WindShift APT
Huyền thoại rằng máy tính Mac không bị nhiễm vi-rút chỉ là: một huyền thoại. Thực tế là virus Mac ít phổ biến hơn. Chúng vẫn tồn tại, nhưng các nhóm hack không ưu tiên tạo chúng. Tuy nhiên, thường xuyên có một nhóm như WindShift đi cùng.
WindShift được coi là APT (Mối đe dọa liên tục nâng cao). Đây là những nhóm mà các nhà nghiên cứu bảo mật nhận thức được và theo dõi. Cơ sở hạ tầng, công cụ và mục tiêu của APT thường nổi tiếng bởi vì chúng được xem xét rất chặt chẽ. Một số nhóm hoạt động lén lút hơn và có thể hoạt động nhẹ nhàng mà không bị theo dõi. Thật khó để theo dõi những nhóm đó. WindShift là một trong những nhóm như vậy và theo các nhà nghiên cứu, họ đã hoạt động sớm nhất từ năm 2017.
WindShift APT chủ yếu tập trung vào các hoạt động do thám. Nhóm đã tham gia vào các mục tiêu lớn như chính phủ và tổ chức nhưng dường như cũng đi theo các mục tiêu cụ thể được chọn trước thời hạn. Điều thú vị về các mục tiêu của họ là chúng dường như hoàn toàn không liên quan đến nhau. Các nhà nghiên cứu an ninh mạng vẫn chưa tìm thấy một liên kết kết nối nào giữa các mục tiêu. WindShift cũng có cách tiếp cận khác với các nhóm khác. Nhóm không phụ thuộc quá nhiều vào phần mềm độc hại và ransomware để lấy thông tin như các nhóm khác. Thay vào đó, APT này sử dụng kỹ thuật xã hội phức tạp để lấy dữ liệu từ các mục tiêu một cách tinh vi. Hầu hết các mục tiêu thậm chí không nhận ra bất cứ điều gì sai cho đến khi quá muộn.
Chính nhờ sự phụ thuộc vào khả năng tàng hình này mà nhóm có thể thực hiện các hoạt động trong thời gian dài mà không bị bắt. Các chiến dịch WindShift đã được biết đến từ nhiều tháng trước. Các chuyên gia cho rằng một số mục tiêu mà WindShift tấn công đã được quan sát trong nhiều tháng trước khi nhóm bắt đầu bất kỳ hoạt động hack thực sự nào. WindShift thực hiện điều này thông qua việc sử dụng các tài khoản mạng xã hội giả mạo, tổ chức các cuộc thảo luận với các mục tiêu về các chủ đề có liên quan và tạo nội dung hấp dẫn thông qua các ấn phẩm giả mạo. Họ kết nối với các mục tiêu của mình để kiếm được sự tin tưởng và làm cho giai đoạn tấn công thực sự dễ dàng hơn.
Nhóm cũng sử dụng một loạt các công cụ phân tích để nghiên cứu và quan sát các cá nhân, bao gồm cả thói quen và sở thích duyệt web của họ. Họ có thể sử dụng thông tin này để tiếp tục các chiến dịch kỹ thuật xã hội của mình và thu được nhiều kiến thức hơn nữa. WindShift đã sử dụng cả các công cụ và tiện ích có sẵn công khai mà họ đã tự tạo ra. Một cách mà nhóm thu thập thông tin về những thứ họ muốn là gửi cho họ các liên kết đến các trang web hợp pháp.
Các tin tặc sẽ cố gắng lấy thông tin đăng nhập từ một mục tiêu khi chúng có đủ thông tin để làm việc. Nhóm này đã sử dụng iCloud của Apple và Gmail, trong số những người khác, để lấy thông tin xác thực từ các mục tiêu của họ. Nhóm sẽ gửi cho mục tiêu của họ một tin nhắn cảnh báo rằng họ cần đặt lại mật khẩu của mình. Mục tiêu được gửi đến một trang có vẻ hợp pháp nhưng lại là một trang khôi phục giả mạo được thiết kế để lấy cắp thông tin. Nếu mục tiêu không bị lừa, thì WindShift sẽ chuyển sang các công cụ hack để lấy thông tin họ muốn.
Ngoài việc sử dụng các công cụ có sẵn công khai, Windshift đã tạo ra một số công cụ hack tùy chỉnh và các mối đe dọa, chẳng hạn như sau:
- WindDrop - Một trình tải xuống Trojan được thiết kế cho hệ thống Windows, được phát hiện lần đầu tiên vào năm 2018.
- WindTail - Phần mềm độc hại được thiết kế cho hệ thống OSX, thu thập các loại tệp hoặc tệp cụ thể có một số tên phù hợp với tiêu chí của nó. Nó cũng có khả năng tạo thêm phần mềm độc hại trên hệ thống bị xâm nhập.
- WindTape - Một Trojan cửa sau được thiết kế cho các hệ thống OSX có khả năng chụp ảnh màn hình.
Các công cụ này có một số khả năng nâng cao, chẳng hạn như có thể thao tác cài đặt DNS và đưa người dùng đến các trang web khác nhau. WindShift có thể kiểm soát kết nối internet của các hệ thống bị xâm nhập và gửi chúng đến các trang web khác. Các trang web này được thiết kế để trông giống như thật và được sử dụng để lấy thông tin đăng nhập và thông tin bổ sung từ các mục tiêu.
WindShift APT chắc chắn là một trong những nhóm hack bất thường hơn xung quanh. Nhóm có cách tiếp cận mục tiêu và các cuộc tấn công khác với các APT đã biết khác. Nhóm chủ yếu dựa vào kỹ thuật xã hội và chủ yếu nhắm mục tiêu vào máy tính Mac. Đây là điều khiến họ trở thành một bí ẩn trong thế giới hack. Các nhà nghiên cứu bảo mật vẫn đang cố gắng tìm ra các quy trình và động cơ hoạt động của họ. Tuy nhiên, nhóm chắc chắn chứng minh rằng máy Mac của bạn không miễn dịch với vi rút như bạn nghĩ.
