Sofacy (được biết với những cái tên “Fancy Bear”, “Sednit”, “STRONTIUM” và “APT28) là mối đe dọa cấp cao đến từ Nga hoạt động ít nhất từ năm 2008, phần lớn nhắm vào tổ chức quân đội và chính phủ trên toàn thế giới.

Kể từ khi bị phát hiện vào năm 2014, nhóm này chưa từng dừng lại. Thêm vào đó, các chuyên gia Kaspersky Lab còn phát hiện nhiều công cụ mới và cao cấp hơn trong kho vũ khí tấn công của Sofacy: Có thể hoán đổi cho nhau: Kẻ tấn công sử dụng hàng loạt công cụ ngầm để lây nhiễm một mục tiêu với nhiều công cụ độc hại khác nhau, một trong số đó hoạt động như một công cụ tái nhiễm khi một công cụ khác bị giải pháp an ninh chặn lại hoặc xóa sổ.

Có thể tách rời được: Kẻ tấn công dùng đơn bộ hóa phần mềm độc hại, thêm nhiều tính năng của công cụ ngầm vào những module riêng biệt nhằm ẩn mình tốt hơn trong hệ thống bị tấn công.

Kaspersky Lab nhận thấy đây là xu hướng ngày càng phổ biến trong những cuộc tấn công có mục tiêu. Hệ thống air-gapped: trong nhiều cuộc tấn công gần đây (2015), nhóm Sofacy đã sử dụng phiên bản lây nhiễm đánh cắp từ USB, cho phép chúng sao chép dữ liệu từ máy tính trong hệ thống air-gapped.

Kaspersky Lab đã có những chiến lược bảo vệ và thông báo đến người dùng toàn cầu.

Chiến lược bảo vệ

Tấn công nhanh chóng, đều đặn của Sofacy đã làm chuyên gia Kaspersky Lab chú ý và họ bắt đầu điều tra sâu hơn. Rất nhanh sau đó họ đã phát hiện ra phiên bản mới của trojan được tải xuống không thông qua khai thác zero-day (đây được xem là thói quen của Sofacy) mà bằng công cụ lây nhiễm khác (được đặt tên là “msdeltemp.dll”).

Trojan “msdeltemp.dll” là công cụ download cho phép tin tặc gửi lệnh và lấy dữ liệu từ máy bị lây nhiễm, cũng được dùng để tải trojan tinh vi hơn vào hệ thống. Nếu trojan thứ yếu bị phần mềm an ninh chặn lại, tin tặc vẫn có thể sử dụng trojan msdeltemp.dll  để lấy phiên bản mới từ C&C và cài đặt lại trên máy bị tấn công.

Đây là ví dụ sử dụng nhiều trojan để đạt khả năng phục hồi cao nhất. Thủ thuật này không mới và Sofacy cũng đã sử dụng từ trước. Tuy nhiên, chúng sử dụng dropper để cài đặt 2 trojan SPLM và AZZY. Nếu 1 trong 2 bị phát hiện thì trojan còn lại vẫn giúp kẻ tấn công có quyền tiếp tục truy cập.

Trong những đợt tấn công mới, phương thức của chúng đã thay đổi: chúng sẽ tải xuống phiên bản mới của AZZY để thay thế cho phiên bản bị chặn mà không cần phải thực hiện toàn bộ quá trình lây nhiễm như ban đầu.

Tách chức năng liên lạc của C&C khỏi trojan chính cũng là cách giảm sự chú ý đến nó. Vì nó không trực tiếp truyền dữ liệu ra ngoài máy tính bị tấn công nên dưới góc độ an ninh, nó sẽ ít gây sự nghi ngờ hơn.

Bên cạnh việc thay đổi phương thức phục hồi, các chuyên gia Kaspersky Lab còn phát hiện ra nhiều phiên bản module USB dùng để đánh cắp của Sofacy giúp lấy dữ liệu từ mạng air-gapped. Module USBSTEALER được thiết kế tùy thuộc vào quy luật mà kẻ tấn công đưa vào để theo dõi ổ đĩa di động và lấy file từ chúng. Dữ liệu bị đánh cắp được sao chép vào thư mục ẩn, sau đó kẻ tấn công sẽ lấy nó ra nhờ các phiên bản của AZZY. Những phiên bản đầu tiên của thế hệ module USB dùng để đánh cắp đã có từ tháng 2/2015 và dường như chỉ tập trung vào mục tiêu cấp cao.

Trên cơ sở các phát hiện này, Kaspersky Lab cũng đã có giải pháp sản phẩm phát hiện một số mẫu phần mềm độc hại mới được Sofacy sử dụng với những cái tên sau, đồng thời thông báo nhanh chóng đến người dùng toàn cầu: Trojan.Win32.Sofacy.al, Trojan.Win32.Sofacy.be, Trojan.Win32.Sofacy.bf, Trojan.Win32.Sofacy.bg, Trojan.Win32.Sofacy.bi, Trojan.Win32.Sofacy.bj, Trojan.Win64.Sofacy.q, Trojan.Win64.Sofacy.s, HEUR:Trojan.Win32.Generic. 

Nguồn XHTT