Hacker đang hướng mục tiêu vào website dịch vụ công các quốc gia

Các nhà nghiên cứu tại Group-IB, một công ty quốc tế tập trung vào việc ngăn chặn các cuộc tấn công mạng, phát hiện ra rằng có hơn 40.000 nạn nhân của các cuộc tấn công lừa đảo để lấy cắp thông tin đăng nhập các tài khoản trực tuyến các dịch vụ công của các chính phủ trong năm qua. Thông tin đăng nhập có thể đã được bán trên các diễn đàn hacker ngầm.

Theo đó, có hơn một nửa số nạn nhân đến từ Ý (52%), tiếp theo là Ả Rập Saudi (22%) và Bồ Đào Nha (5%). Người dùng cổng thông tin chính phủ ở các quốc gia khác cũng bị ảnh hưởng.

Trong số các nạn nhân có nhân viên chính phủ, nhân viên quân đội có tài khoản trên các trang web chính thức của Pháp (gouv.fr), Hungary (gov.hu), Croatia (gov.hr), Ba Lan (gov.pl), Romania (gov.ro) ), Thụy Sĩ (admin.ch) và Chính phủ Bulgaria (government.bg).

Ngoài ra, thông tin đăng nhập vào các dịch vụ từ Lực lượng Quốc phòng Israel (idf.il), Bộ Tài chính Georgia (mof.ge), Tổng cục Di trú Na Uy (udi.no), Bộ Ngoại giao Romania và Ý, các trang web của Bộ Quốc phòng Ý (difesa.it) cũng bị xâm phạm.

Các nhóm ứng phó khẩn cấp máy tính (CERT) của các quốc gia bị ảnh hưởng đã được thông báo về mối đe dọa này để họ có thể hành động nhằm giảm thiểu rủi ro trong hoạt động của quốc gia.

Theo Group-IB, tin tặc đã lấy được thông tin đăng nhập /mật khẩu thông qua các email độc hại được phân phối qua các công cụ phần mềm “gián điệp” nổi tiếng như Pony Formgrabber, Qbot (Qakbot),...

Thủ đoạn chủ yếu là ngụy trang phần mềm độc hại dưới dạng tập tin đính kèm vào email gửi cho các nạn nhân. Khi nạn nhân mở tập tin đính kèm, phần mềm độc hại sẽ được chạy và bắt đầu tìm kiếm nhiều thông tin nhạy cảm trên hệ thống.

Ví dụ, Pony Formgrabber có khả năng “truy tìm thông tin” hơn 70 chương trình phần mềm phổ biến trên máy tính cũng như tìm kiếm thông tin đăng nhập trong các tập tin cấu hình, cơ sở dữ liệu,... Sau khi có dữ liệu, nó sẽ được gửi đến máy chủ lệnh và điều khiển (C2) của kẻ tấn công.

Trong khi đó Qbot, còn được gọi là QakBot và PinkSlip, là một trojan ngân hàng “đa chức năng”. Nó thường được sử dụng trong các cuộc tấn công nhắm vào các nạn nhân cấp cao. Qbot có các khả năng tự phát tán bên trong một mạng máy tính nội bộ bị xâm nhập và nó có thể đánh cắp các phiên web (sessions), cookie và thậm chí cả chứng chỉ web (web certificate). Nó cũng có khả năng ghi lại hoạt động bàn phím (keylogging) để lấy thông tin đăng nhập.

Trong một báo cáo được chia sẻ với BleepingComputer, Group-IB nói rằng dữ liệu đăng nhập cho các trang web của chính phủ ít phổ biến hơn trên các diễn đàn tin tặc ngầm vì không có giá trị tài chính ngay lập tức.

Tuy nhiên, đối với những kẻ tấn công chuyên nghiệp, những thông tin đăng nhập này là một tài sản có giá trị có thể cho phép chúng tiếp cận thông tin được phân loại. Nó cũng có thể cho phép họ xâm nhập vào các trang web của chính phủ cho các mục đích gián điệp.

"Ngay cả một tài khoản của nhân viên chính phủ bị xâm phạm cũng có thể dẫn đến việc đánh cắp bí mật thương mại hoặc nhà nước", các nhà nghiên cứu nói.

Theo An Nhiên (VietNamNet)