Trung tâm VNCERT phát hiện chiến dịch mã độc APT tấn công vào Việt Nam

Trung tâm VNCERT – Trung tâm ứng cứu khẩn cấp máy tính Việt Nam phát hiện ra dấu hiệu của chiến dịch tấn công nhằm vào các hệ thống thông tin quan trọng tại Việt Nam thông qua việc phát tán và điều khiển mã độc có chủ đích (APT). Trung tâm yêu cầu Lãnh đạo đơn vị chỉ đạo các đơn vị thuộc phạm vi quản lý thực hiện khẩn cấp các công việc theo Công văn số 298/VNCERT-ĐPƯC.

Vào ngày 3 và 10/8/2017, hai tài liệu khai thác lỗ hổng CVE-2012-0158 đã được tải lên trang kiểm tra Virus Total:

1. “2017_08_03_Thông báo tổ chức thi đấu môn Tennis và bóng bàn giải CĐTTTT.doc”[1] (58c4d4e0aaefe4c5493243c877bbbe74) .

2. “517_CV-DU 10.8 sao gui CV 950-CV-BTCTW 18.5 sao gửi văn bản xác định tương đương trình độ cao cấp lý luận chính trị.doc” (b147314203f74fdda266805cf6f84876).

Khi mở, tài liệu sẽ đưa tệp Goopdate.dll (c3e9c9e99ed1b1116aaa9f93a36824ff) vào máy của người dùng. Mẫu mã độc thực hiện kết nối đến tên miền dalat.dulichovietnam[.]net cổng 53. Hệ thống phát hiện xâm nhập mạng Snort phát hiện kiểu kết nối này là TROJAN Win32/Upgilf [2] theo bộ luật của Emerging Threat.

Mô hình tấn công

Tên miền dulichovietnam[.]net có các tên miền con sau:

• hanoi.danang.dulichovietnam[.]net

• dalat.dulichovietnam[.]net

• hanoi.dulichovietnam[.]netד

• danang.dulichovietnam[.]net

• dalat.hanoi.dulichovietnam[.]net

• hanoi.hanoi.dulichovietnam[.]net

• danang.danang.dulichovietnam[.]net

• dalat.dulichovietnam[.]net

• danang.dalat.dulichovietnam[.]net

• danang.hanoi.dulichovietnam[.]net

• dalat.dalat.dulichovietnam[.]net

• hanoi.dalat.dulichovietnam[.]net

• dulichovietnam[.]net

Danh sách địa chỉ IP liên quan đến mã độc APT

• 209.58.179.202

• 209.58.176.46

• 188.42.254.112

• 66.154.125.145

• 176.223.165.165

• 60.251.29.40

Danh sách tên miền liên quan đến mã độc APT

• anh.phimhainhat[.]net

• data.dcsvn[.]org

• data.phimnoi[.]org

• dav.thanhnlen[.]com

• home.phimnoi[.]org

• home.vietnamplos[.]com

• login.phimhainhat[.]net

• login.phimnoi[.]org

• my.phimhainhat[.]net

• news.phapluats[.]com

• news.vietnannet[.]com

• vietnam.phimhainhat[.]net

Trong đó, tên miền  dcsvn[.]org đã hoạt động từ năm 2015 và được BKAV đề cập trong vụ việc mã độc tấn công hãng Hàng không Việt Nam Vietnam Airlines.

Trung tâm VNCERT đưa ra danh sách tệp tin chứa mã độc

Danh sách các tệp tin chứa mã độc được thực hiện trong chiến dịch tấn công của tin tặc:

File mềm Phụ lục được VNCert cung cấp tại link: Download

Tổng hợp