Cảnh báo nhiều địa chỉ IP lạ tấn công hệ thống thông tin các đơn vị tại TP.HCM

Ngày 25/8/2016,̉nhbáonhiềuđịachỉIPlạtấncônghệthốngthôngtincácđơnvịtạbảng xếp hạng tây ban nha Sở TT&TT TP.HCM đã ra thông báo số 1118 về tình hình đảm bảo an toàn thông tin trên địa bàn thành phố.

Theo đó, hệ thống đảm bảo an toàn thông tin của thành phố đã phát hiện và cảnh báo về thực trạng có nhiều địa chỉ IP lạ tấn công hệ thống tại các đơn vị. Về mức độ ảnh hưởng, các máy trạm bị nhiễm mã độc trở thành Botnet, trao đổi dữ liệu với bên ngoài.

Cụ thể, hệ thống đã thu thập được dữ liệu, các hành vi trao đổi của các máy trạm từ mạng trong ra mạng ngoài với các địa chỉ IP, Domain như sau: 95.213.186.51; 95.216.192.71; 163.172.32.234; 176.9.48.86; 176.9.174.220; http://atomictrivia.ru/atomic.php; http://differentia.ru/diff.php; http://disorderstatus.ru/order.php;  http://gvaq70s7he.ru.

Theo ghi nhận, các máy trạm khi bị nhiễm mã độc sẽ định kỳ nhận các yêu cầu từ các máy chủ C&C và phản hồi lại các yêu cầu từ máy chủ C&C thông qua 4 địa chỉ URL như trên. Trong quá trình truy vế đã phát hiện các máy trạm bị nhiễm mã độc thực hiện trao đổi thông tin qua giao thức http (cổng 80).

Loại mã độc các máy trạm bị nhiễm thuộc loại Garmarue. Các hành vi của Gamarue như sau: đánh cáp thông tin nhạy cảm (thông tin hệ điều hành, địa chỉ IP cục bộ, số thứ tự của ổ đĩa gốc, tài khoản đặc quyền như quyền quản trị.

Thông tin bị đánh cắp gửi về cho máy chủ C&C, sau đó đợi các mệnh lệnh tiếp theo. Tùy thuộc vào các câu lệnh nhận được, hacker có thể làm những việc khác nhau để kiểm soát máy tính bị lây nhiễm.

Trên hệ thống giám sát an toàn thông tin phát hiện máy chủ 163.172.32.234 thực hiện tấn công thông  qua giao thức TCP với các cổng thực hiện tấn công: 50099, 50098, 49876, 2157, 80...; ứng dụng thực hiện khai thác là tập tin MSIEXEC.