IceApple Malware
Các tác nhân đe dọa đã sử dụng một khung phần mềm độc hại sau khai thác tinh vi trong một loạt các cuộc tấn công có chủ đích kể từ ít nhất là năm 2021. Phần mềm độc hại này đang được theo dõi là IceApple bởi các nhà nghiên cứu an ninh mạng tại nhóm Falcon OverWatch, bộ phận săn tìm mối đe dọa của CrowdStrike.
Theo phát hiện của họ, tội phạm mạng đã nhắm mục tiêu vào các thực thể trong một số lĩnh vực công nghiệp - công nghệ, chính phủ, học thuật và nhiều vị trí địa lý. Mục tiêu của các chiến dịch tấn công dường như là hoạt động gián điệp mạng và đánh cắp dữ liệu. IceApple chưa được quy cho một nhóm tin tặc cụ thể nhưng hành vi của nó cho thấy các dấu hiệu thường liên quan đến các tác nhân đe dọa được nhà nước liên kết, liên kết với Trung Quốc bảo trợ.
Chi tiết kỹ thuật
Khuôn khổ IceApple dựa trên mạng và bao gồm ít nhất 18 mô-đun đe dọa khác nhau. Nó đã được triển khai trên các phiên bản Microsoft Exchange Server, nhưng nó có thể có hiệu quả tương đương khi chạy trên các ứng dụng web Dịch vụ Thông tin Internet (IIS). Trên thực tế, theo CrowdStrike OverWatch, những kẻ tội phạm mạng đã phát triển phần mềm độc hại phải có kiến thức sâu và rộng về hoạt động bên trong của phần mềm IIS.
Kiến thức này được minh chứng trong các kỹ thuật phát hiện-trốn tránh của IceApple. Các mô-đun khác nhau được chạy trong bộ nhớ để giảm dấu vết của mối đe dọa trên các hệ thống bị xâm phạm. Hơn nữa, IceApple hòa nhập với môi trường tự nhiên của hệ thống bằng cách tạo ra các tệp lắp ráp mà thoạt nhìn có vẻ là do máy chủ Web IIS tạo ra một cách hợp pháp.
Mô-đun Đe dọa
Chức năng của IceApple phụ thuộc vào các mô-đun được triển khai. Mỗi mô-đun trong số 18 mô-đun đã xác định được thiết kế để thực hiện một nhiệm vụ cụ thể, bao gồm thu thập thông tin đăng nhập, thao tác hệ thống tệp bằng cách xóa tệp và thư mục, cũng như lọc dữ liệu bí mật và có giá trị. Trên thực tế, có một mô-đun để lọc một tệp tin và một mô-đun khác có khả năng mã hóa, nén và tải lên nhiều tệp cùng một lúc. Các chuyên gia bảo mật cảnh báo rằng IceApple có thể vẫn đang được phát triển tích cực và khả năng của nó có thể được mở rộng hơn nữa thông qua việc giới thiệu các mô-đun bổ sung.
