Cáo buộc chiến dịch mã độc Excel nhắm vào khoảng 80.000 người dùng
"The U.S. Department of Justice charged an extradited Russian national with running a malware campaign that used fake freelance-platform accounts and Excel macro attachments to infect about 80,000 users in 2016-2017. The payloads included TVRAT and DarkVNC, which enabled remote access and data theft; Microsoft’s later default blocking of internet-sourced VBA macros would reduce this delivery method, but no specific CVE is cited in the article."
Rủi ro cao do phát tán mã độc qua macro, điều khiển từ xa và đánh cắp dữ liệu; chiến dịch đã ảnh hưởng tới khoảng 80.000 người dùng.
Có thể gây rò rỉ thông tin đăng nhập/PII, gián đoạn vận hành và phát sinh chi phí ứng phó; các tổ chức dùng email và nền tảng tuyển dụng cần siết kiểm soát.
Bộ Tư pháp Mỹ đã truy tố một công dân Nga bị dẫn độ từ Cyprus, cáo buộc người này điều hành chiến dịch phát tán mã độc qua tệp Excel đính kèm trong giai đoạn 2016-2017. Theo cáo trạng, nhóm tấn công đã dùng khoảng 255 tài khoản giả trên một nền tảng tuyển dụng/freelance để gửi thư chứa macro độc hại tới khoảng 80.000 người dùng.
Khi nạn nhân mở tệp và cho phép chạy VBA macro, mã độc sẽ tải payload từ Internet xuống máy bị nhiễm. Hai biến thể được nêu là TVRAT và DarkVNC, đều cho phép điều khiển từ xa và đánh cắp dữ liệu. Một số hệ thống còn gửi thông tin về máy chủ C2 để phục vụ truy cập và gian lận sau đó.
Sự việc cho thấy các chiến dịch lừa đảo qua nền tảng việc làm vẫn là kênh phát tán hiệu quả. Với môi trường doanh nghiệp, cần chặn macro từ nguồn Internet, tăng kiểm soát email attachment, và giám sát các dấu hiệu RAT/hVNC cùng kết nối bất thường tới C2. Microsoft đã mặc định chặn VBA macros từ tệp tải từ Internet trên Windows, giúp giảm rủi ro từ kỹ thuật này.
Cáo trạng hiện mới là cáo buộc; bị can được coi là vô tội cho đến khi có phán quyết cuối cùng.