[ĐọC thêm: Làm thế nào để loại bỏ phần mềm độc hại từ máy tính Windows của bạn]

Các cuộc tấn công MiniDuke mới sử dụng cùng một khai thác được xác định bởi FireEye, nhưng với một số sửa đổi nâng cao, Costin Raiu, giám đốc nhóm nghiên cứu và phân tích toàn cầu của Kaspersky Lab, hôm thứ Tư. Điều này có thể gợi ý rằng những kẻ tấn công có quyền truy cập vào bộ công cụ đã được sử dụng để tạo ra bản gốc.

Các tệp PDF độc hại là các bản sao báo cáo giả mạo với nội dung liên quan đến các tổ chức được nhắm mục tiêu và bao gồm báo cáo (ASEM) hội thảo về nhân quyền, một báo cáo về kế hoạch hành động thành viên NATO của Ukraine, một báo cáo về chính sách đối ngoại khu vực của Ukraine và một báo cáo về Hiệp hội kinh tế Armenia năm 2013, và nhiều hơn nữa.

Nếu khai thác thành công, các tập tin PDF giả mạo cài đặt một phần mềm độc hại được mã hóa với thông tin được thu thập từ hệ thống bị ảnh hưởng. Kỹ thuật mã hóa này cũng được sử dụng trong phần mềm độc hại gián điệp của Gauss và ngăn phần mềm độc hại phân tích trên một hệ thống khác, Raiu nói. Nếu chạy trên một máy tính khác, phần mềm độc hại sẽ thực thi, nhưng sẽ không khởi tạo chức năng độc hại của nó,

Một khía cạnh thú vị khác của mối đe dọa này là nó chỉ có kích thước 20KB và được viết bằng Assembler, một phương pháp hiếm khi được sử dụng ngày hôm nay bởi người sáng tạo phần mềm độc hại. Kích thước nhỏ của nó cũng không bình thường khi so sánh với kích thước của phần mềm độc hại hiện đại, Raiu nói.

Phần mềm độc hại được cài đặt trong giai đoạn đầu tiên của cuộc tấn công này kết nối với các tài khoản Twitter cụ thể có chứa các lệnh được mã hóa trỏ đến bốn trang web hoạt động như lệnh-và- máy chủ điều khiển. Các trang web này, được lưu trữ ở Hoa Kỳ, Đức, Pháp và Thụy Sĩ, lưu trữ các tệp GIF được mã hóa chứa chương trình backdoor thứ hai.

Cửa sau thứ hai là bản cập nhật cho đầu tiên và kết nối lại với máy chủ điều khiển và lệnh để tải xuống một chương trình backdoor khác được thiết kế độc đáo cho từng nạn nhân. Tính đến hôm thứ Tư, các máy chủ điều khiển và kiểm soát được lưu trữ năm chương trình backdoor khác nhau cho năm nạn nhân duy nhất ở Bồ Đào Nha, Ukraine, Đức và Bỉ, Raiu cho biết. Raiu cho biết, những người đứng sau chiến dịch gián điệp mạng MiniDuke đã hoạt động từ ít nhất là tháng 4 năm 2012, khi một trong những tài khoản Twitter đặc biệt được tạo ra lần đầu tiên. Tuy nhiên, có thể hoạt động của họ đã tinh tế hơn cho đến gần đây, khi họ quyết định tận dụng lợi thế của Adobe Reader mới khai thác để thỏa hiệp càng nhiều tổ chức càng tốt trước khi các lỗ hổng bị vá, ông nói.Các phần mềm độc hại được sử dụng trong các cuộc tấn công mới là duy nhất và chưa từng thấy trước đây, vì vậy nhóm có thể đã sử dụng phần mềm độc hại khác nhau trong quá khứ, Raiu nói. Đánh giá bởi nhiều mục tiêu và bản chất toàn cầu của các cuộc tấn công, những kẻ tấn công có thể có một chương trình nghị sự lớn, ông nói.

Các nạn nhân của MiniDuke bao gồm các tổ chức từ Bỉ, Brazil, Bulgaria, Cộng hòa Séc, Georgia, Đức, Hungary, Ireland, Israel, Nhật Bản, Latvia, Lebanon, Lithuania, Montenegro, Bồ Đào Nha, Romania, Nga, Slovenia, Tây Ban Nha, Thổ Nhĩ Kỳ, Ukraina, Vương quốc Anh và Hoa Kỳ.

Tại Hoa Kỳ, một viện nghiên cứu, hai người Mỹ Raiu cho biết, các xe tăng và công ty chăm sóc sức khỏe đã bị ảnh hưởng bởi cuộc tấn công này, Raiu nói mà không đặt tên bất kỳ nạn nhân nào.

Cuộc tấn công không phức tạp như Flame hay Stuxnet, nhưng vẫn là cấp cao. Không có dấu hiệu nào về việc kẻ tấn công có thể hoạt động từ đâu hoặc họ có thể phục vụ gì.

Điều đó nói lên, phong cách mã hóa backdoor gợi nhớ đến một nhóm các nhà văn phần mềm độc hại được gọi là 29A, được cho là không tồn tại kể từ năm 2008. "666" chữ ký trong mã và 29A là đại diện hệ thập lục phân của 666, Raiu nói.

Một giá trị "666" cũng được tìm thấy trong phần mềm độc hại được sử dụng trong các cuộc tấn công trước đó được phân tích bởi FireEye, nhưng mối đe dọa khác với MiniDuke, Raiu nói. Câu hỏi về việc hai cuộc tấn công có liên quan vẫn còn mở hay không.

Tin tức về chiến dịch gián điệp không gian mạng này xuất hiện trên các cuộc thảo luận mới về mối đe dọa gián điệp mạng, đặc biệt là ở Mỹ. công ty bảo mật Mandiant. Bản báo cáo chứa đựng các chi tiết về hoạt động kéo dài một năm của một nhóm các kẻ tấn công mạng được đặt tên là Bình luận viên mà Mandiant tin là một cyberunit bí mật của Quân đội Trung Quốc. Raiu nói rằng không ai trong số các nạn nhân của MiniDuke được xác định cho đến nay là từ Trung Quốc, nhưng từ chối suy đoán về tầm quan trọng của thực tế này. Các nhà nghiên cứu bảo mật tuần trước từ các công ty khác xác định các cuộc tấn công nhắm mục tiêu phân phối cùng một PDF khai thác giả mạo như các bản sao của báo cáo Mandiant.

Các cuộc tấn công đã cài đặt phần mềm độc hại rõ ràng về nguồn gốc Trung Quốc. Tuy nhiên, cách thức mà việc khai thác được sử dụng trong các cuộc tấn công đó là rất thô lỗ và phần mềm độc hại không phức tạp khi so sánh với MiniDuke, ông nói.