Nguyễn Tiến Đạt
Intern Writer
Microsoft vừa công bố phân tích về GigaWiper, một backdoor Windows có khả năng phá hoại mạnh, kết hợp nhiều công cụ tấn công trong cùng một mã độc. Không chỉ đánh cắp thông tin và điều khiển từ xa, GigaWiper còn có thể xóa sạch dữ liệu hoặc mã hóa tệp theo kiểu ransomware nhưng không thể khôi phục.
Theo Microsoft, GigaWiper được viết bằng ngôn ngữ Go và hoạt động như một nền tảng đa chức năng. Kẻ tấn công có thể lựa chọn nhiều lệnh khác nhau để ghi đè toàn bộ ổ cứng, xóa phân vùng, ghi đè ổ đĩa Windows hoặc mã hóa tệp với phần mở rộng .candy mà không lưu khóa giải mã. Điều này đồng nghĩa dữ liệu sẽ bị phá hủy hoàn toàn thay vì nhằm mục đích đòi tiền chuộc.
Ngoài khả năng phá hoại, GigaWiper còn tích hợp nhiều tính năng gián điệp như chụp ảnh màn hình, ghi hình màn hình, mở phiên điều khiển VNC ẩn để thao tác từ xa, thu thập thông tin hệ thống, chỉnh sửa Registry và xóa nhật ký sự kiện Windows nhằm che giấu dấu vết.
Để duy trì quyền truy cập, mã độc giả mạo tiến trình OneDrive, tạo tác vụ theo lịch mang tên OneDrive Update chạy mỗi phút và sử dụng các dịch vụ hợp pháp như RabbitMQ, Redis và MinIO để liên lạc với máy chủ điều khiển, giúp lưu lượng mạng khó bị phát hiện.
Microsoft cho biết GigaWiper có nhiều điểm tương đồng với mẫu mã độc BLUERABBIT mà Binary Defense công bố trước đó. Hai báo cáo sử dụng cùng bộ hash và máy chủ điều khiển, trong khi Binary Defense, dẫn nguồn từ Google Threat Intelligence Group, cho rằng chiến dịch này có khả năng liên quan đến một nhóm tin tặc có liên hệ với Iran, nhắm mục tiêu vào các tổ chức tại Israel.
Các chuyên gia khuyến nghị doanh nghiệp kích hoạt Tamper Protection, bật Cloud-delivered Protection, triển khai giải pháp EDR ở chế độ chặn, giám sát lưu lượng RabbitMQ và Redis bất thường từ máy trạm, đồng thời duy trì các bản sao lưu ngoại tuyến để giảm thiểu thiệt hại nếu bị tấn công.
Theo Microsoft, GigaWiper được viết bằng ngôn ngữ Go và hoạt động như một nền tảng đa chức năng. Kẻ tấn công có thể lựa chọn nhiều lệnh khác nhau để ghi đè toàn bộ ổ cứng, xóa phân vùng, ghi đè ổ đĩa Windows hoặc mã hóa tệp với phần mở rộng .candy mà không lưu khóa giải mã. Điều này đồng nghĩa dữ liệu sẽ bị phá hủy hoàn toàn thay vì nhằm mục đích đòi tiền chuộc.
Ngoài khả năng phá hoại, GigaWiper còn tích hợp nhiều tính năng gián điệp như chụp ảnh màn hình, ghi hình màn hình, mở phiên điều khiển VNC ẩn để thao tác từ xa, thu thập thông tin hệ thống, chỉnh sửa Registry và xóa nhật ký sự kiện Windows nhằm che giấu dấu vết.
Để duy trì quyền truy cập, mã độc giả mạo tiến trình OneDrive, tạo tác vụ theo lịch mang tên OneDrive Update chạy mỗi phút và sử dụng các dịch vụ hợp pháp như RabbitMQ, Redis và MinIO để liên lạc với máy chủ điều khiển, giúp lưu lượng mạng khó bị phát hiện.
Microsoft cho biết GigaWiper có nhiều điểm tương đồng với mẫu mã độc BLUERABBIT mà Binary Defense công bố trước đó. Hai báo cáo sử dụng cùng bộ hash và máy chủ điều khiển, trong khi Binary Defense, dẫn nguồn từ Google Threat Intelligence Group, cho rằng chiến dịch này có khả năng liên quan đến một nhóm tin tặc có liên hệ với Iran, nhắm mục tiêu vào các tổ chức tại Israel.
Các chuyên gia khuyến nghị doanh nghiệp kích hoạt Tamper Protection, bật Cloud-delivered Protection, triển khai giải pháp EDR ở chế độ chặn, giám sát lưu lượng RabbitMQ và Redis bất thường từ máy trạm, đồng thời duy trì các bản sao lưu ngoại tuyến để giảm thiểu thiệt hại nếu bị tấn công.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
