[Cảnh báo] Máy chủ cập nhật phần mềm ASUS bị xâm nhập và sử dụng để phát tán mã độc

Các nhà nghiên cứu bảo mật mới đây đã tiết lộ một cuộc tấn công lớn, làm ảnh hưởng đến hơn 1 triệu máy tính được sản xuất bởi ASUS - gã khổng lồ công nghệ đến từ Đài Loan.

[Cảnh báo] Máy chủ cập nhật phần mềm ASUS bị xâm nhập và sử dụng để phát tán mã độc - Cybersec365.org

Theo đó, một nhóm tin tặc được nhà nước bảo trợ đã cố gắng chiếm quyền điều khiển máy chủ auto update ASUS Live trong khoảng thời gian từ tháng 6/2018 đến tháng 11/2018 và phát tán các bản cập nhật chứa mã độc đến hơn 1 triệu máy tính ASUS trên toàn thế giới.

Theo các nhà nghiên cứu bảo mật đến từ hãng bảo mật Kaspersky Lab tại Nga, chiến dịch này được đặt tên là Shadow Hammer, và Asus đã được thông báo về cuộc tấn công chuỗi cung ứng đang diễn ra vào ngày 31 tháng 1 năm 2019.

[Cảnh báo] Máy chủ cập nhật phần mềm ASUS bị xâm nhập và sử dụng để phát tán mã độc - Cybersec365.org

Sau khi phân tích hơn 200 mẫu mã độc, các nhà nghiên cứu phát hiện ra tin tặc không nhắm mục tiêu vào tất cả người dùng. Thay vào đó, chúng chỉ nhắm mục tiêu vào một danh sách người dùng được xác định bởi một danh sách địa chỉ MAC có sẵn.

"We were able to extract more than 600 unique MAC addresses from over 200 samples used in this attack. Of course, there might be other samples out there with different MAC addresses in their list," researchers say.

Các tập tin chứa mã độc trong chiến dịch Shadow Hammer đều được ký với chữ ký hợp pháp của ASUS và giúp nó trông giống như một bản cập nhật phần mềm chính thức của hãng. Chính điều này giúp nó không bị phát hiện bởi các chương trình Anti Virus trong một thời gian dài.

Tại thời điểm này, các nhà nghiên cứu không liên kết chiến dịch này với bất kỳ nhóm APT nào. Tuy nhiên, chiến dịch này có một số bằng chứng liên quan đến sự cố ShadowPad từ năm 2017, mà Microsoft quy cho nhóm APT BARIUM.
Theo Kaspersky, phiên bản chứa mã độc của ASUS Live Update đã được tải xuống và cài đặt bởi ít nhất 57.000 người dùng Kaspersky.

"We [researchers] are not able to calculate the total count of affected users based only on our data; however, we estimate that the real scale of the problem is much bigger and is possibly affecting over a million users worldwide," Kaspersky says.

Symantec nói với Vice rằng công ty đã xác định phần mềm độc hại trên hơn 13.000 máy chạy phần mềm chống virus của hãng.

Hầu hết các nạn nhân mà Kaspersky phát hiện là từ Nga, Đức, Pháp, Ý và Hoa Kỳ, mặc dù người dùng đã nhiễm phần mềm độc hại từ khắp nơi trên thế giới.

Kaspersky đã thông báo cho ASUS và các hãng Anti Virus khác về cuộc tấn công trong khi cuộc điều tra về vấn đề này vẫn đang tiếp diễn.

Nguồn: The Hacker News