Nhóm APT DarkCasino mới xuất hiện khai thác lỗ hổng trên WinRAR

- Nhóm APT DarkCasino đã bắt đầu hoạt động kể từ năm 2021 với động cơ nhằm vào kinh tế.

DarkCasino có trình độ kỹ thuật và khả năng học tập nhanh chóng, tích hợp nhiều hình thức tấn công APT khác nhau vào chuỗi tấn công của mình. Các chiến dịch tấn công do nhóm thực hiện có mật độ thường xuyên, thể hiện khát vọng đánh cắp tài sản trực tuyến của nhóm.

Gần đây, DarkCasino đã được phát hiện đang thực hiện khai thác lỗ hổng zero-day CVE-2023-38831 (Điểm CVSS: 7.8) cho phép đối tượng tấn công triển khai các payload độc hại.

Vào tháng 08/2023, cơ quan bảo mật đã phát hiện một chiến dịch tấn công có sử dụng lỗ hổng này nhằm vào các diễn đàn giao dịch để phát tán payload có tên DarkMe, một mã độc trojan Visual Basic có liên kết với DarkCasino.

Ảnh minh họa

Mã độc có khả năng thu thập thông tin của thiết bị, chụp ảnh, thao túng tệp tin và Windows Registry, thực thi câu lệnh và tự cập nhật trên thiết bị nhiễm mã độc.

Trước đó, DarkCasino đã được coi là một chiến dịch lừa đảo thực hiện bởi nhóm Evilnum nhằm vào các nền tảng tín dụng, tiền ảo tại Châu Âu và Châu Á, tuy nhiên, qua thời gian theo dõi chuyên sâu thì nhóm DarkCasino đã được xếp loại thành một đối tượng mới riêng biệt.

Trong thời gian gần đây, với sự thay đổi về biện pháp lừa đảo, các chiến dịch tấn công của nhóm APT này đã vươn tầm quốc tế, gây ảnh hưởng tới các quốc gia như Hàn Quốc và Việt Nam.

Được biết, lỗ hổng CVE-2023-38831 đã được khai thác bởi nhiều nhóm APT khác như APT28, APT29, APT40, Dark Pink, Ghostwriter, Konni, và Sandworm. Trong đó, chuỗi tấn công của Ghostwriter được coi là đã mở đường cho PicassoLoader, một mã độc trung gian đóng vai trò làm bộ tải cho các payload độc hại khác.

Nhận định từ chuyên gia bảo mật cho rằng việc lỗ hổng CVE-2023-38831 trên WinRAR bị khai thác đã đem lại những mối lo ngại bất định về tình hình tấn công APT vào nửa cuối năm 2023.

Bổ sung thêm, chuyên gia cho biết rằng lỗ hổng an toàn thông tin này cũng đã được khai thác bởi nhiều nhóm khác nhau để thực hiện các chiến dịch tấn công nhằm vào chính phủ với mục tiêu vượt qua hệ thống bảo mật, đạt được mục tiêu đặt ra của đối tượng.