Loại Backdoor Nguy Hiểm Ẩn Nấp Trong Phần Mềm Mà Nhiều Công Ty Đang Sử Dụng

19/10/2019

Công nghệ phát triển kéo theo sự tinh vi của các loại virus. WannaCry hay chính Backdoor ShadowPad là một trong những ví dụ điển hình.

Chỉ trong 17 ngày, một loại virus cửa hậu (backdoor) cao cấp đã giúp tin tặc tấn công và kiểm soát hoàn toàn các phần mềm bản quyền kĩ thuật số. Nguy hiểm thay khi đối tượng đang sử dụng phần mềm này lại là hàng trăm ngân hàng, các công ty năng lượng và các nhà sản xuất dược phẩm. Sự việc này xảy ra vào hồi tháng 7 vừa qua.

Virus backdoor, hay còn gọi là ShadowPad đã được gài vào 5 sản phẩm được phân phối bởi NetSarang- công ty phát triển phần mềm có trụ sở tại hàn Quốc và Mỹ. Các sản phẩm độc hại này đã xuất hiện kể từ ngày 17/4- 4/8. Chúng sau đó đã bị phát hiện và được bí mật báo cáo tới các nhà nghiên cứu từ nhà cung cấp sản phẩm diệt virus Kaspersky Lab.

Bất cứ ai đang sử dụng năm phiên bản của NetSarang gồm Xmanager EnterPrise 5.0, Xmanager 5.0, Xshell 5.0, Xftp 5.0 hoặc Xlpd 5.0 đều ngay lập tức xem lại các thông báo từ NetSarang và Kaspersky Lab tại đây.

Vụ tấn công mới nhất của ShadowPad được thực hiện tiếp tục bằng việc sử dụng chuỗi cung ứng nhằm lây nhiễm đến toàn bộ các đối tượng có liên quan. Virus NotPetya trước đó cũng đã đánh sập nhiều hệ thống máy tính trên thế giới vào hồi tháng 6. Chúng đều có chung cách thức hoạt động đã được nâng cấp mới và được sử dụng rộng rãi ở Ukraina.

Hãy nhớ lại hai loại virus tiêu biểu cho các vụ tấn công bằng chuỗi cung ứng này là Plugx 2015 và WinNTi 2013. Cả hai đều nhắm vào các game thủ trực tuyến, đặc biệt những người dùng có tài khoản game giá trị. Chúng có khả năng tận dụng các lỗ hổng bảo mật trên trình duyệt và nhanh chóng chiếm quyền kiểm soát tài khoản của người chơi và sau đó yêu cầu tiền chuộc.

Các nhà nghiên cứu của Kaspersky Lab chia sẻ trên blog: “Với cơ hội thu thập dữ kiệu bí mật, tin tặc có thể áp dụng cách này lần nữa đối với các thành phần phần mềm được sử dụng rộng rãi khác. Thật may mắn khi NetSarang đã kịp thời phản hồi với các thông báo của chúng tôi và tung ra bản cập nhật phần mềm mới. Bản cập nhật này sẽ giúp khách hàng của họ yên tâm hơn trước hàng trăm cuộc tấn công ăn cắp dữ liệu đang hoành hành."

Đoạn mã backdoor được đặt trong một phiên bản của tệp nssock2.ddl. Tệp này đã được đăng lên trang chủ của NetSarang vào ngày 17/7 vừa qua. Theo đó các tệp tin độc hại đã được xác nhận hợp pháp và không hề bị phát hiện. Điều này chỉ xảy ra khi các nhà nghiên cứu của Kaspersky Lab thông báo với công ty về vụ giả mạo này. Trong bài phát biểu mới đây, công ty đã chính thức thừa nhận vấn đề:

Chúng tôi xác nhận cơ sở hạ tầng của công ty đang bị phá hoại. Vì thế chúng tôi đã tạo ra một cơ sở hạ tầng hoàn toàn mới riêng biệt. Tất cả các thiết bị khi trước khi được đặt vào trong hệ thống mới này sẽ phải trải qua quá trình kiểm tra, quét bảo mật kĩ càng từng lượt một. Chính vì thế nên công ty sẽ mất nhiều thời gian để hoàn thành công việc này. Tuy nhiên chúng tôi vẫn chấp nhận vì sự an toàn của người dùng chính là thứ chúng tôi ưu tiên hàng đầu”.

Các nhà nghiên cứu của Kaspersky Lab tiếp tục phân tích:

Module này có thể nhanh chóng trao đổi với máy chủ DNS kiểm soát và cung cấp thông tin đích cơ bản (tên miền và tên người dùng, ngày hệ thống, cấu hình mạng) tới máy chủ. Máy chủ DNS C&C sau đó sẽ gửi lại chìa khoá giải mã cho giai đoạn tiếp theo của mã. Dữ liệu trao đổi giữa mô-đun và C&C được mã hóa bằng một thuật toán độc quyền và sau đó được mã hoá bằng các ký tự Latin có thể đọc được. Mỗi gói tin cũng chứa một giá trị DWORD ma thuật được mã hóa "52 4F 4F 44" ('DOOR' nếu được đọc dưới dạng giá trị nhỏ).

Theo phân tích của chúng tôi, các mã nhúng đóng vai trò quan trọng như một nền tảng của mô đun backdoor. Nó có khả năng tải về và thực thu các mã tuỳ ý được cung cấp từ máy chủ C&C cũng như duy trì một hệ thống tập tin ảo VPS bên trong file registry. VFS và bật kì tệp bổ sung nào được tạo ra bởi mã sẽ được mã hoá và lưu trữ tại một vị trí duy nhất cho từng nạn nhân”.

Các nhà nghiên cứu cũng cho biết họ đã phát hiện ra backdoor nhờ một đối tác của Kasspersky Lab làm trong ngành tài chính. Anh đã vô tình quan sát thấy một máy tính được sử dụng để thực hiện các yêu cầu tra cứu tên miền đáng ngờ. Kết quả là họ đã tìm ra mô đun độc hại được bổ sung vào trong các sản phẩm của NetSarang.

Kể từ ngày 4/8, bất cứ người dùng nào cài đặt bản cập nhật mới sẽ được an toàn trước mối đe doạ này. Sự lây nhiễm cũng sẽ được kiểm tra và phát hiện bởi phần mềm chống virus của Kaspersky Lab. Để chắc chắn được an toàn, người dùng cần cẩn thận dành thời gian để xem xét các nhật kí trên các máy tính để biết được các dấu hiệu lây nhiễm.

Hiện vẫn chưa rõ ai là người đã tạo ra virus backdoor hay chính xác hơn là người đang phá hoại NetSarang. Theo nhận định ban đầu, nó có những điểm tương đồng với những cuộc tấn công được sử dụng trên virus WinNTi và PlugX được đề cấp ở phần đầu bài viết. Các nhà nghiên cứu đã tổng hợp lại và đưa ra nhận định chủ mưu của những cuộc tấn công này có thể là những đối tượng thuộc nhóm nói tiếng Hoa.

Các cuộc tấn công bằng chuỗi cung ứng thực sự đáng báo động bởi khả năng lan truyền cực kì nhanh của chúng. Nạn nhân là có thể là những đối tượng chỉ thực hiện cập nhật phần mềm mà họ đã sử dụng trong nhiều năm qua mà không hề làm gì khác. Vụ ShadowPad này nhấn mạnh tầm quan trọng của việc kiểm tra kĩ lưỡng hành vi mạng và sự hợp tác cùng các đối tác. Chỉ có như vậy, chúng ta mới có thể kiểm soát và phát hiện các hành vi đáng ngờ và có những phương án kịp thời trước khi quá muộn.
 

Theo Arstechnica - Dịch GenK

Tin liên quan

09/01/2021

[Bạn có biết?] Những ứng dụng tuyệt vời của công nghệ điện toán đám mây trong doanh nghiệp

Chuyên mục "Bạn có biết?" tháng 01/2021 của Viettel IDC lần này sẽ cung cấp cho các bạn những kiến thức cơ bản về "Những ứng dụng tuyệt vời của công nghệ điện toán đám mây trong doanh nghiệp", cùng đón đọc nhé!

07/01/2021

Kỹ sư IT - Nghề HOT nhất năm 2020 trong bối cảnh doanh nghiệp thực hiện chuyển đổi số

Năm 2020 với nhiều biến động đã qua đi, chúng ta hãy cùng nhìn lại xem thị trường nhân sự IT có những biến chuyển gì nhé. Nhìn chung, doanh số, tốc độ tăng trưởng, cũng như nhu cầu tuyển dụng của các công ty trong ngành IT có dấu hiệu hồi phục và tăng trưởng trở lại sau đại dịch Covid-19.

05/01/2021

Báo cáo về thị trường Điện toán đám mây tại Việt Nam năm 2020

Thị trường Điện toán đám mây năm 2020 đã được những chuyên gia trong ngành dự đoán trước về sự bùng nổ phát triển, đặc biệt là khi đại dịch Covid-19 diễn ra từ đầu năm đến nay khiến nhu cầu về công nghệ của doanh nghiệp trở nên cấp thiết hơn bao giờ hết. Chính vì điều này, thị trường Điện toán đám mây đã tăng trưởng nhanh chóng và đạt được những thành công nhất định, không chỉ trên thế giới mà cả ở Việt Nam trong năm nay.

25/12/2020

Gartner dự báo tổng chi tiêu cho Public Cloud trên toàn thế giới sẽ tăng 18% vào năm 2021

Chi tiêu của doanh nghiệp trên toàn thế giới cho các dịch vụ đám mây công cộng được dự báo sẽ tăng 18,4% vào năm 2021 lên tổng số 304,9 tỷ USD, tăng từ 257,5 tỷ USD vào năm 2020, theo Gartner.

22/12/2020

[Bạn có biết?] So sánh các loại hình Hosting và máy chủ thông dụng nhất hiện nay

Chuyên mục "Bạn có biết?" tháng 12/2020 của Viettel IDC lần này sẽ cung cấp cho các bạn những kiến thức cơ bản về việc "So sánh các loại hình Hosting và máy chủ thông dụng nhất hiện nay", cùng đón đọc nhé!

17/12/2020

Akamai và Viettel IDC phát hành sách trắng về ngành công nghiệp truyền thông Việt Nam 2020

Sách trắng về ngành công nghiệp truyền thông “Việt Nam: Giữ chân khách hàng để tối đa doanh thu” (Vietnam: Customer retention for monetization) tổng kết sự thay đổi thói quen người dùng, xu hướng chuyển đổi mô hình cung cấp dịch vụ và thách thức với các nhà cung cấp dịch vụ truyền thông tại Việt Nam.

09/12/2020

​Bật mí một số điều bạn cần biết về dịch vụ Container as a Service

​Container as a Service là một giải pháp chuyển giao ứng dụng, dịch vụ phần mềm đáng tin cậy giữa các môi trường hệ điều hành khác nhau. Vậy cụ thể Container as a Service là gì và tại sao nó lại quan trọng? Hãy cùng Viettel IDC tìm hiểu kỹ hơn trong bài viết nay nhé.

18/11/2020

Viettel IDC bắt đầu thu phí một số yêu cầu hỗ trợ sau bán

Từ 01/01/2021, Viettel IDC bắt đầu triển khai tính phí đối với một số yêu cầu hỗ trợ sau bán ngoài danh mục các nghiệp vụ miễn phí, áp dụng với tất cả các dịch vụ TTDL và điện toán đám mây của Viettel IDC, nhằm nâng cao chất lượng hỗ trợ tốt nhất và đảm bảo đáp ứng tất cả các yêu cầu phát sinh trong quá trình sử dụng dịch vụ của khách hàng.

12/11/2020

Chiến lược quản lý rủi ro trên Cloud bằng phương pháp quản lý tập trung

Đám mây công cộng (Public Cloud) được thiết kế với tính bảo mật cao, khả năng mở rộng và khả năng thích ứng tốt. Kết quả là sự gia tăng ngày càng mạnh mẽ của các dịch vụ đám mây công cộng và API được cung ứng bởi các nhà cung cấp nền tảng đám mây. Điều này đã giúp các tổ chức tăng tốc độ đổi mới trong xu hướng chuyển đổi số.

11/11/2020

[Bạn có biết?] Các mô hình điện toán đám mây cơ bản và trường hợp sử dụng

Chuyên mục "Bạn có biết?" tháng 11/2020 của Viettel IDC lần này sẽ cung cấp cho các bạn những kiến thức cơ bản về "Các mô hình điện toán đám mây cơ bản và trường hợp sử dụng", cùng đón đọc nhé!