Ba chiến dịch gián điệp liên quan đến mã độc Sparrow và CopperDragon
"Check Point Research identified three China-linked espionage campaigns – SilentDelivery, OceanGate, and DarkWire – connected through the Sparrow malware ecosystem and attributed to the entity CopperDragon. These campaigns targeted organizations in Latin America, Asia, and Europe using various initial access methods like watering hole attacks and compromised Linux servers, deploying backdoors such as SquadC, SparrowDoor, and CopperDoor. The attacks focused on telecommunications, government, military, research, and critical infrastructure sectors."
Các chiến dịch gián điệp này sử dụng các backdoor tinh vi để xâm nhập và kiểm soát hệ thống, gây ra rủi ro lớn về mất dữ liệu và gián đoạn hoạt động. Việc phát hiện và loại bỏ các mã độc này đòi hỏi chuyên môn cao.
Các doanh nghiệp trong các lĩnh vực quan trọng như viễn thông và chính phủ có thể bị tổn thất tài chính và uy tín do rò rỉ thông tin hoặc gián đoạn dịch vụ. Việc đầu tư vào giải pháp an ninh mạng là cần thiết để giảm thiểu rủi ro.
Check Point Research phát hiện ba chiến dịch gián điệp – SilentDelivery, OceanGate và DarkWire – có liên kết thông qua hệ sinh thái mã độc Sparrow, và quy về một thực thể có tên CopperDragon. Các chiến dịch này nhắm mục tiêu vào các tổ chức ở Mỹ Latinh, châu Á và châu Âu, sử dụng nhiều phương pháp xâm nhập ban đầu như tấn công watering hole (tấn công qua các trang web bị xâm nhập) và máy chủ Linux bị xâm phạm. Chúng triển khai các backdoor như SquadC, SparrowDoor và CopperDoor.
Các cuộc tấn công tập trung vào các lĩnh vực viễn thông, chính phủ, quân sự, nghiên cứu và cơ sở hạ tầng quan trọng. CopperDragon được đánh giá là một đơn vị cung cấp công cụ cho các nhóm tấn công liên quan đến Trung Quốc, bao gồm FamousSparrow, Earth Estries, Tropic Trooper, UAT-9244 và UAT-8302.
SilentDelivery bắt đầu từ đầu năm 2026, sử dụng các cuộc tấn công watering hole có chọn lọc ở châu Âu và châu Á. Chúng phân phối backdoor SquadC thông qua các trình cài đặt MSI giả mạo tiện ích sửa chữa chứng chỉ. OceanGate (2025-2026) chủ yếu nhắm vào các tổ chức ở châu Á, sử dụng một biến thể của SparrowDoor sau khi truy cập thông qua máy chủ Linux và di chuyển ngang trong môi trường Windows. DarkWire (từ giữa năm 2025) nhắm mục tiêu các nhà cung cấp dịch vụ viễn thông và tổ chức chính phủ ở Mỹ Latinh, sử dụng các backdoor CopperDoor và CopperDNS.
SilentDelivery sử dụng JavaScript bị xáo trộn cao để chèn vào các trang web hợp pháp. Khi người dùng truy cập, họ thấy cảnh báo SSL của Google Chrome và được yêu cầu cài đặt tiện ích "Certificate Fix". Tiện ích này thực chất là một backdoor. OceanGate tấn công cả môi trường Windows và Linux, sử dụng các backdoor mới như AnnobinDoor và SparrowShell. Sau khi có quyền truy cập vào Linux, chúng di chuyển sang Windows thông qua RDP và triển khai các công cụ tùy chỉnh cùng với một biến thể của SparrowDoor.
Câu hỏi thường gặp
Sparrow là gì?
Sparrow là một hệ sinh thái mã độc được sử dụng trong các chiến dịch gián điệp SilentDelivery, OceanGate và DarkWire. Nó bao gồm các backdoor như SparrowDoor, SquadC và CopperDoor, cho phép kẻ tấn công truy cập và kiểm soát hệ thống bị nhiễm.
CopperDragon là ai?
CopperDragon là một thực thể được cho là phát triển các công cụ cho các nhóm tấn công liên quan đến Trung Quốc, bao gồm FamousSparrow, Earth Estries và Tropic Trooper. Họ cung cấp các công cụ như SparrowDoor và SquadC.
Các chiến dịch này nhắm mục tiêu vào những lĩnh vực nào?
Các chiến dịch SilentDelivery, OceanGate và DarkWire nhắm mục tiêu vào các tổ chức trong các lĩnh vực viễn thông, chính phủ, quân sự, nghiên cứu và cơ sở hạ tầng quan trọng ở Mỹ Latinh, châu Á và châu Âu.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc CopperDragon cung cấp công cụ cho nhiều nhóm tấn công khác nhau cho thấy một chiến dịch gián điệp có tổ chức và quy mô lớn. Các doanh nghiệp Việt Nam, đặc biệt là trong lĩnh vực viễn thông và chính phủ, cần tăng cường giám sát lưu lượng mạng và kiểm tra các máy chủ Linux để phát hiện các dấu hiệu xâm nhập. Điều đáng chú ý là kỹ thuật tấn công watering hole có thể khó phát hiện, vì vậy việc đào tạo nhân viên về nhận thức an ninh mạng là rất quan trọng.