Nhóm tin tặc ủng hộ Nga NoName057(16) nâng cấp công cụ DDoSia để tấn công Ukraine và các nước NATO

Dự án DDoSia đã chứng kiến ​​sự tăng trưởng đáng kể trong năm nay khi các tin tặc tiếp tục sử dụng bộ công cụ này để tấn công mạng các quốc gia chỉ trích Nga trong cuộc xung đột quân sự giữa nước này và Ukraine.

DDoSia là bộ công cụ tấn công DDoS được phát triển và sử dụng bởi nhóm tin tặc thân Nga có tên gọi “NoName057(16)”. Ra mắt vào năm 2022 và là phiên bản kế thừa của mạng botnet Bobik, công cụ tấn công này được thiết kế để triển khai các cuộc tấn công DDoS nhằm vào các mục tiêu chủ yếu ở châu Âu cũng như ở Úc, Canada và Nhật Bản.

Cơ chế hoạt động của DDoSia

Thời gian gần đây, nhóm tin tặc này đã cập nhật DDoSia với cơ chế mới để truy xuất danh sách các mục tiêu mà nó thực hiện tấn công bằng các request HTTP spam.

Từ ngày 08/5 đến ngày 26/6, DDoSia đã được sử dụng để tấn công 486 trang web cá nhân. Các quốc gia được nhắm mục tiêu nhiều nhất là Litva, Ukraine, Ba Lan, Ý, Séc, Latvia, Pháp, Đan Mạch và Vương quốc Anh. Các nhà nghiên cứu của Công ty an ninh mạng SEKOIA nhận định: “Thực tế những quốc gia bị tấn công mạng bởi DDoSia đều lên tiếng công khai chỉ trích Nga và ủng hộ Ukraine, cũng như cung cấp hỗ trợ và khả năng quân sự cho quốc gia Đông Âu này”.

Công cụ DDoSia được bán trên Telegram, nơi các cá nhân có thể trao đổi tiền điện tử để lấy một kho lưu trữ ZIP chứa bộ công cụ tấn công. Phiên bản mới nhất mã hóa danh sách mục tiêu, điều này cho biết rằng phần mềm được các nhà khai thác tích cực duy trì. Sekoia lưu ý rằng NoName057 dường như đang mở rộng phần mềm độc hại của họ để hoạt động trên nhiều hệ điều hành, do đó làm tăng phạm vi nạn nhân tiềm năng.

Biến thể cập nhật của DDoSia được viết bằng ngôn ngữ Golang, thực hiện một cơ chế bảo mật bổ sung để che giấu danh sách các mục tiêu, được truyền từ máy chủ C2 tới người dùng. Cho đến nay, việc triển khai DDoSia dựa trên Python và Go khiến nó trở thành một chương trình đa nền tảng có khả năng được sử dụng trên các hệ thống Windows, Linux và macOS.

Các nhà nghiên cứu của Công ty an ninh mạng SentinelOne cho biết: “DDoSia là một ứng dụng đa luồng thực hiện các cuộc tấn công DDoS nhằm vào các trang web mục tiêu bằng cách liên tục đưa ra các yêu cầu mạng. DDoSia đưa ra các yêu cầu theo hướng dẫn của tệp cấu hình mà phần mềm độc hại nhận được từ máy chủ C2 khi bắt đầu”.

Trước đó, theo hãng thông tấn ANSA của Italy vào ngày 22/2 cho biết, nhóm tin tặc NoName057(16) đã tấn công một số cơ quan, tổ chức của nước này, trong đó có Bộ Ngoại giao, Bộ Quốc phòng, Bộ Nội vụ, Ngân hàng BPER và cơ sở hạ tầng kỹ thuật số của Telecom Italy.

Đánh sập vệ tinh viễn thông Nga

Ngày 29/6, một nhóm tin tặc có liên kết với Tập đoàn quân sự tư nhân Wagner đã nhận trách nhiệm thực hiện tấn công mạng vào Dozor-Teleport, nhà cung cấp thông tin vệ tinh của Nga. Cuộc tấn công này đã làm gián đoạn kết nối Internet của Dozor-Teleport, ảnh hưởng đến các công ty năng lượng, dịch vụ quốc phòng và an ninh của đất nước.

Các tin tặc đứng sau vụ tấn công đã bị cáo buộc làm hư hại các thiết bị đầu cuối vệ tinh, rò rỉ và phá hủy thông tin bí mật được lưu trữ trên các máy chủ của Dozor-Teleport. Các tin tặc đã công bố 700 tệp, bao gồm tài liệu và hình ảnh lên một trang web rò rỉ.

Quá trình khắc phục sự cố này có thể mất từ ​​vài ngày đến vài tuần, với khả năng khôi phục hoàn toàn có thể mất vài tháng. Cuộc tấn công mạng này diễn ra sau một vụ vi phạm tương tự đối với Viasat - nhà cung cấp dịch vụ viễn thông vệ tinh khác, xảy ra vào ngày Nga bắt đầu thực hiện chiến dịch quân sự đặc biệt tại Ukraine. Cả hai cuộc tấn công đều gây lo ngại về những rủi ro đối với cơ sở hạ tầng vệ tinh và mối đe dọa tiềm ẩn mà chúng gây ra đối với nền an ninh quốc gia của Nga.