BabyShark Malware: Mối đe dọa từ Triều Tiên, chiến thuật Spear Phishing và phòng thủ

BabyShark là mã độc mới (phát hiện 02/2019 bởi Palo Alto Unit 42), liên quan đến tác nhân nhà nước Triều Tiên. Dấu hiệu: spear-phishing email giả danh chuyên gia hạt nhân Mỹ hàng đầu, nội dung về chương trình tên lửa hạt nhân Triều Tiên. Kỹ thuật xâm nhập giống KimJongRAT và STOLEN PENCIL (cũng của Triều Tiên).

Cơ chế hoạt động

1. Giai đoạn 1: Thực thi script Visual Basic trong file Excel độc hại.
2. Script bật macro cho Word/Excel, thêm registry key, thu thập: thông tin user, hệ thống, tên máy, IP, task đang chạy, phiên bản.
3. Dữ liệu được mã hóa bằng certutil.exe rồi gửi về C2 server.
4. Sau đó ngủ chờ lệnh từ C2.

Mục tiêu: thu thập tình báo an ninh quốc gia Đông Bắc Á.

Cách loại bỏ

BabyShark là fileless malware (không駻 file trên đĩa, chỉ chạy trong bộ nhớ) – khó phát hiện bằng anti-malware truyền thống. Cần giải pháp tập trung vào hành vi (behavior monitoring), application containment, endpoint hardening. Khuyến nghị Outbyte Anti-Malware.

1. Chạy Outbyte trên Safe Mode with Networking (vô hiệu hóa autostart).
2. Sau khi xóa, dùng PC repair tool dọn download, temp, sửa registry.

Phòng tránh

• Cảnh giác spear-phishing: kiểm tra tính xác thực email (chuyên gia hạt nhân Mỹ không gửi file bí mật cho người lạ).
• Luôn cài anti-malware mạnh, quét định kỳ.