Tấn công chiếm đoạt website tại Đông Á để phát tán nội dung người lớn trên quy mô lớn

[WhiteHat News #ID:0911]

Bắt đầu từ tháng 9/2022 xuất hiện một chiến dịch tấn công trên diện rộng nhắm mục tiêu vào hàng nghìn website tại Đông Á với mục đích điều hướng người dùng đến những nội dung người lớn.

Chiến dịch này vẫn đang tiếp diễn theo cách tiêm mã JavaScript độc hại vào các trang web bị tấn công. Những website này thường kết nối với máy chủ web mục tiêu bằng thông tin đăng nhập FTP hợp pháp mà kẻ tấn công đã lấy được bằng phương thức không xác định.

Công ty an ninh Wiz cho biết trong một báo cáo: “Trong nhiều trường hợp, đây là những thông tin xác thực FTP tự tạo không an toàn mà kẻ tấn công bằng cách nào đó có thể lấy được và tận dụng để chiếm quyền điều khiển trang web”.

Wiz cũng lưu ý, các trang web bị tấn công, thuộc sở hữu của các công ty nhỏ và cả những tập đoàn đa quốc gia, sử dụng các kho công nghệ và nhà cung cấp dịch vụ lưu trữ khác nhau. Chính điều này đã gây khó khăn cho việc lần ra cách thức tấn công.

Điểm chung của phần lớn website là được lưu trữ ở Trung Quốc hoặc được lưu trữ ở một quốc gia khác nhưng ưu tiên người dùng Trung Quốc.

Ngoài ra, các URL lưu trữ mã JavaScript lừa đảo được giới hạn địa lý thực thi ở một số quốc gia Đông Á.

Cũng có những dấu hiệu cho thấy chiến dịch đã nhắm đến Android, với tập lệnh chuyển hướng khách truy cập đến các trang web cờ bạc, khuyến khích cài đặt ứng dụng (tên gói APK "com.tyc9n1999co.coandroid").

Danh tính của hacker và động cơ tấn công chưa được xác định, nhưng rất có khả năng mục đích là gian lận quảng cáo và thao túng SEO hoặc hướng lưu lượng truy cập đến các trang web này.

Các nhà nghiên cứu Amitai Cohen và Barak Sharoni cho biết: “Chúng tôi vẫn chưa chắc chắn về cách thức mà kẻ tấn công chiếm quyền truy cập ban đầu vào các trang web và cũng chưa xác định được bất kỳ điểm chung nào giữa các máy chủ bị ảnh hưởng, ngoài việc sử dụng FTP”.

Nguồn: The Hacker News​