APT23 và OceanLotus : Tin tặc Việt Nam chọn con đường tà đạo
6/12/2020
Tin
tặc Việt Nam Sen Biển – APT23 vẫn tích cực hoạt động
Ngọc
Lan, VNTB, 06/12/2020
Sen Biển tung mã độc trong khai thác tiền ảo
Microsoft đã
tiết lộ rằng nhóm tin tặc được chính phủ Việt Nam hậu thuẫn đang triển khai phần
mềm độc hại khai thác tiền điện tử cùng với các hoạt động gián điệp mạng thông
thường của họ.
https://live.staticflickr.com/65535/50688898921_63bb16042c.jpg
Họ sẽ "có khả
năng" trở thành một trung tâm tội phạm mạng trong tương lai và là một thủ
phạm gián điệp mạng lớn trong thập kỷ tới.
Báo cáo nêu bật xu hướng
ngày càng tăng trong ngành công nghiệp an ninh mạng khi ngày càng có nhiều nhóm
hack do nhà nước hậu thuẫn cũng đang nhúng chân vào các hoạt động tội phạm mạng
thông thường, khiến việc phân biệt tội phạm có động cơ tài chính với các hoạt động
thu thập thông tin tình báo trở nên khó khăn hơn.
Nhóm Bảo vệ Đe dọa Tình
báo của Bộ phận bảo vệ Microsoft 365 từ tên Bismuth đã truy tìm ra nhóm tin tặc
Việt Nam hoạt động từ năm 2012 và được biết đến với tên APT32 và Sen Biển –
OceanLotus.
https://live.staticflickr.com/65535/50689043767_7afbb8cda2.jpg
APT32
https://live.staticflickr.com/65535/50689038942_1ef22097e9.jpg
OceanLotus
"Bismuth đã tiến
hành các cuộc tấn công gián điệp mạng ngày càng phức tạp kể từ năm 2012, sử dụng
cả công cụ tùy chỉnh và mã nguồn mở để nhắm mục tiêu vào các tập đoàn đa quốc
gia lớn, chính phủ, dịch vụ tài chính, tổ chức giáo dục và các tổ chức nhân quyền
và dân quyền", Microsoft cho biết trong một bài đăng trên blog cuối
ngày thứ Hai.
Trong các chiến dịch từ
tháng 7 đến tháng 8 năm 2020, nhóm tin tặc này đã phát triển các máy đào tiền ảo
Monero trong các cuộc tấn công nhắm vào cả khu vực tư nhân và các tổ chức chính
phủ ở Pháp và Việt Nam.
Microsoft thông báo : "Các chiến dịch của Bismuth, một công
cụ của nhà nước, tận dụng các cảnh báo có mức độ ưu tiên thấp mà các máy đào tiến
ảo gây ra để thử xâm nhập mà không bị phát hiện và tồn tại vĩnh viễn,"
nhóm Microsoft thông báo.
Đầu tiên là Bismuth đang
sử dụng phần mềm độc hại khai thác tiền ảo, thường được kết hợp với các hoạt động
tội phạm mạng, để ngụy trang một số cuộc tấn công của họ từ những người ứng phó
sự cố và lừa họ tin rằng các cuộc tấn công của họ là các cuộc xâm nhập ngẫu
nhiên có mức độ ưu tiên thấp.
Bismuth cố gắng giành quyền
truy cập căn bản bằng cách gửi các email độc hại được chế tạo đặc biệt từ tài
khoản Gmail dường như được tạo riêng cho chiến dịch xâm nhập.
Bismuth cũng đang thử
nghiệm những cách thức mới để tạo ra doanh thu từ các hệ thống mà họ đã xâm nhập
trong các hoạt động gián điệp mạng thông thường của họ. Trong những năm gần
đây, các nhóm tin tặc do nhà nước Trung Quốc, Nga, Iran và Triều Tiên bảo trợ
cũng đã tấn công các mục tiêu với mục đích duy nhất là kiếm tiền vì lợi ích cá
nhân hơn là gián điệp mạng.
Các nhóm này thường hoạt
động dưới sự bảo vệ trực tiếp của chính quyền quốc gia của họ, hoặc là nhà thầu
hoặc là nhân viên tình báo, và họ cũng hoạt động từ bên trong các quốc gia
không có hiệp ước dẫn độ với Hoa Kỳ, cho phép họ thực hiện bất kỳ cuộc tấn công
nào họ muốn và biết rằng họ hầu như không phải gánh chịu hậu quả.
Với việc Việt Nam cũng
đang thiếu hiệp ước dẫn độ với Mỹ, việc Bismuth bành trướng sang lĩnh vực tội
phạm mạng được coi là có họ sẽ "có khả năng" trở thành một trung tâm
tội phạm mạng trong tương lai và là một thủ phạm gián điệp mạng lớn trong thập
kỷ tới.
Xâm nhập macOS để
lấy cắp thông tin
Trend
Micro đã báo cáo một loạt các cuộc tấn công phần mềm độc hại nhắm mục
tiêu vào macOS gần đây nhằm cài đặt các cửa hậu để lấy cắp thông tin cá nhân nhạy
cảm. Công ty bảo mật đã phát hiện ra rằng một biến thể phần mềm độc hại mới
đang được sử dụng trực tuyến và được hỗ trợ bởi một nhóm tin tặc nhà nước có
tên là Sen Biển, hay AKTP2 và có trụ sở tại Việt Nam.
Theo báo cáo của ZDNet,
Trend Micro cho biết phần mềm độc hại mới do Sen Biển – OceanLotus tạo ra do
"sự tương đồng về hành vi động và mã" từ phần mềm độc hại trước đó được
kết nối với nhóm tin tặc có trụ sở tại Việt Nam.
Gần đây, họ đã phát hiện
ra một cửa sau mới mà tin rằng có liên quan đến nhóm OceanLotus. Một số cập nhật
của biến thể mới này (do Trend Micro phát hiện là Backdoor.MacOS.OCEANLOTUS.F)
bao gồm hành vi và tên miền mới. Được biết mẫu này vẫn không bị phát hiện bởi
các giải pháp chống phần mềm độc hại khác.
Do sự tương đồng về hành
vi động và mã với các mẫu OceanLotus trước đó, mẫu mã độc mới đã được xác nhận
là một biến thể của phần mềm độc hại nói trên.
OceanLotus chịu trách nhiệm
về các cuộc tấn công có chủ đích chống lại các tổ chức từ các ngành như truyền
thông, nghiên cứu và xây dựng. Gần đây, họ cũng đã được các nhà nghiên cứu từ Volexity phát
hiện đang sử dụng các trang web độc hại để tuyên truyền phần mềm độc hại.
Những kẻ tấn công đằng
sau mẫu này có thể nhắm mục tiêu vào người dùng từ Việt Nam vì tên của tài liệu
bằng tiếng Việt và các mẫu cũ hơn đã nhắm mục tiêu cùng một khu vực trước đó.
Các nhóm nguy hiểm như
OceanLotus đang tích cực cập nhật các biến thể phần mềm độc hại nhằm cố gắng
tránh bị phát hiện và cải thiện tính bền bỉ. Các phương pháp hay nhất sau đây
có thể được áp dụng để bảo vệ khỏi phần mềm độc hại :
– Không bao giờ nhấp vào
liên kết hoặc tải xuống tệp đính kèm từ email đến từ các nguồn đáng ngờ
– Thường xuyên vá và cập
nhật phần mềm và ứng dụng
– Sử dụng các giải pháp bảo
mật phù hợp với hệ điều hành của bạn
Ngọc Lan
Nguồn : VNTB, 06/12/2020
********************
Volexity
vạch trần các hoạt động "tin tặc" của Nhóm Sen Biển được cho
là trực thuộc nhà nước Việt Nam
Thanh
Vi, SBS, 05/12/2020
Cuộc điều tra của
Volexity
Công ty Volexity, công ty
tư nhân chuyên về an ninh mạng tại Hoa kỳ, ngày 6/11/2020, đã công bố một phần
kết quả của cuộc điều tra kéo dài nhiều năm về hoạt động của nhóm
OceanLotus ̣hay Sen Biển, còn được bíết dưới tên APT32.
https://live.staticflickr.com/65535/50688978547_9c6190911e.jpg
Các hoạt động
"tin tặc" của nhóm Sen Biển qua các trang tin giả để theo dõi và lần
ra các cá nhân, tổ chức người Việt có lập trường đối kháng đã bị Volexity, công
ty tư nhân chuyên về an ninh mạng tại Hoa kỳ, vạch trần.
Theo nguồn tin này, Sen
Biển điều hành gân 20 trang tin giả và nhiều trang Facebook trong nỗ lực thu thập
tin tức của những người vào đọc các trang này, từ đó nhận diện các thành phần đối
kháng với chế độ và tìm cách xâm nhập tài khoản email hoặc facebook của họ.
Khi đã xâm nhập
thành công, nhóm tin tặc này sẽ ẩn mình theo dõi những người thường xuyên đối tác
với đối tượng đã bị xâm nhập. Cứ vậy, họ phăng dần ra những đường dây hoạt động
đối kháng.
Volexity tin rằng
OceanLotus làm việc cho nhà nước Việt Nam
Trong một bài báo đăng
ngày 7/11/2020 mạng tựa đề : "Tin tặc Việt Nam lập trang web ‘Fake
News’ để nhắm mục tiêu vào khách truy cập, tạp chí vice.com cho biết ông Steven
Adair, sáng lập viên Volexity đã phát biểu với tạp chí này :
Trước đó công ty an ninh
mạng FireEye, trụ sở tại California Hoa kỳ, cũng đã liên
hệ OceanLotus với chính phủ Việt Nam.
Trong tài liệu mới được
công bố, Volexity khuyến cáo :
"Các cá nhân có nguy
cơ cao và có khả năng là mục tiêu của OceanLotus nên đặc biệt cẩn thận đối với
các trang mà họ đang truy cập, đặc biệt nếu các trang mạng đó được đề nghị hoặc
liên kết với họ qua e-mail, hay các dịch vụ chat, nhắn tin hoặc thậm chí SMS.
Ngoài ra, dù là trang mạng nào đi nữa, Volexity cũng khuyến cáo những cá nhân
này nên hết sức thận trọng khi trang ấy có hiển thị tài liệu để họ tải xuống hoặc
yêu cầu họ đăng nhập."
Những trang tin giả được
Volexity nêu rõ gồm :
baodachieu.com,
baomoi.com, baomoivietnam.com, ledanvietnam.com, nhansudaihoi13.org,
tocaoonline.org, thamcungbisu.org, tinmoivietnam.com.
https://live.staticflickr.com/65535/50688149203_c32c04d891.jpg
Khi đã xâm nhập
thành công, nhóm tin tặc này sẽ ẩn mình theo dõi những người thường xuyên đối
tác với đối tượng đã bị xâm nhập.
Volexity cho biết trước
đây, khi hai trang tin giả đầu là "Tin không lề" và "Sự thật về
Formosa" bị công ty này tố cáo, Sen Biển đã phải cho hai trang này ngưng
hoạt động.
BPSOS hợp tác với
Volexity trong cuộc điều tra này
BPSOS, tổ chức
phi chính phủ tại Hoa kỳ, chuyên tiến hành các hoạt động và chương trình với
quy mô quốc tế nhằm vận động cho nhân quyền và dân chủ tại Việt Nam, được cho
là một trong những đối tượng chủ yếu mà nhóm này nhắm đến, nhưng đã hoàn toàn
thất bại.
Trong phần phỏng vấn đầu
trang, Chủ tịch kiêm Giám đốc điều hành BPSOS, Tiến sĩ Nguyễn Đình Thắng cho biết BPSOS
đã hợp tác với Veloxity để "gài bẫy và vô hiệu hóa" các hoạt động tin
tặc của Sen Biển nhắm vào tổ chức này.
Việt Nam nói gì
?
Cũng trong năm nay, Phó
phát ngôn viên Bộ Ngoại giao Việt Nam Ngô Toàn Thắng gọi các cáo buộc cho rằng
Việt Nam dính líu đến hoạt động của OceanLotus là những "thông tin vô căn cứ".
Ông nói : "Việt Nam
nghiêm cấm mọi hoạt động tấn công mạng nhằm vào các tổ chức và cá nhân dưới mọi
hình thức".
Trong khi đó, Việt Nam bị
Tổ chức Phóng viên Không Biên giới xếp hạng thứ
175/180 quốc gia được tổ chức này đánh giá về mặt tự do báo chí năm 2019.
Thanh Vi
Nguồn : SBS
tiếng Việt, 05/12/2020
No comments:
Post a Comment