Các cuộc tấn công zero-day của Barracuda ESG bị nghi ngờ liên quan đến hacker Trung Quốc

Một nhóm tin tặc bị nghi ngờ thân với Trung Quốc được Mandiant theo dõi với tên UNC4841 đã được liên kết với các cuộc tấn công đánh cắp dữ liệu trên các thiết bị Barracuda ESG (Cổng bảo mật email) bằng cách sử dụng lỗ hổng zero-day hiện đã được vá.

Email độc hại được gửi đến các thiết bị dễ bị tấn công (Mandiant)

Mã Barracuda dễ bị tấn công
Nguồn: Mandiant

Sau khi các tác nhân đe dọa có được quyền truy cập từ xa vào thiết bị Barracuda ESG, chúng đã lây nhiễm các dòng phần mềm độc hại có tên là 'Saltwater', 'Seaspy' và 'Seaside' để đánh cắp dữ liệu email từ thiết bị.

UNC4841 đã nhắm mục tiêu dữ liệu cụ thể để đánh cắp và đôi khi tận dụng quyền truy cập vào thiết bị ESG để điều hướng mạng của nạn nhân hoặc gửi thư đến các thiết bị nạn nhân khác.

Khi Barracuda phát hiện ra tấn công và phát hành các bản vá, UNC4841 đã sửa đổi phần mềm độc hại và đa dạng hóa các cơ chế bền bỉ để lẩn tránh các biện pháp phòng thủ dựa trên IoC.

Đúng thời điểm, tin tặc đã phát động một cuộc tấn công từ ngày 22 tháng 5 đến ngày 24 tháng 5 năm 2023, nhắm mục tiêu vào các thiết bị dễ bị tấn công của các cơ quan chính phủ và các tổ chức quan trọng khác ở ít nhất 16 quốc gia.

Dòng thời gian khai thác CVE-2023-2868 (Mandiant)

Chuỗi tấn công

Tệp đính kèm tệp TAR trên email của kẻ tấn công đã khai thác CVE-2023-2868 để thực thi mã độc (payload) shell đảo ngược được mã hóa base64 trên các thiết bị ESG dễ bị tấn công.

Mã độc (payload) tạo phiên mới, đường dẫn có tên và shell  tương tác, sử dụng OpenSSL để tạo ứng dụng khách kết nối với một địa chỉ IP và cổng được chỉ định, với đầu ra tiêu chuẩn hướng đến đường dẫn được đặt tên và mọi đầu ra lỗi sẽ bị loại bỏ.

Shell đảo ngược được thêm vào các công việc định kỳ hàng giờ hoặc hàng ngày như một cơ chế bền bỉ.

Tiếp theo, những kẻ tấn công sử dụng các lệnh wget để lấy thêm mã độc (payload) từ máy chủ C2,, chủ yếu là 'Saltwater', 'Seaspy' và 'Seaside'.

Saltwater là một mô-đun Barracuda SMTP daemon (bsmtpd) có cửa hậu (backdoor), có thể tải lên hoặc tải xuống các tệp, thực thi các lệnh tùy ý hoặc cung cấp khả năng ủy quyền cho các tác nhân đe dọa.

Seaside là một mô-đun bsmtpd dựa trên Lua giám sát các lệnh SMTP HELO/EHLO để biết các lệnh được mã hóa được gửi từ máy chủ C2 của kẻ tấn công. Khi tìm thấy bất kỳ thứ gì, nó sẽ giải mã và cung cấp chúng cho "Whirlpool", một công cụ shell đảo ngược TLS dựa trên C.

Cửa hậu (backdoor) thứ ba là Seaspy, một công cụ thụ động tự thiết lập như một bộ lọc PCAP trên các cổng TCP/25 (SMTP) và TCP/587 và được kích hoạt bởi một "gói ma thuật".

Để bền bỉ hơn, UNC4841 sửa đổi tệp '/etc/init.d/rc' để đặt Seaspy thực thi sau khi khởi động lại.

Sơ đồ tấn công Seaspy (Mandiant)

Cuối cùng là "Sandbar", mà các tác nhân đe dọa đã sử dụng để ẩn các quy trình máy chủ Linux có tên bắt đầu bằng "Bar", đặc biệt che giấu các hoạt động của Seaspy, cho phép nó hoạt động mà không bị phát hiện.

Sandbar được thêm vào thư mục /lib/modules lưu trữ các mô-đun nhân Linux; do đó nó được thực thi khi khởi động hệ thống.

UNC4841 đã thực hiện các bước di chuyển ngang nhanh chóng và được quan sát thấy đang quét các email cụ thể trong các thiết bị bị xâm nhập, sử dụng các cụm từ tìm kiếm liên quan đến các tổ chức, cá nhân cụ thể hoặc các chủ đề được quan tâm nhiều.

Tập lệnh quét các từ khóa cụ thể trong email được lưu trữ trên ESG (Mandiant)

"Trong tập hợp các thực thể được chọn để đánh cắp dữ liệu tập trung, các tập lệnh shell đã được phát hiện nhắm mục tiêu vào các miền email và người dùng từ Bộ Ngoại giao ASEAN (MFA), cũng như các văn phòng thương mại nước ngoài và các tổ chức nghiên cứu học thuật ở Đài Loan và Hồng Kông," Mandiant giải thích.

Các nhà phân tích cho rằng UNC4841 sẽ tiếp tục cố gắng đa dạng hóa các TTP của họ (chiến thuật, kỹ thuật và quy trình) để tránh bị phát hiện, vì vậy nên cảnh giác cao độ.

Hành động được khuyến nghị là thay thế các thiết bị Barracuda ESG bị xâm nhập bất kể mức độ vá lỗi của chúng và thực hiện điều tra kỹ lưỡng trên mạng bằng cách sử dụng các dấu hiệu tấn công đã công bố.

Nguồn: bleepingcomputer.com