Higaisa APT
Higaisa APT (Mối đe dọa liên tục nâng cao) là một nhóm hack, có thể bắt nguồn từ Bán đảo Triều Tiên. Nhóm hack Higaisa lần đầu tiên được nghiên cứu rộng rãi vào năm 2019. Tuy nhiên, các nhà phân tích phần mềm độc hại tin rằng Higaisa APT bắt đầu hoạt động lần đầu vào năm 2016 nhưng đã cố gắng tránh thu hút sự chú ý của các chuyên gia trong lĩnh vực an ninh mạng cho đến năm 2019. Higaisa APT dường như sử dụng cả hai. các công cụ hack tùy chỉnh, cũng như các mối đe dọa công khai phổ biến như PlugX RAT (Trojan truy cập từ xa) và Gh0st RAT .
Nhóm hack Higaisa có xu hướng chủ yếu dựa vào các chiến dịch email lừa đảo trực tuyến để phát tán phần mềm độc hại. Theo các nhà nghiên cứu bảo mật, trong một trong những hoạt động mới nhất của Higaisa APT, vector lây nhiễm được sử dụng là các tệp .LNK độc hại. Các tệp .LNK từ chiến dịch mới nhất của họ được che giấu dưới dạng tệp vô hại như kết quả kỳ thi, CV, thư mời làm việc, v.v. Đầu năm nay, nhóm tấn công Higaisa đã sử dụng email theo chủ đề COVID-19 để truyền các tệp .LNK bị hỏng đến mục tiêu của chúng.
Nếu người dùng bị Higaisa APT lừa và mở tệp bị hỏng, họ có thể không nhận thấy bất cứ điều gì khác thường. Điều này là do nhóm tấn công này sử dụng các tệp mồi nhử sẽ thu hút sự chú ý của người dùng và ngăn họ nhận thấy rằng hệ thống của họ đã bị xâm phạm. Tệp .LNK độc hại có một danh sách các lệnh, mà nó sẽ thực thi âm thầm trong nền. Danh sách lệnh sẽ cho phép mối đe dọa:
- Đặt các tệp của nó trong thư mục% APPDATA% trên máy chủ bị xâm phạm.
- Giải mã và giải nén dữ liệu từ tệp LNK.
- Đặt một tệp JavaScript trong thư mục 'Tải xuống' của hệ thống bị nhiễm và sau đó thực thi nó.
Tiếp theo, tệp JavaScript sẽ đảm bảo rằng nó chạy một bộ lệnh, cho phép những kẻ tấn công lấy dữ liệu liên quan đến máy chủ bị nhiễm và cài đặt mạng của nó. Tiếp theo, một trong các tệp được giải nén từ tệp .LNK độc hại sẽ được thực thi. Tệp JavaScript được đề cập cũng sẽ đảm bảo rằng mối đe dọa vẫn tồn tại trên máy chủ để nó sẽ được thực thi khi khởi động lại.
Để bảo vệ hệ thống của bạn khỏi các cuộc tấn công mạng, bạn nên đầu tư vào một ứng dụng chống vi-rút hiện đại, có uy tín.
