Lộ diện những kẻ đứng sau bộ khai thác APOMacroSploit

[Ginny Hà]

Các chuyên gia vừa tiết lộ loại mã độc Office mới trong chiến dịch email độc hại nhắm đến hơn 80 khách hàng trên toàn thế giới, kiểm soát máy nạn nhân và đánh cắp thông tin từ xa.

Công cụ được đặt tên APOMacroSploit, là một trình khai thác macro cho phép người dùng tạo tài liệu Excel có khả năng vượt qua phần mềm antivirus của Windows Antimalware Scan Interface (AMSI), thậm chí cả Gmail và qua mắt các biện pháp ngăn chặn lừa đảo dựa trên email khác.

APOMacroSploit được cho là sản phẩm của hai hacker tại Pháp "Apocaliptique" và "Nitrix". Những người này ước tính đã kiếm được ít nhất 5.000 USD trong vòng chưa đầy 2 tháng khi bán sản phẩm trên HackForums.net.

Có khoảng 40 hacker được cho là đứng sau các cuộc tấn công, sử dụng 100 nguồn gửi email khác nhau trong một loạt các cuộc tấn công nhắm vào người dùng ở hơn 30 quốc gia. Theo Check Point, các cuộc tấn công được phát hiện lần đầu cuối tháng 11/2020.

“Việc phát tán mã độc bắt đầu khi nội dung động của tài liệu XLS đính kèm được kích hoạt và macro XLM tự động tải xuống tập lệnh hệ thống Windows”, Check Point cho biết.

Tập lệnh hệ thống này được truy xuất từ cutt.ly, hướng đến các máy chủ lưu trữ nhiều tập lệnh BAT có nickname của khách hàng kèm theo tên tệp. Các tập lệnh cũng chịu trách nhiệm thực thi mã độc ("fola.exe") trên hệ thống Windows sau khi thêm vị trí mã độc vào đường dẫn được loại trừ của Windows Defender và tắt tính năng dọn dẹp Windows.

Việc sử dụng các gói mã độc ngày càng thông dụng đối với hacker bởi tiện lợi và còn tăng tính ngụy trang cho các mã độc.

Mã độc BitRAT được phát hiện từ tháng 8 năm ngoái, đi kèm với các tính năng khai thác tiền điện tử, hack webcam, ghi keystroke, tải các tệp tùy ý và điều khiển hệ thống từ xa thông qua máy chủ C&C.

Các chuyên gia cho biết đã cảnh báo các cơ quan thực thi pháp luật về danh tính của những kẻ tấn công.

Theo TheHackerNews​