Backdoor được cài vào một sản phẩm phần mềm quản lý máy chủ được sử dụng bởi hàng trăm doanh nghiệp

Backdoor vào máy chủ là nguy hiểm ghê gớm

Kaspersky Lab đã thông báo cho NetSarang, nhà cung cấp phần mềm bị lây nhiễm và đã kịp thời gỡ bỏ mã độc và phát hành bản cập nhật cho khách hàng.

Được biết ShadowPad là một trong những cuộc tấn công chuỗi cung ứng lớn nhất được biết đến. Nếu không được phát hiện và vá nhanh chóng, nó có khả năng đã nhắm mục tiêu vào hàng trăm tổ chức trên toàn thế giới.

Việc xuất phát từ tháng 7-2017, nhóm nghiên cứu và phân tích toàn cầu của Kaspersky Lab (GReAT) đã được tiếp cận bởi một trong những đối tác - một tổ chức tài chính.

Các chuyên gia bảo mật của tổ chức này đã lo lắng về các yêu cầu DNS (tên miền máy chủ) đáng ngờ bắt nguồn từ một hệ thống liên quan đến việc xử lý các giao dịch tài chính.

Các cuộc điều tra tiếp theo cho thấy nguồn gốc của những yêu cầu này là phần mềm quản lý máy chủ được sản xuất bởi một công ty hợp pháp và được sử dụng bởi hàng trăm khách hàng trong các ngành như dịch vụ tài chính, giáo dục, viễn thông, sản xuất, năng lượng và vận tải.

Phát hiện đáng lo ngại nhất là thực tế nhà cung cấp không hề thiết lập phần mềm thực hiện những yêu cầu này.

Kaspersky Lab đã thông báo cho NetSarang về sự nguy hại này

Các phân tích sâu hơn của Kaspersky Lab cho thấy rằng các yêu cầu đáng ngờ thực sự là kết quả hoạt động của một mô-đun độc hại ẩn bên trong một phiên bản gần đây của phần mềm hợp pháp này.

Sau khi cài đặt bản cập nhật phần mềm bị lây nhiễm, mô-đun độc hại sẽ bắt đầu gửi truy vấn DNS tới các tên miền cụ thể (máy chủ lệnh và điều khiển) với tần suất 8 giờ một lần.

Yêu cầu sẽ chứa thông tin cơ bản về hệ thống nạn nhân (tên người dùng, tên miền, tên máy chủ lưu trữ).

Nếu kẻ tấn công xem hệ thống này là "thú vị", máy chủ lệnh sẽ trả lời và kích hoạt một nền tảng backdoor đầy đủ chính thức mà sẽ âm thầm triển khai bên trong máy tính bị tấn công. Sau đó, theo lệnh từ những kẻ tấn công, nền tảng backdoor sẽ có thể tải về và thực thi mã độc hại hơn.

NetSarang đã kết hợp nhiều phương thức để chống xâm nhập

Khi phân tích các kỹ thuật và quá trình của công cụ được sử dụng bởi những kẻ tấn công, các nhà nghiên cứu của Kaspersky Lab đã đi đến kết luận rằng một số điểm tương đồng đã cho thấy các biến thể của phần mềm độc hại PlugX được sử dụng bởi Winnti APT, một nhóm tội phạm mạng nói tiếng Hoa. Tuy nhiên, thông tin này chưa đủ để kết nối chính xác đến các đối tượng này.

Kaspersky Lab khuyên người dùng phải cập nhật ngay phiên bản mới nhất của phần mềm NetSarang, từ đó mô-đun độc hại sẽ được gỡ bỏ và kiểm tra các hệ thống của họ để biết dấu hiệu truy vấn DNS tới các tên miền không bình thường.

Một danh sách các tên miền máy chủ lệnh được sử dụng bởi mô-đun độc hại có thể được tìm thấy trong Securelist blogpost, cũng bao gồm các thông tin kỹ thuật về backdoor.

Tuyên bố từ NetSarang: “Để chống lại những hình thức tấn công không ngừng thay đổi, NetSarang đã kết hợp nhiều phương thức và biện pháp khác nhau để ngăn chặn dòng sản phẩm của chúng tôi không bị xâm nhập, bị lây nhiễm hoặc sử dụng bởi các nhóm tội phạm mạng. Thật đáng tiếc khi bản phát hành Build của dòng sản phẩm đầy đủ của chúng tôi vào ngày 18-7-2017 vô tình đã được "vận chuyển" với một backdoor, có khả năng bị khai thác bởi người tạo ra nó. NetSarang cam kết bảo vệ sự riêng tư của người dùng và đã kết hợp một hệ thống mạnh mẽ hơn để đảm bảo rằng sẽ không bao giờ có một sản phẩm bị thỏa hiệp được phân phối cho người dùng. NetSarang sẽ tiếp tục đánh giá và cải thiện an ninh của chúng tôi không chỉ để chống lại các nỗ lực của các nhóm tội phạm mạng trên toàn thế giới mà còn để lấy lại lòng tin của người dùng trung thành.”

KIM THANH