Mối đe dọa của APT36 và sự tiến hóa của ElizaRAT.

APT36, còn gọi là Transparent Tribe, là một nhóm tấn công mạng có trụ sở tại Pakistan. Nhóm này nổi tiếng vì đã nhắm vào các tổ chức chính phủ, nhân sự ngoại giao và quân đội Ấn Độ thông qua nhiều chiến dịch gián điệp mạng, tấn công vào các hệ điều hành Windows, Linux và Android.

Thông tin chi tiết

Trong các chiến dịch gần đây, APT36 sử dụng ElizaRAT - một mã độc RAT nhắm vào Windows. Kể từ khi được phát hiện năm 2023, ElizaRAT đã phát triển để tăng cường kỹ thuật né tránh và duy trì độ ổn định trong việc truyền tin tức với máy chủ điều khiển.

Các phát hiện chính:

• Nhóm Transparent Tribe sử dụng ElizaRAT trong các cuộc tấn công có mục tiêu vào Ấn Độ.

• ElizaRAT đã được nâng cấp với kỹ thuật né tránh và thêm payload đánh cắp dữ liệu “ApoloStealer.”

• ElizaRAT lợi dụng các dịch vụ đám mây như Telegram, Google Drive, và Slack để truyền tin.

ElizaRAT, từ khi được công bố lần đầu vào tháng 9/2023, thường được phát tán qua các tập tin CPL từ liên kết Google Storage, có thể qua các cuộc tấn công lừa đảo. C2 ban đầu thông qua các kênh Telegram và đã dần tiến hóa về phương pháp thực thi, kỹ thuật né tránh và liên lạc với C2.

ElizaRAT và các biến thể khác nhau của mã độc này bao gồm các payload như ApoloStealer. APT36, còn gọi là Transparent Tribe, sử dụng ElizaRAT để tiến hành các chiến dịch gián điệp nhằm vào các hệ thống Ấn Độ. ElizaRAT được phát tán thông qua các liên kết Google Storage dưới dạng tệp CPL và giao tiếp với máy chủ điều khiển qua các dịch vụ đám mây như Google Drive, Telegram và Slack.

Các chiến dịch được chia thành nhiều chiến dịch nhỏ dựa trên cách sử dụng C2 và phương pháp phát tán, bao gồm:

1. Slack Campaign - sử dụng Slack làm cơ sở hạ tầng C2.

2. ApoloStealer - payload bổ sung nhằm đánh cắp thông tin từ hệ thống của nạn nhân.

3. Circle Campaign - chiến dịch này sử dụng VPS thay vì dịch vụ đám mây.

4. Google Drive Campaign - lợi dụng Google Cloud để truyền tải lệnh.

APT36 không ngừng cải tiến ElizaRAT để vượt qua các cơ chế phát hiện và tiếp cận dễ dàng với thông tin tình báo từ các thực thể tại Ấn Độ.

IOCs

Files

Network

Khuyến nghị

• Tăng cường nhận thức về các kỹ thuật lừa đảo qua email (phishing), đặc biệt là đối với các file .CPL và các email từ các nguồn không xác định.

• Yêu cầu xác thực đa yếu tố (MFA) cho tất cả tài khoản đám mây để giảm thiểu nguy cơ truy cập trái phép vào tài khoản.

• Sử dụng EDR (Endpoint Detection and Response) để phát hiện các tệp hoặc hành vi bất thường như tạo tệp shortcut, các quá trình lạ, và truy cập vùng hệ thống.

• Theo dõi các chỉ số như “India Standard Time” có trong các phiên đăng nhập hoặc hoạt động hệ thống để xác định các hệ thống có thể bị nhắm tới.

• Giới hạn quyền truy cập vào dữ liệu nhạy cảm, chỉ cho phép các tài khoản cần thiết. Đặt mật khẩu mạnh và mã hóa các tệp nhạy cảm, đặc biệt là các dữ liệu quan trọng hoặc riêng tư.

• Đảm bảo sao lưu dữ liệu an toàn, tránh để dữ liệu bị mất hoặc bị mã hóa trong trường hợp bị tấn công.

Tham khảo

Cloudy With a Chance of RATs: Unveiling APT36 and the Evolution of ElizaRAT<https://research.checkpoint.com/2024/the-evolution-of-transparent-tribes-new-malware/\>