để không phải trở thành nạn nhân của các cuộc tấn công đến từ nhóm tội phạm mạng, các chuyên gia của Kaspersky đề nghị doanh nghiệp nên chú ý sau :
- Đầu tư cho đội ngũ vận hành an ninh (SOC) kiến thức và các nguồn thông tin mới nhất. Nền tảng Kaspersky Threat Intelligence tập hợp toàn bộ dữ liệu và phân tích về các cuộc tấn công mạng đã được Kaspersky ghi lại trong suốt 20 năm qua.
- Bổ sung thêm biện pháp bảo mật ở cấp độ mạng doanh nghiệp, như Kaspersky Anti Targeted Attack Platform, giúp hệ thống có khả năng phát hiện các cuộc tấn công mạng lớn hơn.
- Nâng cao kiến thức cho đội ngũ IT, đào tạo chuyên môn để có kỹ năng đối phó các mối đe dọa mới bằng chương trình đào tạo trực tuyến của Kaspersky do nhóm GReAT xây dựng.
Hi-tech Solution là công ty mạng máy tính, viễn thông với hơn 10 năm kinh nghiệm tư vấn mạng máy tính văn phòng, mạng nội bộ, hệ thống camera an ninh giám sát chuyên hỗ trợ cho các cá nhân, doanh nghiệp trong và ngoài nước đang quan tâm đến hệ thống mạng LAN, tổng đài ảo, hệ thống camera an ninh có thể được support tốt nhất có thể.
