PipeMagic – Backdoor giả dạng ChatGPT và khai thác zero-day

PipeMagic là một backdoor modular tinh vi được nhóm tin tặc Storm-2460 sử dụng trong các chiến dịch tấn công. Điểm đặc biệt là chúng giả mạo ứng dụng ChatGPT Desktop mã nguồn mở để phát tán mã độc.

Cách thức hoạt động

1. Phát tán: Tin tặc chỉnh sửa mã nguồn của dự án ChatGPT Desktop trên GitHub, chèn mã độc để khi người dùng chạy, ứng dụng sẽ giải mã và tải PipeMagic trực tiếp vào bộ nhớ (in-memory execution).

2. Khai thác zero-day: Sau khi chạy, PipeMagic được kết hợp với việc khai thác lỗ hổng CVE-2025-29824 (Windows CLFS – privilege escalation). Điều này cho phép kẻ tấn công leo thang đặc quyền và có toàn quyền trên hệ thống.

3. Kết nối C2: PipeMagic sử dụng TCP/WebSocket để kết nối tới máy chủ điều khiển (C2). Địa chỉ C2 trong mẫu phân tích được phát hiện là: aaaaabbbbbbb.eastus.cloudapp.azure[.]com:443 (hiện đã bị Microsoft vô hiệu hóa).

4. Tải mô-đun động: Thay vì chứa sẵn toàn bộ chức năng, PipeMagic nhận các payload module qua kênh liên lạc đặc biệt gọi là named pipe (\\.\pipe\1.<BotID>).

   • Mỗi máy nhiễm sẽ sinh ra một Bot ID 16 byte riêng biệt.

     

   • Payloads sau khi tải về sẽ được giải mã RC4 và kiểm tra SHA-1 hash để đảm bảo toàn vẹn trước khi thực thi.

     

5. Kiến trúc modular: PipeMagic quản lý nhiều loại doubly linked list trong bộ nhớ:

   • Payload list – lưu các module thô mới tải về.

   • Execute list – chứa module đã sẵn sàng chạy.

   • Network list – phụ trách C2 communication.

   • Unknown list – chưa rõ mục đích, có thể dành cho module tùy chỉnh.

6. Thu thập thông tin hệ thống: Trước khi triển khai ransomware, PipeMagic sẽ gửi về C2 nhiều dữ liệu:

   • Bot ID, tên máy, phiên bản Windows, tên miền, PID tiến trình, IP, session ID…

   • Danh sách module đang tải trong bộ nhớ.

7. Cuối cùng: Tin tặc triển khai ransomware vào hệ thống đã bị chiếm quyền.

Vì sao PipeMagic nguy hiểm?

• Giả dạng ứng dụng hợp pháp (ChatGPT Desktop) → dễ lừa người dùng tải về.

• In-memory execution → tránh bị phát hiện bởi antivirus truyền thống.

• Modular & linh hoạt → tin tặc có thể tải bất cứ chức năng nào khi cần, từ đánh cắp dữ liệu đến mã hóa file.

• Zero-day exploit → giúp chiếm toàn quyền trên hệ thống mục tiêu.

Mục tiêu bị nhắm đến

• Các tổ chức trong CNTT, tài chính, bất động sản.

• Nạn nhân trải rộng khắp Mỹ, châu Âu, Nam Mỹ, Trung Đông.

Khuyến nghị

Để phòng ngừa và phát hiện kịp thời dấu hiệu của backdoor trên, phía FPT Threat Intelligence đưa ra các khuyến nghị sau:

• Cập nhật bản vá bảo mật

  • Triển khai ngay bản vá cho CVE-2025-29824 (Windows CLFS) và các lỗ hổng liên quan.

  • Đảm bảo hệ điều hành và phần mềm thường xuyên được update để giảm nguy cơ khai thác zero-day.

• Kiểm soát nguồn tải phần mềm

  • Chỉ tải ứng dụng từ nguồn chính thống (ví dụ trang chủ, Microsoft Store).

  • Cảnh báo người dùng về nguy cơ từ việc tải ChatGPT Desktop hay phần mềm AI từ GitHub/nguồn không rõ ràng.

• Giới hạn đặc quyền người dùng

  • Không cấp quyền admin mặc định cho user.

  • Áp dụng nguyên tắc Least Privilege để giảm tác động khi bị khai thác.

• Chính sách bảo mật email & web

  • Triển khai Email Security Gateway để ngăn file độc hại.

  • Chặn download file từ site không tin cậy hoặc đã bị compromise.

• Theo dõi kết nối C2

  • Giám sát kết nối TCP/WebSocket ra ngoài (port 443 nhưng hành vi khác thường, ví dụ WebSocket upgrade).

  • Lưu ý domain bất thường như *.cloudapp.azure[.]com.

• Giám sát công cụ hệ thống

  • PipeMagic sử dụng certutil.exe và MSBuild.exe để tải và thực thi payload.

  • Giám sát hành vi tạo named pipe bất thường

  • Cảnh báo khi các tiến trình này truy cập Internet hoặc chạy lệnh không điển hình.

• Phân tích bộ nhớ (memory forensic)

  • PipeMagic chạy in-memory nên ít để lại dấu vết file.

  • Sử dụng EDR có khả năng quét bộ nhớ để phát hiện module inject.

Kết luận

PipeMagic không chỉ là một backdoor thông thường mà là một framework mã độc. Với thiết kế đa mô-đun + khai thác zero-day + ngụy trang phần mềm hợp pháp, nó là công cụ nguy hiểm trong tay Storm-2460 để triển khai ransomware.

Việc hiểu cách PipeMagic hoạt động sẽ giúp các chuyên gia ATTT:

• Phát hiện hành vi bất thường (WebSocket kết nối lạ, tạo named pipe khả nghi).

• Điều tra forensic (tìm bot ID, RC4 key, SHA-1 validation trong bộ nhớ).

• Ngăn chặn kịp thời trước khi ransomware được kích hoạt.

IOC

Tham khảo

• https://www.microsoft.com/en-us/security/blog/2025/08/18/dissecting-pipemagic-inside-the-architecture-of-a-modular-backdoor-framework/

• https://cybersecuritynews.com/pipemagic-malware-mimic-as-chatgpt/