Phần mềm độc hại ScanBox
Phần mềm độc hại ScanBox là một mối đe dọa có thể được sử dụng bởi tội phạm mạng để thực hiện nhiều hành động xâm nhập trên các thiết bị bị vi phạm. Mối đe dọa chủ yếu liên quan đến hoạt động của các tổ chức hack do Trung Quốc hậu thuẫn. Một số mối đe dọa đáng chú ý hơn đã triển khai các khuôn khổ ScanBox như một phần của chiến dịch tấn công của họ bao gồm APT10 (Red Apollo, Stone Panda), APT27 (Emissary Panda, Lucky Mouse, Red Phoenix) và TA413 (Lucky Cat). Theo một báo cáo của các nhà nghiên cứu an ninh mạng, gần đây ScanBox là một thành phần quan trọng của một loạt các cuộc tấn công lừa đảo do APT40 thực hiện. Nhóm tội phạm mạng này còn được gọi là TA423, Red Ladon và Leviathan.
Các cuộc tấn công chủ yếu tập trung vào các cơ quan Chính phủ Australia, các công ty truyền thông và tin tức Australia, cũng như các nhà sản xuất công nghiệp nặng quốc tế hoạt động ở Biển Đông. APT40 đã thiết lập một mô hình nhắm mục tiêu vào các thực thể ở khu vực Châu Á - Thái Bình Dương và cụ thể hơn là Biển Đông. Trở lại năm 2021, chính phủ Hoa Kỳ tuyên bố rằng có bằng chứng cho thấy nhóm APT (Mối đe dọa liên tục nâng cao) cụ thể này có quan hệ với Bộ An ninh Nhà nước Trung Quốc.
Chi tiết cuộc tấn công
Các cuộc tấn công ScanBox bắt đầu bằng việc phổ biến các email lừa đảo có chứa một URL dẫn đến một miền do tin tặc kiểm soát. Tội phạm mạng sẽ giả vờ rằng chúng là nhân viên của một công ty xuất bản truyền thông bịa đặt của Úc có tên là 'Australian Morning News'. Họ sẽ yêu cầu các mục tiêu chia sẻ nội dung nghiên cứu được xuất bản bởi công ty giả mạo hoặc xem trang web của họ bằng cách nhấp vào liên kết URL được cung cấp.
Trang đích của trang web được thiết kế để phân phối khối lượng JavaScript của khung ScanBox đến mục tiêu. Thành phần ban đầu này có thể thu thập nhiều thông tin khác nhau về máy tính của nạn nhân - thời gian hiện tại, ngôn ngữ trình duyệt, phiên bản Flash đã cài đặt, vị trí địa lý, chiều rộng và chiều cao của màn hình, bất kỳ mã hóa ký tự nào và hơn thế nữa. Tất cả dữ liệu thu được sẽ được truyền đến máy chủ Command-and-Control (C&C, C2C) của hoạt động.
C&C sẽ gửi một phản hồi chứa các hướng dẫn về việc các plugin bị hỏng sẽ được tìm nạp và thực thi trong trình duyệt của nạn nhân. Các mô-đun được thiết kế để thực hiện các nhiệm vụ cụ thể, tùy thuộc vào mục tiêu chính xác của những kẻ tấn công. Các nhà nghiên cứu an ninh mạng đã xác định được nhiều plugin như vậy để ghi khóa, lấy dấu tay trình duyệt, kết nối ngang hàng, một plugin kiểm tra các công cụ bảo mật và chống phần mềm độc hại cụ thể và một plugin có thể xác định các plugin trình duyệt được cài đặt hợp pháp.
