Các nhà nghiên cứu an ninh mạng vừa phát hiện hoạt động tấn công mạng mới của một nhóm đe dọa có liên hệ với Đông Á, nhắm mục tiêu vào các thực thể chính phủ ở Trung Đông.
Theo Zscaler ThreatLabz, các cuộc xâm nhập đã dẫn đến việc triển khai các dòng mã độc chưa từng được báo cáo trước đây có tên gọi là TELESHIM, MIXEDKEY và BINDCLOAK. Công ty an ninh mạng này cho biết họ đã phát hiện chiến dịch vào đầu tháng này.
"Chiến dịch đã sử dụng một chuỗi tấn công đa giai đoạn để thiết lập và duy trì quyền truy cập trên các hệ thống bị nhiễm, trong đó TELESHIM lạm dụng Telegram API để liên lạc điều khiển (C2) nhằm ẩn mình vào lưu lượng Internet hợp pháp", Sudeep Singh, quản lý cấp cao về nghiên cứu APT tại Zscaler ThreatLabz, cho biết trong một bài phân tích kỹ thuật được công bố tuần trước.
Chuỗi tấn công đa giai đoạn và mã độc TELESHIM
Chuỗi tấn công bắt đầu bằng một tệp ISO chứa tệp thực thi hợp pháp ("RegSchdTask.exe"), được sử dụng để sideload một DLL độc hại ("AsTaskSched.dll"). Đây là một backdoor 32-bit trên Windows có tên gọi là TELESHIM, sau đó nó lạm dụng Telegram làm C2 để tải xuống các thành phần giai đoạn tiếp theo.
Hai trong số các payload này được sử dụng để kích hoạt chuỗi DLL side-loading thứ hai bao gồm "GoProAlertService.exe" và "pthreadVC2.dll". Trong đó, tệp sau đóng vai trò là một reflective loader với mật danh MIXEDKEY để giải mã nội dung của "C99F29AC08454855B3D538960BB2F34F.PCPKEY" và thực thi nó.
Kỹ thuật làm rối mã và né tránh phân tích
Cả TELESHIM và MIXEDKEY đều được phát hiện là dựa trên các kỹ thuật làm rối mã (code obfuscation) phức tạp, bao gồm mã hóa chuỗi, làm phẳng luồng điều khiển (CFF), toán học boolean hỗn hợp (MBA) và các mệnh đề mờ (opaque predicates) nhằm ngăn chặn nỗ lực dịch ngược mã nguồn. TELESHIM cũng sử dụng một loạt các phương pháp để phát hiện sự hiện diện của môi trường phân tích dựa trên ảo hóa:
- Phát hiện Hypervisor bằng cách sử dụng CPUID
- Kiểm tra tốc độ RAM bằng Windows Management Instrumentation (WMI)
Giao tiếp C2 của TELESHIM hỗ trợ hai loại thông điệp:
- Tin nhắn điều khiển (Control messages): Được sử dụng để đăng ký máy chủ bị nhiễm bằng cách gửi địa chỉ MAC của máy chủ, thực thi các lệnh nhận được và trích xuất kết quả gửi lại máy chủ theo từng khối nếu dữ liệu đầu ra lớn hơn 1.000 byte.
- Tin nhắn tải xuống và thực thi (Download and execute messages): Được sử dụng để tải xuống và chạy các payload phụ dưới dạng các tác vụ được lập lịch (scheduled tasks).
Điều đáng chú ý về payload cuối cùng là nó được bảo vệ bởi hai lớp mã hóa XOR. Lớp thứ hai sử dụng kỹ thuật gọi là environmental keying, mã hóa bằng khóa giải mã được dẫn xuất từ số sê-ri ổ đĩa (volume serial number) của máy bị nhiễm. Điều này giúp mã độc chỉ có thể thực thi chính xác trên các mục tiêu đã định sẵn.
BINDCLOAK và hoạt động sau xâm nhập
Trình tự tấn công kết thúc bằng việc triển khai BINDCLOAK, một implant C2 64-bit viết bằng C++ có nhiệm vụ liên lạc với máy chủ bên ngoài ("cert.hypersnet[.]com").
ThreatLabz lưu ý rằng họ đã xác định được hoạt động sau xâm nhập từ kẻ vận hành C2, chẳng hạn như các lệnh trinh sát hệ thống, người dùng và mạng, cũng như việc phân phối các payload giai đoạn tiếp theo. Hầu hết các hoạt động này diễn ra từ ngày 7 tháng 7 năm 2026 đến ngày 9 tháng 7 năm 2026. Các lệnh C2 chỉ được thực hiện trong khoảng từ 4 giờ sáng đến 12 giờ trưa UTC, với phần lớn hoạt động tập trung từ 7 giờ sáng đến 11 giờ sáng UTC.
Dựa trên địa chỉ IP công cộng của tác nhân đe dọa, cấu hình ngôn ngữ hệ thống trên máy chủ Windows, vị trí địa lý của IP và giờ hoạt động, các chuyên gia đánh giá với độ tin cậy từ trung bình đến cao rằng chiến dịch này là tác phẩm của một đối thủ có nguồn gốc từ Đông Á. Hiện tại, chiến dịch vẫn chưa được gán cho bất kỳ nhóm đe dọa cụ thể nào.
"Hoạt động này cũng phản ánh các xu hướng rộng lớn hơn như né tránh EDR, ẩn mình vào lưu lượng Internet hợp pháp thông qua việc lạm dụng các nền tảng đáng tin cậy và sử dụng kỹ thuật làm rối mã như MBA và CFF để cản trở quá trình dịch ngược", Singh cho biết.
