FireEye, Microsoft và SolarWinds cùng thông báo phát hiện một cuộc tấn công chuỗi cung ứng lớn và tinh vi phát tán một phần mềm độc hại chưa từng được biết đến. Phần mềm độc hại có tên Sunburst, đã tấn công những khách hàng sử dụng phần mềm Orion của SolarWinds. Các chuyên gia của Kaspersky đã tìm thấy nhiều điểm tương đồng về mã giữa Sunburst và các phiên bản đã biết của backdoor Kazuar – phần mềm độc hại cho phép quyền truy cập từ xa vào thiết bị của nạn nhân. Phát hiện mới cung cấp nhiều thông tin chi tiết, có thể giúp các nhà nghiên cứu tiến hành điều tra vụ tấn công.
Trong quá trình nghiên cứu backdoor Sunburst, các chuyên gia của Kaspersky đã phát hiện một số tính năng tương đồng với Kazuar – từng được xác định là backdoor được viết trên nền .NET framework. được phát hiện lần đầu tiên bởi Palo Alto vào năm 2017 và được sử dụng trong các cuộc tấn công gián điệp mạng trên toàn cầu. Nhiều điểm tương đồng về mã cho thấy mối liên hệ giữa Kazuar và Sunburst, tuy nhiên về bản chất vẫn chưa thể xác định chính xác sự liên quan này.
Các tính năng tương đồng giữa Sunburst và Kazuar bao gồm thuật toán tạo mã định danh người dùng (UID), thuật toán phân tích giấc ngủ ban đầu và việc sử dụng rộng rãi hàm băm FNV1a. Theo các chuyên gia, các đoạn mã không giống hệt nhau, cho thấy Kazuar và Sunburst có thể liên quan đến nhau mặc dù bản chất sự liên quan chưa hoàn toàn rõ ràng.
Sau khi Sunburst hoạt động lần đầu vào tháng 2/2020, Kazuar tiếp tục phát triển và đến cuối năm 2020 nhiều biến thể có nhiều điểm tương đồng với những biến thể của Sunburst.
Trong suốt nhiều năm, các chuyên gia đã quan sát thấy sự phát triển liên tục của Kazuar, trong đó, những tính năng quan trọng, tương tự như Sunburst, đã được thêm vào phần mềm độc hại. Với những điểm tương đồng rất đáng chú ý giữa Kazuar và Sunburst, có rất nhiều lý do cho sự tồn tại của chúng, bao gồm việc Sunburst được phát triển bởi cùng một nhóm tin tặc với Kazuar, hoặc nhóm phát triển Sunburst lấy cảm hứng từ Kazuar, người phát triển Kazuar chuyển đến nhóm Sunburst làm việc, hoặc cả hai nhóm cùng đứng sau Sunburst và Kazuar đã lấy phần mềm độc hại từ cùng một nguồn.
Ông Costin Raiu, Giám đốc Nhóm nghiên cứu và phân tích toàn cầu của Kaspersky cho biết: “Sự tương đồng không kết luận được ai thực sự đứng sau vụ tấn công Solarwinds, tuy nhiên, có thể cung cấp thêm thông tin cho các nhà nghiên cứu trong quá trình điều tra. Điều quan trọng là các nhà nghiên cứu trên thế giới có thể điều tra mở rộng từ những điểm tương đồng này, từ đó tìm hiểu thêm thông tin về Kazuar, nguồn gốc của Sunburst, cũng như phần mềm độc hại được sử dụng trong vụ tấn công Solarwinds. Ví dụ như khi nhìn lại cuộc tấn công Wannacry: trong những ngày đầu tiên, có rất ít dữ kiện liên kết Wannacry với nhóm Lazarus. Theo thời gian, nhiều bằng chứng đã xuất hiện, cho phép chúng tôi và những chuyên gia khác có thể liên kết chúng lại với nhau với độ tin cậy cao. Từ đó, những nghiên cứu sâu hơn về chủ đề này có thể kết nối các dữ kiện với nhau.”
Chi tiết kỹ thuật về điểm tương đồng của Solarwinds và Kazuar có trong báo cáo tại Securelist.
Nghiên cứu của Kaspersky về Sunburst được đăng tải tại link. Để tìm hiểu cách Kaspersky bảo vệ khách hàng trước backdoor Sunburst, vui lòng truy cập link.
Để tránh rủi ro bị lây nhiễm bởi phần mềm độc hại như backdoor Sunburst, Kaspersky khuyến nghị:
- Cung cấp cho nhóm SOC quyền truy cập thông tin tình báo mối đe dọa an ninh mạng mới nhất (TI). Kaspersky Threat Intelligence Portal cấp quyền truy cập vào TI của công ty, cung cấp dữ liệu tấn công mạng và những thông tin được Kaspersky thu thập trong hơn 20 năm qua. Quyền truy cập miễn phí vào các tính năng của sản phẩm cho phép người dùng kiểm tra tệp, URL và địa chỉ IP hiện có sẵn tại đây.
- Các tổ chức muốn tiến hành tự điều tra có thể tham khảo Kaspersky Threat Attribution Engine. Sản phẩm giúp đối chiếu mã độc được phát hiện với cơ sở dữ liệu phần mềm độc hại hiện có. Sau đó, dựa trên các điểm tương đồng về mã để quy về những chiến dịch APT đã được thực hiện.
