Một chiến dịch cryptojacking (khai thác tiền ảo trộm) tấn công người dùng Windows bị lẩn tránh phát hiện hơn 2 năm, thu về hàng chục nghìn USD. Mã độc WatchDog được cho là có hàng trăm жертва và vẫn đang hoạt động.
Nhóm nghiên cứu cho rằng đây là tác phẩm của nhóm hacker cao cấp, có thể đang vận hành các hoạt động lợi nhuận khác.
WatchDog Gây Hại Hàng Trăm Hệ Thống
WatchDog được báo cáo trên blog Palo Alto Networks (đội ngũ Unit 42).
Unit 42 ước tính WatchDog xâm nhập ít nhất 476 hệ thống (chủ yếu Windows và NIX cloud instances), hoạt động từ 27/1/2019.
Trong 2 năm, chiến dịch khai thác trái phép ít nhất 209 Monero (XMR), giá trị ~$32,000 (tại thời điểm báo cáo).
Mã độc dùng bộ 3 binary viết bằng ngôn ngữ Go. Mỗi binary thực hiện nhiệm vụ riêng: duy trì quá trình khai thác, khởi động miner, v.v. Sử dụng nhiều endpoint và domain để ẩn mình, tăng khả năng sống sót khi bị phát hiện.
Rõ ràng tác giả WatchDog là lập trình viên giỏi, tận hưởng sự thiếu chú ý đối với hoạt động khai thác. Hiện chưa có dấu hiệu xâm phạm đám mây thêm (như đánh cắp credentials IAM, access ID/keys), nhưng tiềm năng cho việc xâm phạm tài khoản đám mây tiếp theo là có thể.
Palo Alto Networks cho rằng kẻ tấn công có thể chuyển sang xâm phạm tài khoản đám mây nếu chưa làm.
Khai Thác Tiền Ảo Lợi Nhuận Cho Tội Phạm
Sự bùng nổ thị trường tiền ảo tạo môi trường lý tưởng cho cryptojacking.
Khi WatchDog ra mắt (1/2019), Monero ~$50/coin. Lợi nhuận chỉ ~$10,000 nếu giá không tăng. Chúng tôi từng báo cáo về lợi nhuận khổng lồ của malware, đặc biệt cryptojacking.
Cryptojacking thường dùng Monero (truly untraceable, khác Bitcoin pseudo-anonymous). Dù cờ bạc về giá, lợi nhuận gần như thuần lợi vì dùng phần cứng nạn nhân.
Tuy nhiên, cryptojacking không phải malware lợi nhuận nhất. Ransomware vẫn là phương pháp tống tiền hiệu quả nhất, không giảm tốc dù nỗ lực phá vỡ mạng lưới tội phạm.