Cảnh báo chiến dịch độc hại OneClik lạm dụng Microsoft ClickOnce và AWS

Một chiến dịch độc hại tinh vi với tên gọi “OneClik” đã lợi dụng công cụ triển khai phần mềm ClickOnce của Microsoft và backdoor Golang tùy chỉnh, nhằm xâm phạm các tổ chức trong lĩnh vực năng lượng, dầu mỏ và khí đốt.

ClickOnce là công nghệ triển khai của Microsoft cho phép các nhà phát triển tạo ra các ứng dụng chạy trên Windows có khả năng tự cập nhật, giúp giảm thiểu tương tác của người dùng.

Tin tặc dựa vào các dịch vụ đám mây AWS hợp pháp (AWS, Cloudfront, API Gateway, Lambda) để giữ bí mật máy chủ điều khiển và ra lệnh (C2). Các nhà nghiên cứu bảo mật tại công ty an ninh mạng Trellix (Mỹ) đã phân tích ba biến thể của chiến dịch (v1a, BPI-MDM và v1d), tất cả đều triển khai một backdoor Golang tinh vi có tên là RunnerBeacon, thông qua trình tải .NET OneClik.

Theo Trellix, mỗi phiên bản của chiến dịch OneClik đều có những kỹ thuật tấn công tiên tiến, che giấu máy chủ C2, chống phân tích mạnh mẽ và né tránh sandbox. Trong khi các chỉ số hoạt động chỉ ra các tác nhân đe dọa có liên quan đến Trung Quốc, các nhà nghiên cứu vẫn thận trọng khi đưa ra kết luận.

Lạm dụng ClickOnce

Các cuộc tấn công OneClik kết hợp các công cụ hợp pháp với phần mềm độc hại tùy chỉnh cùng các công cụ đám mây, cho phép kẻ tấn công ẩn mình trước các giải pháp bảo mật. Chiến dịch bắt đầu bằng một email lừa đảo có liên kết đến một trang web phân tích phần cứng giả mạo trong hệ sinh thái Azure, trong đó có chứa tệp APPLICATION (tệp manifest ClickOnce) được ngụy trang thành một công cụ hợp pháp.

Các nhà nghiên cứu của Trellix cho biết kẻ tấn công đã sử dụng ứng dụng ClickOnce làm cơ chế phân phối phần mềm độc hại mà không kích hoạt cơ chế kiểm soát tài khoản người dùng. “Các ứng dụng ClickOnce khởi chạy theo dịch vụ Deployment Service (dfsvc[.]exe), cho phép kẻ tấn công ủy quyền thực thi các phần mềm độc hại thông qua máy chủ đáng tin cậy này”, Trellix giải thích.

Chuỗi lây nhiễm trong các cuộc tấn công OneClik

Sau khi thực thi, trình tải ClickOnce sẽ chạy các đoạn mã độc bằng cách chiếm quyền điều khiển ứng dụng .NET load các assembly, một kỹ thuật được gọi là AppDomainManager injection.

Trong trường hợp của OneClik, điều này cho phép kẻ tấn công sử dụng tệp thực thi .NET hợp lệ, chẳng hạn như ZSATray[.]exe, umt[.]exe hoặc ied[.]exe. Để che giấu hoạt động trong thời gian dài hơn, kẻ tấn công đã lạm dụng các dịch vụ AWS hợp pháp, khiến cho việc giao tiếp với máy chủ C2 trông giống như giao dịch đám mây thông thường, vì nó được truyền thông với lưu lượng CDN vô hại.

Trong biến thể OneClik v1a, beacon đã liên hệ với tên miền phân phối Cloudfront và điểm cuối API Gateway. Trong v1d, beacon sử dụng URL của AWS Lambda làm địa chỉ callback HTTP.

Backdoor RunnerBeacon

Phân tích backdoor RunnerBeacon dựa trên Golang cho thấy giao thức C2 của nó mã hóa toàn bộ lưu lượng bằng thuật toán RC4 và dữ liệu được tuần tự hóa (serialized data) bằng MessagePack. Một số phương pháp mà backdoor sử dụng để cản trở việc phân tích, các nhà nghiên cứu đã tìm thấy một chuỗi “obfuscate_and_sleep” và “jitter” ngẫu nhiên trong beacon.

Các nhà nghiên cứu cho biết, backdoor này có khả năng thực hiện lệnh shell (CreateProcessW); chạy các hoạt động tệp tin (liệt kê thư mục, tải lên, tải xuống); thực hiện các nhiệm vụ liên quan đến mạng (quét cổng); thiết lập SOCKS5t tunnel để chuyển tiếp lưu lượng dữ liệu.

Bên cạnh đó, RunnerBeacon có thể hoạt động nâng cao hơn như chèn tiến trình mới và thiết lập giai đoạn để leo thang đặc quyền. Trellix cho biết thiết kế của RunnerBeacon tương tự như các beacon Cobalt Strike dựa trên Go đã biết trước đó.

Báo cáo từ Trellix bao gồm danh sách toàn diện các chỉ số xâm phạm (IoC) của tất cả các thành phần trong chiến dịch OneClik, từ các mồi nhử lừa đảo và trình tải phần mềm độc hại đến các tệp cấu hình, tệp nhị phân backdoor, tệp thực thi hợp pháp, tên miền và tham số cấu hình. Quý độc giả có thể theo dõi tại đây.