Khám phá mặt tối của lưu lượng email

Trong số một triệu tệp, 14,61% bị gắn cờ đáng ngờ và cần phân tích thêm. Nền tảng ATP của Juniper đã xác định 3,87% tệp là độc hại và báo hiệu cho các thiết bị Juniper SRX chặn chúng. Trong số gần 4% là tệp độc hại, gần 86% tệp được xác nhận là tệp độc hại bằng cách sử dụng công nghệ hộp cát của Juniper, một phần của Juniper ATP. Mô-đun máy học đã phát hiện 8,26% tệp độc hại mà các kỹ thuật phát hiện truyền thống như heuristic, chữ ký AV và danh sách chặn bỏ qua. Điều thú vị là hầu hết các tệp độc hại chưa từng xuất hiện trước các cuộc tấn công và chỉ 0,01% là các cuộc tấn công đã biết. Phân tích này cho thấy rằng Juniper ATP cung cấp khả năng bảo vệ chống lại các mối đe dọa zeroday và bảo vệ khách hàng khỏi các cuộc tấn công mới.

Bảng 2: Thống kê các tệp độc hại quan sát được trong lưu lượng email theo loại tệp.

Không có gì đáng ngạc nhiên, các loại tệp độc hại có khả năng nhất được tìm thấy trong email là các tệp thực thi như tệp nhị phân Windows và Linux. Bảng 2 tóm tắt tỷ lệ tệp độc hại được xác nhận theo loại. Mặt khác, các tài liệu văn phòng có ít tệp độc hại nhất. Tuy nhiên, những kẻ tấn công vẫn sử dụng các tài liệu văn phòng và tệp PDF để lây nhiễm cho người dùng. Ví dụ: trong Tài liệu Office được phát hiện là độc hại, kẻ tấn công chủ yếu sử dụng tệp Microsoft Excel để nhúng macro độc hại nhằm lừa người dùng chạy chúng. Juniper Threat Labs đã quan sát thấy 55% macro là trình tải xuống giai đoạn đầu lấy mã độc với mục đích lây nhiễm cho người dùng. Chúng tôi cũng tìm thấy 43% tài liệu bị nhiễm sử dụng các khai thác nhắm mục tiêu đến các phiên bản Microsoft Office cũ hơn (ví dụ: 2016 & 2013) bao gồm các lỗ hổng được mô tả trong CVE-2017-11882 và CVE-2018-0798.

Những kẻ tấn công tạo ra các tài liệu thu hút và nhúng một khai thác vào chúng để lây nhiễm cho người dùng khi họ mở tài liệu. Những kẻ tấn công sẽ sửa đổi các tệp độc hại của chúng để tránh các kỹ thuật truyền thống như danh sách danh tiếng và chữ ký tĩnh. Hỗ trợ điểm này, chỉ có 16,2% tệp độc hại trong lưu lượng email được quan sát bởi hai khách hàng trở lên. Hầu hết các cuộc tấn công được sử dụng lại nhằm vào nhiều khách hàng là các tệp thực thi (82,6%), tiếp theo là tệp PDF (8,7%). Điều này cho thấy ít có khả năng kẻ tấn công sẽ tái sử dụng cùng một cuộc tấn công khi sử dụng các tệp dựa trên tài liệu như PDF và tài liệu Microsoft Office.

Ví dụ về các mối đe dọa email được xác định: Trojan truy cập từ xa Remcos

Tác động của một cuộc tấn công phụ thuộc vào loại phần mềm độc hại xuất hiện trên thiết bị của người dùng. Chúng tôi đã quan sát thấy các tải trọng phần mềm độc hại khác nhau, bao gồm các công cụ truy cập từ xa như Remcos và những kẻ đánh cắp như AgentTesla.

Để hiểu tác động tiềm ẩn của những cuộc tấn công này đối với khách hàng, sau đây là một nghiên cứu điển hình từ một nỗ lực tấn công gần đây vào lưu lượng email từ năm 2022 đã bị Juniper ATP ngăn chặn. Remcos là một công cụ truy cập từ xa (RAT) có thể được tải xuống miễn phí và sử dụng để quản lý máy tính ở các địa điểm từ xa. Tuy nhiên, những kẻ tấn công sử dụng lại Remcos để lây nhiễm cho người dùng và truy cập vào mạng của họ.

Đính kèm với email là một tài liệu Microsoft Excel với khai thác được nhúng cho CVE-2017-11882. Hình 2 tóm tắt các giai đoạn lây nhiễm của tệp đính kèm Remcos. Người dùng mở tài liệu này sẽ kích hoạt khai thác, khai thác này sẽ tiếp cận một máy chủ từ xa và tải xuống một phiên bản Remcos để lây nhiễm hệ thống của người dùng. Sau khi bị nhiễm, kẻ tấn công sẽ có toàn quyền kiểm soát máy tính của nạn nhân và có thể giám sát hoạt động của người dùng, chạy lệnh từ xa và đánh cắp thông tin nhạy cảm. Các thuộc tính tệp Excel độc hại được hiển thị trong Bảng 3.

Bảng 3: Thuộc tính tệp của tệp đính kèm Excel độc hại.

Việc khai thác tải xuống một phiên bản Remcos từ địa chỉ IP sau bằng cách đưa ra yêu cầu HTTP trực tiếp:

208.136[.]4:80

Tệp Remcos có các thuộc tính sau trong Bảng 4:

Bảng 4: Thuộc tính tệp của phần mềm độc hại Remcos được tải xuống bằng cách khai thác.

Phiên bản này được đóng gói với một trình đóng gói dựa trên .NET thực hiện một số chiến thuật trốn tránh phòng thủ. Ví dụ: mẫu gọi lệnh gọi hệ thống ngủ với giá trị thời gian lớn cho phép phần mềm độc hại trốn tránh một số hệ thống phân tích hộp cát phần mềm độc hại tự động (mặc dù không phải của Juniper!). Khi lệnh gọi hệ thống ngủ trở lại, tải trọng giai đoạn thứ hai sẽ giải mã tệp cấu hình và tải trọng phần mềm độc hại. Sau đó, giai đoạn thứ hai đưa tải phần mềm độc hại vào Windows Explorer và thực thi chức năng chính của nó như được minh họa trong Hình 2. Sau đó, phần mềm độc hại sẽ tạo khóa đăng ký tự khởi động để đảm bảo mẫu vẫn tồn tại sau khi khởi động lại. Tệp cấu hình cho phiên bản Remcos biết về miền chỉ huy và kiểm soát (C2), tên chiến dịch, ID máy chủ duy nhất cũng như loại thông tin cần ghi và trích xuất. Bảng 5 hiển thị tệp cấu hình đã giải mã.

Bảng 5: Tệp cấu hình Recoms đã giải mã.

Sau đó, phần mềm độc hại tạo móc bàn phím để ghi lại thao tác gõ phím của người dùng và lưu trữ chúng trong logs.dat. Ngoài ra, phần mềm độc hại chụp ảnh màn hình và ghi lại âm thanh, âm thanh này sẽ được gửi đến C2 của tác nhân đe dọa độc hại. Phiên bản này có thông tin C2 sau: gdyhjjdhbvxgsfe[.]gotdns[.]ch

Kẻ tấn công sử dụng nhà cung cấp DNS động có tên là gotdns cho C2, phân giải thành 37.139.129[.]71. Địa chỉ IP này thuộc về hệ thống tự trị AS211252, theo URLHaus, đã lưu trữ hơn 90 trang web chứa phần mềm độc hại trong 30 ngày qua. Rất may, nguồn cấp dữ liệu SecIntel của Juniper có phạm vi bảo hiểm cho các chỉ số đó; vì vậy ngay cả khi một khách hàng đã bị nhiễm, giao tiếp phần mềm độc hại bên ngoài sẽ bị chặn. Tuy nhiên, ví dụ này minh họa cách các thiết bị Juniper ATP và Juniper SRX phát hiện và ngăn chặn các tệp đính kèm độc hại trước khi chúng tiếp cận thiết bị của khách hàng.

Quét tệp email với ATP

Khách hàng có đăng ký Juniper ATP đang hoạt động có thể tận dụng chức năng quét tệp email. Hình 3 cho thấy quá trình phát hiện tệp đính kèm độc hại trong giao diện người dùng của nền tảng ATP của Juniper. Để kích hoạt tính năng bảo vệ tệp đính kèm email, khách hàng nên đăng nhập vào cổng Juniper ATP của họ, nhấp vào mục menu “Định cấu hình” ở bên trái, chọn “Quản lý email”, sau đó chọn loại máy chủ email (SMTP hoặc IMAP). Sau khi chọn giao thức email, khách hàng có thể định cấu hình máy chủ nào sẽ cho phép Juniper SRX kiểm tra và hành động tiếp theo sau khi phát hiện mối đe dọa độc hại. Các hành động tiếp theo này bao gồm “Kiểm dịch thư độc hại”, “Gửi kèm theo tiêu đề cảnh báo” và “Cho phép thư”.

Hình 3: Phát hiện tệp đính kèm email của Remcos trong ATP.

Ngoài ra, khách hàng có thể tùy chỉnh loại tệp để quét hoặc chỉ sử dụng phân tích dựa trên danh tiếng. Phân tích dựa trên danh tiếng tạo ra một hàm băm của tệp và truy vấn nền tảng ATP. Tuy nhiên, như chúng ta đã thấy trong thống kê lưu lượng email, những kẻ tấn công rất có thể sẽ sửa đổi các tệp độc hại của chúng để tránh phân tích dựa trên danh tiếng. Một cách tiếp cận hiệu quả hơn là cho phép kiểm tra tệp bằng cách chấp nhận cấu hình quét mặc định.

Kết luận

Trên đây là bài viết giới thiệu về khám phá mặt tối lưu lượng của Email. Nếu bạn có thắc mắc gì thêm, hãy liên hệ chúng tôi để được giải đáp.

CÔNG TY CỔ PHẦN DỊCH VỤ CÔNG NGHỆ DATECH

• Địa chỉ: Số 23E4 KĐT Cầu Diễn, Tổ 7, Phú Diễn, Bắc Từ Liêm, Hà Nội

• Điện thoại: 02432012368

• Hotline: 098 115 6699

• Email: info@datech.vn

• Website: https://datech.vn