1. Tóm tắt

• EarthBaku (Hay còn được biết với cái tên APT41) đã mở rộng phạm vi hoạt động trên toàn khu vực Ấn Độ Dương - Thái Bình Dương sang khu vực châu Âu, Trung Đông và châu Phi - cụ thể các quốc gia như Ý, Đức, UAE, Qatar với các hoạt động đáng nghi tại Georgia và Romania.

• Nhóm này sử dụng các ứng dụng công khai như các máy chủ IIS làm điểm xâm nhập, triển khai các bộ công cụ phần mềm độc hại tiên tiến như webshell Godzilla, StealthVector, StealthReacher và SneakCross

• StealthVector và StealthReacher là các loader tùy chỉnh để thực hiện cài đặt backdoor, đồng thời dùng các kỹ thuật mã hóa AES và giấu thông tin mã nguồn của mã độc. SneakCross là backdoor mới nhất của APT41, sử dụng các dịch vụ của Google để thực hiện các hoạt động C2C và có thể tự động cập nhật.

• Sau khi khai thác thành công mục tiêu, Earth Baku sử dụng các công cụ như Iox, Rakshasa và Tailscale để duy trì tính ổn định của mã độc, cùng với MEGAcmd để trích xuất dữ liệu

2. Mục tiêu APT41 nhắm tới

Ban đầu mục tiêu của APT41 vào khu vực Ấn Độ Dương - Thái Bình Dương với các chiến dịch trước đó, Earth Baku đã bắt đầu mở rộng sự hiện diện của mình sang châu Âu, Trung Đông và châu Phi, bao gồm các quốc gia như Ý, Đức, UAE và Qatar. Hơn nữa, các chuyên gia bảo mật TrendMicro cũng đã phát hiện thấy các kết nối đến cơ sở hạ tầng của nhóm này có nguồn gốc từ Georgia và nhiều bộ công cụ chứa phần mềm độc hại được tải lên từ Romania. Do đó, hai quốc gia này cũng có khả năng đang bị đe dọa về vấn đề an toàn thông tin mạng. Hình ảnh dưới đây cho thấy tất cả các khu vực có thể đang bị Earth Baku nhắm tới.

Hơn nữa, các lĩnh vực mà đang bị nhắm tới bao gồm:

• Khối Chính phủ

• Khối Truyền thông

• Khối Viễn thông

• Các ngành công nghệ

• Dịch vụ chăm sóc sức khỏe

• Ngành giáo dục

3. Phương thức lây nhiễm

Trong các hoạt động gần đây, các cuộc tấn công của Earth Baku đã khai thác các ứng dụng công khai, đặc biệt là các máy chủ IIS, làm điểm xâm nhập. Sau khi những kẻ tấn công giành được quyền truy cập, chúng triển khai webshell Godzilla, cho phép chúng duy trì quyền kiểm soát máy chủ bị xâm nhập. Thông qua Godzilla, Earth Baku có thể triển khai bộ nạp shellcode StealthVector và backdoor của, Cobalt Strike, cùng với backdoor mới có tên là SneakCross.

Trong giai đoạn sau khai thác hoàn tất, Earth Baku xây dựng các kênh truyền kết nối bí mật để duy trì quyền kiểm soát bằng cách sử dụng các công cụ tạo kết nối mạng bí mật. Ngoài ra, phía TrendMicro đã theo dõi và thấy rằng công cụ MEGAcmd được triển khai vào môi trường của nạn nhân, có khả năng để trích xuất dữ liệu.

4. Phân tích kỹ thuật

Phần dưới đây sẽ liệt kê các thành phần chính về các loại mã độc mà nhóm APT41 này sử dụng phục vụ cho việc tấn công và khai thác dữ liệu của nạn nhân.

Loader: StealthVector và StealthReacher

StealthVector là một loại khởi tạo backdoor nhằm mục đích để khởi tạo một backdoor khác của EarthBaku trong chế độ ẩn danh. Trong năm nay, EarthBaku đã thực hiện thêm 2 loại Loader mới nhằm mục đích tạo backdoor cho chính nó mang tên: CobaltStrike và SneakCross (hay còn được biết với tên gọi MoonWalk)

StealthVector mới

StealthVector mới rất giống với phiên bản được phát hiện vào năm 2021. Mặc dù cấu trúc cấu hình thay đổi không nhiều, nhưng hiện tại nó sử dụng AES làm thuật toán mã hóa thay vì ChaCha20. Trong một số loại biến thể khác có sử dụng một trình ảo hóa mã nhằm xáo trộn mã nguồn, khiến phần mềm độc hại khó phân tích hơn và bản thân các loại mã độc trên cũng được thiết kế thêm các cơ chế nhằm tránh khỏi sự phát hiện của các biện pháp bảo mật hiện nay

StealthReacher

StealthReacher (còn được gọi là DodgeBox) có thể được coi là một biến thể nâng cao của StealthVector, với các kỹ thuật ẩn mã như FNV1-a và các cơ chế né tránh phòng thủ khác. So với StealthVector cũ, nó sử dụng thuật toán AES để mã hóa và hàm băm MD5 cho kiểm tra tổng. Dựa trên các quan sát của chúng tôi, StealthReacher là bộ nạp được chỉ định để khởi chạy cửa hậu mô-đun mới, SneakCross. Đáng chú ý là cả StealthVector và StealthReacher đều thực hiện mã hóa lại sau lần khởi tạo đầu tiên bằng mã hóa XOR, với khóa là tên máy tính của nạn nhân. Từ góc độ điều tra số, việc giải mã và phân tích payload thu thập được rất khó khăn ngay cả khi tất cả các thành phần loader và payload được thu thập cùng lúc.

Backdoor: SneakCross

SneakCross là một loại backdoor mới sử dụng dịch vụ của Google để thực hiện kết nối C&C. Nó sử dụng Windows Fibers để né tránh sự phát hiện từ các sản phẩm bảo vệ mạng và các giải pháp EDR. Có thể thấy rằng SneakCross là phiên bản kế nhiệm của module backdoor trước đó, ScrambleCross.

5. IOCs

Dưới đây là bảng IOC của các tệp độc hại

Dưới đây là bảng các IOC chứa Domain và IP độc hại

6. Tham khảo

• Unmasking Earth Baku: New Tactics and Targets in Cyber Espionage (hivepro.com)

• China-Backed Earth Baku Expands Cyber Attacks to Europe, Middle East, and Africa (thehackernews.com)

• trendmicro.com/content/dam/trendmicro/global/en/research/24/h/earth-baku/ioc-a-dive-into-earth-baku-latest-campaign.txt

• A Dive into Earth Baku’s Latest Campaign | Trend Micro (US)