Chúa tể Chuột

Overlord là một Trojan truy cập từ xa (RAT) được phát triển bằng ngôn ngữ lập trình Go, được thiết kế để nhắm mục tiêu vào cả môi trường Windows và macOS. Những phát hiện ban đầu được ghi nhận tại Hàn Quốc, làm dấy lên lo ngại về khả năng triển khai của nó trong các cuộc tấn công thực tế. Trên hệ thống macOS, phần mềm độc hại này có khả năng thiết lập liên lạc liên tục với cơ sở hạ tầng do kẻ tấn công kiểm soát, thu thập dữ liệu đầu vào của người dùng và cố gắng thao túng trình duyệt. Việc loại bỏ ngay lập tức được khuyến nghị mạnh mẽ khi phát hiện để ngăn chặn sự xâm phạm thêm.

Cấu trúc kỹ thuật và sự phát triển liên tục

Phần mềm độc hại này được biên dịch thành mã nhị phân macOS Apple Silicon (arm64) bằng ngôn ngữ Go 1.25.6. Mã nguồn của nó được công khai trên GitHub theo giấy phép mã nguồn mở, được hỗ trợ bởi hàng trăm lần đóng góp và quá trình phát triển liên tục. Mức độ minh bạch và đóng góp liên tục này cho thấy khả năng của Overlord, đặc biệt là trên macOS, có thể mở rộng đáng kể trong tương lai gần, làm tăng tiềm năng đe dọa của nó.

Các hoạt động duy trì và điều khiển từ xa

Sau khi được triển khai trên thiết bị macOS, Overlord thiết lập kết nối với máy chủ điều khiển (C2), nơi nó chờ đợi các chỉ thị tiếp theo từ người điều hành. Các cơ chế duy trì được triển khai để đảm bảo quá trình thực thi tiếp tục sau khi hệ thống khởi động lại. Ngoài ra, phần mềm độc hại này ghi lại các thao tác gõ bàn phím và hoạt động chuột, truyền dữ liệu này qua các kênh nội bộ để cung cấp cho kẻ tấn công khả năng theo dõi hành vi người dùng theo thời gian thực.

Khả năng điều khiển từ xa và bộ lệnh

Overlord bao gồm một tập hợp các lệnh được cấu trúc cho phép quản lý từ xa các hệ thống bị nhiễm. Các lệnh này được thiết kế để hỗ trợ giám sát, tương tác hệ thống và thao túng trình duyệt:

• Lệnh hvnc_start khởi tạo một phiên làm việc ẩn trên máy tính và truyền phát dữ liệu đến kẻ tấn công.
• Các lệnh hvnc_start_chrome_injected và hvnc_start_browser_injected cố gắng khởi chạy lại các trình duyệt như Chrome với các sửa đổi độc hại được chèn vào.
• Lệnh hvnc_lookup xác định đường dẫn đến các tệp thực thi trên hệ thống bị xâm nhập.

Mặc dù các khả năng này đã hoàn thiện hơn trên Windows, nhưng chúng thể hiện nền tảng cho chức năng điều khiển từ xa tiên tiến.

Những hạn chế của nền tảng và những thiếu sót về chức năng

Một số tính năng nâng cao có trong mã nguồn hiện chưa hoạt động đầy đủ trên macOS. Chức năng màn hình ảo ẩn và cơ chế tiêm DLL hiện chỉ tồn tại dưới dạng các phần giữ chỗ, trả về thông báo cho biết thiếu hỗ trợ nền tảng khi được thực thi. Tương tự, việc tiêm tiến trình vào các phiên ẩn và trích xuất tải trọng vẫn chỉ dành riêng cho môi trường Windows ở giai đoạn này. Mặc dù có những hạn chế này, các tính năng giám sát và duy trì hoạt động cốt lõi vẫn hoạt động đầy đủ trên cả hai nền tảng.

Đánh giá rủi ro và tác động an ninh

Ngay cả ở trạng thái hiện tại, Overlord vẫn tiềm ẩn rủi ro an ninh mạng đáng kể. Khả năng truy cập liên tục kết hợp với việc thu thập dữ liệu đầu vào cho phép kẻ tấn công theo dõi hoạt động của người dùng một cách rộng rãi. Điều này tạo ra nguy cơ đánh cắp thông tin đăng nhập, truy cập tài khoản trái phép và giám sát lâu dài. Các tính năng thao túng liên quan đến trình duyệt, mặc dù ít hiệu quả hơn trên macOS, vẫn tạo ra các vectơ rủi ro bổ sung.

Các tác nhân gây bệnh và phương thức lây lan

Chiến lược phân phối chính xác của Overlord vẫn chưa được xác nhận. Tuy nhiên, các tác nhân lây nhiễm phổ biến liên quan đến RAT cho thấy khả năng cao là sử dụng các cơ chế phân phối lừa đảo và cơ hội:

Các email lừa đảo và các chiến dịch tấn công kỹ thuật xã hội nhằm mục đích dụ dỗ người dùng thực thi các tệp độc hại.
Tích hợp kèm phần mềm lậu, phần mềm bẻ khóa hoặc trình cài đặt giả mạo từ các nguồn bên thứ ba không đáng tin cậy.
Tải xuống tự động, các liên kết độc hại trong các nền tảng nhắn tin và mạng chia sẻ tệp ngang hàng.

Trong các trường hợp phức tạp hơn, RAT có thể lây lan theo chiều ngang qua các mạng cục bộ hoặc lan truyền qua các thiết bị lưu trữ di động sau khi đã thiết lập được quyền truy cập ban đầu.

Đánh giá cuối cùng và các cân nhắc phòng thủ

Overlord đang trở thành mối đe dọa ngày càng lớn trong thế giới phần mềm độc hại macOS. Mặc dù còn một số tính năng chưa hoàn thiện, khả năng duy trì hoạt động và thu thập dữ liệu người dùng của nó đủ để gây ra những thiệt hại nghiêm trọng. Quá trình phát triển liên tục cho thấy các khả năng tiên tiến hơn có thể sớm được giới thiệu. Phát hiện và loại bỏ nhanh chóng vẫn là điều cực kỳ quan trọng để giảm thiểu thiệt hại và ngăn chặn truy cập trái phép.