Các tác nhân mối đe dọa đã bị phát hiện lợi dụng các công cụ và phần mềm trí tuệ nhân tạo (AI) có vẻ hợp pháp để lén lút cấy mã độc, nhằm chuẩn bị cho các đợt tấn công về sau nhắm vào các tổ chức trên toàn cầu. Theo báo cáo của Trend Micro, chiến dịch này sử dụng các công cụ năng suất hoặc công cụ được tăng cường bởi AI để phân phối phần mềm độc hại, nhắm mục tiêu vào nhiều khu vực khác nhau, bao gồm châu Âu, châu Mỹ và khu vực Châu Á — Trung Đông — Châu Phi (AMEA).
Ngành sản xuất, cơ quan chính phủ, chăm sóc y tế, công nghệ và bán lẻ là những lĩnh vực chịu ảnh hưởng nặng nhất, với Ấn Độ, Hoa Kỳ, Pháp, Ý, Brazil, Đức, Vương quốc Anh, Na Uy, Tây Ban Nha và Canada được xác định là những khu vực có số ca lây nhiễm nhiều nhất — cho thấy phạm vi lây lan mang tính toàn cầu.
“Việc phân phối nhanh chóng và lan rộng trên nhiều khu vực cho thấy EvilAI không phải là một sự cố đơn lẻ mà là một chiến dịch đang hoạt động và tiến hóa trong tự nhiên,” các nhà nghiên cứu an ninh Jeffrey Francis Bonaobra, Joshua Aquino, Emmanuel Panopio, Emmanuel Roll, Joshua Lijandro Tsang, Armando Nathaniel Pedragoza, Melvin Singwa, Mohammed Malubay và Marco Dela Vega nhận định.
Trend Micro đã đặt tên chiến dịch này là EvilAI, miêu tả các tác nhân đứng sau chiến dịch là “có năng lực cao” do khả năng làm mờ ranh giới giữa phần mềm thật và phần mềm lừa đảo để phân phối mã độc, cũng như khả năng che giấu các tính năng độc hại bên trong những ứng dụng về cơ bản vẫn hoạt động bình thường. Một số chương trình được phân phối theo phương thức này bao gồm AppSuite, Epi Browser, JustAskJacky, Manual Finder, OneStart, PDF Editor, Recipe Lister và Tampered Chef. Một số khía cạnh của chiến dịch đã được Expel, G DATA và TRUESEC ghi nhận chi tiết trong tháng trước.
Điều quan trọng ở chiến dịch này là mức độ tinh vi mà kẻ tấn công đã thực hiện để khiến các ứng dụng này trông như hàng chính hãng, và sau khi cài đặt thì âm thầm thực hiện một loạt hoạt động độc hại ở nền mà không phát sinh dấu hiệu cảnh báo. Sự lừa dối được gia tăng bởi việc sử dụng các chứng chỉ ký số của những công ty “dùng một lần”, vì các chữ ký cũ dễ bị thu hồi.
“EvilAI ngụy trang dưới dạng các công cụ năng suất hoặc công cụ được nâng cấp bởi AI, với giao diện chuyên nghiệp và chữ ký số hợp lệ khiến người dùng và công cụ bảo mật khó phân biệt chúng với phần mềm hợp pháp,” Trend Micro nhận xét.
Mục tiêu cuối cùng của chiến dịch là tiến hành thăm dò mở rộng, chiết xuất dữ liệu trình duyệt nhạy cảm, và duy trì liên lạc thời gian thực được mã hóa với máy chủ chỉ huy và điều khiển (C2) để nhận lệnh từ kẻ tấn công và triển khai thêm các tải trọng (payload). Về phương thức lây lan, chiến dịch sử dụng nhiều kênh, bao gồm các website mới đăng ký mô phỏng cổng nhà cung cấp, quảng cáo độc hại, thao túng công cụ tìm kiếm (SEO), và các liên kết tải xuống được quảng bá trên diễn đàn và mạng xã hội.
Theo Trend Micro, EvilAI hoạt động chủ yếu như một stager — tức là làm nhiệm vụ mở đường để có được quyền truy cập ban đầu, thiết lập tính bền bỉ (persistence), và chuẩn bị hệ thống bị nhiễm cho các payload bổ sung — đồng thời thực hiện các bước để liệt kê phần mềm bảo mật đã cài và cản trở việc phân tích.
“Thay vì dựa vào các tệp rõ ràng mang tính độc hại, những trojan này bắt chước hình thức phần mềm thực để lẩn tránh cả môi trường doanh nghiệp lẫn cá nhân, thường đạt được quyền truy cập bền vững trước khi bị phát hiện,” công ty cho biết. “Chiến lược hai mục đích này đảm bảo kỳ vọng của người dùng được đáp ứng, qua đó giảm khả năng nghi ngờ hoặc điều tra.”
Phân tích sâu hơn từ G DATA còn xác định rằng các tác nhân đứng sau OneStart, ManualFinder và AppSuite là cùng một nhóm, và hạ tầng máy chủ được dùng chung để phân phối và cấu hình tất cả các chương trình này. “Họ đã rao bán mã độc ngụy trang dưới dạng trò chơi, in công thức nấu ăn, tìm công thức, tìm hướng dẫn — và gần đây bổ sung từ khóa ‘AI’ để lôi kéo người dùng,” nhà nghiên cứu an ninh Banu Ramakrishnan nhận định.
Expel báo cáo rằng các nhà phát triển đứng sau chiến dịch AppSuite và PDF Editor đã sử dụng ít nhất 26 chứng chỉ ký mã (code-signing certificates) được cấp cho các công ty tại Panama và Malaysia, cùng các nơi khác trong vòng bảy năm qua để khiến phần mềm của họ trông hợp pháp. Công ty an ninh mạng này theo dõi mã độc được ký bằng các chứng chỉ đó dưới tên BaoLoader, đồng thời cho biết nó khác với TamperedChef — dựa trên sự khác biệt về hành vi và mẫu chứng chỉ.
Đáng chú ý, tên TamperedChef ban đầu được gán cho một ứng dụng công thức độc hại được cấu hình để thiết lập kênh liên lạc ẩn với máy chủ từ xa và nhận các lệnh hỗ trợ việc đánh cắp dữ liệu. “TamperedChef sử dụng chứng chỉ ký mã cấp cho các công ty tại Ukraine và Vương quốc Anh trong khi BaoLoader liên tục dùng chứng chỉ từ Panama và Malaysia,” công ty nhấn mạnh.
Và đó chưa phải là tất cả. Field Effect và GuidePoint Security đã lần lượt phát hiện thêm nhiều tệp nhị phân có chữ ký số giả dạng công cụ lịch và trình xem ảnh, và lợi dụng framework desktop NeutralinoJS để thực thi mã JavaScript tuỳ ý và rút dữ liệu nhạy cảm. “Việc sử dụng NeutralinoJS để thực thi payload JavaScript và tương tác với API hệ thống gốc cho phép truy cập tệp ẩn, sinh tiến trình và giao tiếp mạng một cách kín đáo,” Field Effect cho biết. “Mã độc còn dùng các homoglyph Unicode để mã hoá payload bên trong các phản hồi API có vẻ vô hại, cho phép nó vượt qua các biện pháp phát hiện dựa trên chuỗi và so khớp chữ ký.”
Công ty an ninh mạng Canada cho rằng sự hiện diện của nhiều nhà xuất bản ký mã khác nhau trên nhiều mẫu cho thấy hoặc là có một nhà cung cấp mã độc-dưới-dạng-dịch-vụ (malware-as-a-service) được chia sẻ, hoặc tồn tại một thị trường chứng chỉ ký mã tạo điều kiện cho phân phối rộng rãi.
“Chiến dịch TamperedChef minh họa cách các tác nhân mối đe dọa đang tiến hoá phương thức phân phối bằng cách vũ khí hóa các ứng dụng có thể không mong muốn (PUA), lạm dụng ký mã số, và triển khai các kỹ thuật mã hoá ẩn,” công ty nhận định. “Những chiến thuật này cho phép mã độc ngụy trang dưới dạng phần mềm hợp pháp, vượt qua các biện pháp bảo vệ điểm cuối và lợi dụng niềm tin của người dùng.”
