APT41

APT41 (Mối đe dọa liên tục nâng cao) là một nhóm hack được cho là có nguồn gốc từ Trung Quốc. Họ cũng được biết đến với bí danh Winnti Group. Tên này được đặt cho chúng bởi các chuyên gia phần mềm độc hại và đến từ một trong những công cụ hack khét tiếng nhất của chúng có tên là Winnti backdoor Trojan, được phát hiện lần đầu tiên vào năm 2011. Nhóm hack này dường như chủ yếu hoạt động về tài chính.

Nhắm mục tiêu chính vào ngành công nghiệp trò chơi

Không giống như hầu hết các nhóm hack nổi tiếng có xu hướng nhắm mục tiêu vào các ngành công nghiệp có tầm quan trọng lớn như quân sự, dược phẩm, năng lượng, v.v., Winnti Group thích truy lùng các công ty hoạt động trong ngành công nghiệp game hơn. Ngay cả công cụ hack phổ biến nhất đầu tiên của họ, Trojan cửa sau Winnti, cũng được lan truyền thông qua một bản cập nhật giả cho một trò chơi trực tuyến, vốn rất phổ biến vào thời điểm đó. Khi mối đe dọa này được phát hiện, hầu hết người dùng bắt đầu suy đoán rằng các nhà phát triển của trò chơi đang sử dụng Winnti Trojan để thu thập dữ liệu về người chơi. Tuy nhiên, những tin đồn này nhanh chóng biến mất khi các nhà nghiên cứu an ninh mạng xác nhận rằng Trojan cửa sau Winnti thuộc về một bên thứ ba độc hại.

Cập nhật công cụ thường xuyên

Nhóm APT41 đã sử dụng công cụ hack chữ ký của họ, Winnti Trojan, trong tám năm nay nhưng không một giây nào nghĩ rằng mối đe dọa này đã lỗi thời và vô hại. Không hề, Winnti Group đã đảm bảo cập nhật thường xuyên công cụ hack này để đảm bảo nó luôn đi trước các chuyên gia phần mềm độc hại một bước. Nhóm hack không chỉ tiếp tục vũ khí hóa công cụ của họ trong nhiều năm mà còn đảm bảo rằng Trojan cửa sau Winnti để lại dấu vết tối thiểu về hoạt động độc hại của nó để có thể ẩn náu càng lâu càng tốt.

Sử dụng chứng chỉ kỹ thuật số đã thu thập

Một trong những nhãn hiệu của nhóm hack APT41 là sử dụng chứng chỉ kỹ thuật số, chúng đánh cắp bằng cách xâm nhập vào mạng của một số công ty nhất định. Sau khi hoàn thành việc này, họ có thể khởi chạy các chiến dịch nhắm mục tiêu đến các tổ chức hoạt động trong cùng lĩnh vực. Mặc dù các chuyên gia về phần mềm độc hại đã biết về thủ thuật của Winnti Group và đã làm việc không mệt mỏi để đảm bảo rằng các chứng chỉ đã nhận được sẽ bị thu hồi, quá trình này cần một thời gian dài để hoàn thành, vì vậy các hoạt động độc hại của Winnti Group thường được thực hiện mà không bị gián đoạn. .

Một số công cụ khác trong kho vũ khí của nhóm APT41 là phần mềm độc hại BOOSTWRITE, Trojan cửa hậu PortReuse và cửa hậu ShadowPad.