Bí ẩn phía sau cuộc tấn công mạng SalmonSlalom

Cuộc tấn công mạng này tận dụng các dịch vụ điện toán đám mây hợp pháp để quản lý phần mềm độc hại, và triển khai quy trình xâm nhập nhiều giai đoạn nhằm vượt qua hệ thống phát hiện an ninh.

Kẻ tấn công sử dụng tệp nén chứa mã độc, giả dạng tài liệu liên quan đến thuế, phát tán thông qua email lừa đảo và các ứng dụng nhắn tin như WeChat, Telegram.

Khi nạn nhân mở tệp, mã độc sẽ thực hiện quy trình cài đặt nhiều lớp, cuối cùng cài cắm một backdoor có tên FatalRAT, cho phép tin tặc kiểm soát hệ thống từ xa, đánh cắp dữ liệu và thực hiện các hành vi phá hoại.

Điểm đáng chú ý là nhóm tấn công đã khéo léo sử dụng các nền tảng điện toán đám mây của Trung Quốc để che giấu hoạt động. Ngoài ra, chúng liên tục thay đổi máy chủ điều khiển (C2) và tải trọng mã độc, khiến việc truy vết và phát hiện trở nên khó khăn hơn.

Cuộc tấn công mạng SalmonSlalom nhắm mục tiêu vào các cơ quan chính phủ và ngành công nghiệp nặng. Ảnh: Pexels

Cơ quan chính phủ và ngành công nghiệp nặng trở thành mục tiêu

SalmonSlalom nhắm vào cơ quan chính phủ và các tổ chức công nghiệp nặng tại nhiều quốc gia APAC, bao gồm Malaysia, Trung Quốc, Nhật Bản, Thái Lan, Hàn Quốc, Singapore, Philippines, Việt Nam...

Chiến dịch này có một số điểm tương đồng với các cuộc tấn công trước đây sử dụng mã độc RAT như Gh0st RAT, SimayRAT, Zegost và FatalRAT, nhưng đã có sự cải tiến về chiến thuật và kỹ thuật, đặc biệt là nhắm đến các tổ chức sử dụng tiếng Trung Quốc.

Theo ông Evgeny Goncharov, Trưởng nhóm Kaspersky ICS CERT: "Mặc dù chiến dịch này sử dụng những kỹ thuật không quá phức tạp, nhưng vẫn thành công xâm nhập hệ thống công nghiệp nặng. Đây là một lời cảnh báo nghiêm túc đối với khu vực APAC về mối đe dọa từ các nhóm tin tặc có khả năng điều khiển hệ thống từ xa."

Để đối phó với SalmonSlalom và các cuộc tấn công tương tự, Kaspersky khuyến nghị doanh nghiệp nên kích hoạt xác thực hai yếu tố cho các tài khoản quan trọng. Cập nhật hệ điều hành và phần mềm thường xuyên, sử dụng hệ thống giám sát an ninh để theo dõi và phát hiện các hoạt động bất thường.

Nhóm tin tặc đứng sau cuộc tấn công mạng SalmonSlalom là ai?

Dù chưa xác định chính xác nhóm tin tặc đứng sau SalmonSlalom, nhưng các bằng chứng kỹ thuật và ngôn ngữ giao tiếp cho thấy nhiều khả năng nhóm này có liên quan đến Trung Quốc. Điều này đặt ra câu hỏi về động cơ và mục tiêu thực sự của cuộc tấn công, nhất là khi nó tập trung vào các tổ chức sử dụng tiếng Trung.

Với sự gia tăng của các cuộc tấn công mạng có chủ đích, việc nâng cao khả năng phòng vệ và chủ động đối phó sẽ là yếu tố then chốt giúp các tổ chức bảo vệ dữ liệu tốt hơn.

Tiểu Minh