Hoạt động suốt 3 tuần chiến dịch phát tán mã độc không bị phát hiện

[WhiteHat News #ID:3333]

Mặc dù chiến dịch phát tán mã độc quảng cáo thường được phát hiện chỉ sau vài ngày, tuy nhiên vừa qua một chiến dịch phát tán malvertise(mã độc quảng cáo) lợi dụng một số mạng quảng cáo lớn đã không bị phát hiện trong suốt 3 tuần.

Hacker đứng sau chiến dịch tấn công này có vẻ chính là nhóm hacker đã từng thực hiện một số cuộc tấn công trước đó, tuy nhiên chúng đã phát triển nhiều kỹ thuật mới để tránh bị phát hiện.

Đầu tiên, những kẻ phát tán mã độc quảng cáo hoạt động trông có vẻ giống như việc kinh doanh hợp pháp. Chúng sử dụng các tên miền được đăng ký nhiều năm trước, một số còn có tên trong danh sách Better Business Bureau (các tổ chức kinh doanh đáng tin cậy). Quảng cáo này trông có vẻ như được tạo ra bởi những nhà thiết kế chuyên nghiệp.

Tiếp đến, thay vì chèn mã độc trực tiếp vào trong quảng cáo, thì quảng cáo này chỉ chuyển hướng nạn nhân tới một số nơi tải mã độc (trong trường hợp này là bộ khai thác Angler).

Thêm một phương pháp mới mà những kẻ phát tán mã độc quảng cáo sử dụng: trong các cuộc tấn công trước, chúng sử dụng Google URL rút gọn vào việc chuyển hướng. Trong chiến dịch mới này, hacker bắt đầu với Google và sau đó chuyển sang sử dụng một công cụ rút ngắn URL chạy trên server của riêng chúng.

Sử dụng phương thức này, hacker có thể xâm nhập hàng loạt các mạng quảng cáo lớn nhỏ gồm DoubleClick, AppNexus, và ExoClick. Thông qua những mạng lưới này, chúng tác động lên hàng loạt các trang truyền thông lớn (bao gồm cả ebay.co.uk, drudgereport.com, và answers.com) với hàng trục triệu truy cập mỗi tháng.

Nguồn: Dark Reading​