Ostrzeżenie przed niebezpiecznym oprogramowaniem wykorzystującym komentarze do projektów dokumentów XIV Zjazdu Krajowego Partii

Wykorzystując działania polegające na zbieraniu uwag do projektów dokumentów, które miały zostać przedstawione na XIV Krajowym Zjeździe Partii, przestępcy zainstalowali złośliwe oprogramowanie w celu przeprowadzania działań sabotażowych i kradzieży danych informacyjnych.

W wyniku prac nad zrozumieniem sytuacji Departament Bezpieczeństwa Cybernetycznego i Zapobiegania Przestępczości z Wykorzystaniem Technologii Wysokiej Jakości Policji Miasta Hanoi odkrył złośliwe oprogramowanie Valley RAT łączy się z adresem serwera sterującego (C2): 27.124.9.13, port 5689, ukrytym w pliku o nazwie „DRAFT RESOLUTION CONGRESSION.exe”. Podmioty wykorzystują zbieranie opinii na temat projektów dokumentów przedkładanych Kongresowi, aby nakłonić użytkowników do zainstalowania i wykonania niebezpiecznych działań, takich jak kradzież poufnych informacji, przywłaszczenie kont osobistych, kradzież dokumentów i rozprzestrzenianie złośliwego oprogramowania na inne komputery.

Wyniki analizy pokazują, że złośliwe oprogramowanie, po zainstalowaniu na komputerze użytkownika, uruchamia się automatycznie przy każdym uruchomieniu komputera, łącząc się z serwerem zdalnego sterowania kontrolowanym przez hakera, kontynuując w ten sposób wykonywanie powyższych niebezpiecznych działań. Rozszerzając analizę, wykryto inne pliki złośliwego oprogramowania połączone z serwerem C2, które haker ostatnio rozprzestrzenił:

(1) FINANCIAL REPORT2.exe lub BUSINESS INSURANCE PAYMENT.exe

(2) PILNE OFICJALNE KOMUNIKAT RZĄDU.exe

(3) WSPARCIE DEKLARACJI PODATKOWEJ.exe

(4) OFICJALNY DOKUMENT OCENIAJĄCY DZIAŁALNOŚĆ STRON.exe lub FORMULARZ AUTORYZACJI.exe

(5) PROTOKÓŁ Z RAPORTU ZA TRZECI KWARTAŁ.exe

Aby zapobiegać przestępczości z wykorzystaniem zaawansowanych technologii, Departament Bezpieczeństwa Cybernetycznego i Zapobiegania Przestępczości z Wykorzystaniem Zaawansowanych Technologii, Policja Hanoi polecać ludziom:

- Zachowaj czujność, nie pobieraj, nie instaluj ani nie otwieraj plików nieznanego pochodzenia (zwłaszcza plików wykonywalnych z rozszerzeniami .exe, .dll, .bat, .msi,...).

- Sprawdź system informatyczny jednostki i lokalizacji w celu wykrycia podejrzanych plików. W przypadku zarejestrowania incydentu odizoluj zainfekowaną maszynę, odłącz internet i zgłoś sprawę do Krajowego Centrum Cyberbezpieczeństwa w celu uzyskania wsparcia.

- Przeskanuj cały system najnowszym, zaktualizowanym oprogramowaniem zabezpieczającym (EDR/XDR), które może wykrywać i usuwać ukryte złośliwe oprogramowanie. Zalecane użycie: Avast, AVG, Bitdefender (wersja darmowa) lub najnowszy, zaktualizowany program Windows Defender.

Uwaga: Bezpłatna wersja programu Kaspersky jeszcze nie wykryła tego złośliwego oprogramowania.

- Skanowanie ręczne:

+ Sprawdź w Process Explorerze, czy proces nie ma podpisu cyfrowego lub ma fałszywą nazwę pliku tekstowego.

+ Sprawdź tcpview, aby zobaczyć połączenie sieciowe - jeśli zostanie wykryte połączenie z adresem IP 27[.]124[.]9[.]13, należy się nim natychmiast zająć.

- Administratorzy muszą pilnie zablokować zaporę sieciową, uniemożliwiając dostęp do złośliwego adresu IP 27.124.9.13.

Source: https://quangngaitv.vn/canh-bao-ma-doc-nguy-hiem-loi-dung-viec-gop-y-du-thao-van-kien-dai-hoi-dang-toan-quoc-lan-thu-xiv-6510283.html