Nghiên cứu về tin tặc Trung Quốc bị lúng túng như mồi lừa đảo

Kẻ tấn công đang sử dụng các phiên bản giả mạo của một báo cáo mới được phát hành về một nhóm cyberespionage Trung Quốc làm mồi trong các cuộc tấn công phishing mới nhằm vào người dùng Nhật Bản và Trung Quốc. phát hành hôm thứ ba bởi hãng bảo mật Mandiant và các tài liệu chi tiết về các chiến dịch xâm nhập mạng được thực hiện từ năm 2006 bởi một nhóm hacker được gọi là Bình luận viên chống lại hơn 100 công ty và tổ chức từ các ngành khác nhau.

Mandiant đề cập đến nhóm như APT1 (Advanced Persistent) Mối đe dọa 1) và tuyên bố trong báo cáo rằng nó có thể là một đơn vị bí mật trên mạng tại Thượng Hải của Quân đội Trung Quốc - Quân đội Giải phóng Nhân dân (PLA) có tên mã là "Đơn vị 61398."

[Đọc thêm: Cách xóa phần mềm độc hại khỏi PC Windows của bạn]

Chính phủ Trung Quốc đã bác bỏ những tuyên bố của Mandiant là vô căn cứ. Tuy nhiên, báo cáo nhận được rất nhiều sự chú ý từ những người trong ngành công nghiệp bảo mật CNTT, cũng như từ công chúng.

Có vẻ như sự công khai này đã dẫn đến những kẻ tấn công quyết định sử dụng báo cáo làm mồi trong các cuộc tấn công mới. Bà Raff, giám đốc công nghệ của hãng bảo mật Seculert, cho biết, hai vụ tấn công phishing đã được phát hiện vào tuần trước bằng cách sử dụng email có đính kèm độc hại giả mạo như báo cáo Mandiant. tấn công nhắm mục tiêu người dùng nói tiếng Nhật và các email có liên quan với tệp đính kèm có tên là Mandiant.pdf. Tập tin PDF này khai thác một lỗ hổng trong Adobe Reader đã được vá bởi Adobe trong một bản cập nhật khẩn cấp hôm thứ Tư, các nhà nghiên cứu bảo mật từ Seculert cho biết trong một bài đăng trên blog. Hàn Quốc, nhưng cũng liên lạc với một số trang web tiếng Nhật, có lẽ trong một nỗ lực để lừa các sản phẩm bảo mật, các nhà nghiên cứu của Seculert cho biết.

Symantec cũng đã phát hiện và phân tích tấn công phishing. "Các email được đưa ra từ một ai đó trong giới truyền thông đề xuất báo cáo", nhà nghiên cứu Joan Hamada của Symantec cho biết trong một bài đăng trên blog. Tuy nhiên, nó sẽ là hiển nhiên đối với một người Nhật Bản rằng email không được viết bởi một người nói tiếng Nhật bản địa, ông nói.

Hamada chỉ ra rằng các chiến thuật tương tự đã được sử dụng trong quá khứ. Trong một sự cố trở lại vào năm 2011, tin tặc đã sử dụng một bài nghiên cứu về các cuộc tấn công nhắm mục tiêu được Symantec công bố làm mồi nhử. "Họ đã làm điều này bằng cách gửi spam các mục tiêu với báo cáo chính thức thực sự cùng với phần mềm độc hại ẩn trong một tệp đính kèm lưu trữ", Hamada cho biết.

Khai thác lỗ hổng Adobe cũ

Cuộc tấn công lừa đảo thứ hai đã phát hiện mục tiêu người dùng nói tiếng Trung Quốc và sử dụng độc hại đính kèm được gọi là "Mandiant_APT2_Report.pdf."

Theo phân tích của tập tin PDF của nhà nghiên cứu Brandon Dixon của công ty tư vấn bảo mật 9b +, tài liệu này khai thác lỗ hổng Adobe Reader cũ đã được phát hiện và vá vào năm 2011.

Phần mềm độc hại được cài đặt trên hệ thống thiết lập kết nối tới một miền hiện trỏ tới máy chủ ở Trung Quốc, Dixon cho biết qua email. "Phần mềm độc hại cung cấp cho kẻ tấn công khả năng thực hiện các lệnh trên hệ thống của nạn nhân."

Tên miền được liên hệ bởi phần mềm độc hại này cũng được sử dụng trong quá khứ trong các cuộc tấn công nhắm vào các nhà hoạt động Tây Tạng. Các cuộc tấn công cũ hơn đã cài đặt cả phần mềm độc hại Windows và Mac OS X, ông nói.

Greg Walton, một nhà nghiên cứu từ MalwareLab, một trang phục bảo mật theo dõi các cuộc tấn công phần mềm độc hại về mặt chính trị. ở Trung Quốc. Thông tin này không thể được xác nhận bởi Raff hoặc Dixon, người đã nói rằng họ không có bản sao của các email spam gốc, chỉ có các tệp đính kèm độc hại mà chúng chứa.