Chiến dịch lừa đảo giả mạo cơ quan thuế Ấn Độ để triển khai DcRAT
"Seqrite Labs reported a multi-stage phishing campaign, Operation DragonReturn, that impersonates India’s Income Tax Department to deliver DcRAT to Indian taxpayers, tax professionals, and finance teams. The attack uses malicious PDF links, fake tax-filing ZIP utilities, DLL sideloading, UAC elevation, image-based payload concealment, and Windows service persistence to deploy a remote access trojan for data theft and covert access; no CVE is involved. Researchers also noted infrastructure and tactic overlaps with China-aligned groups such as Silver Fox."
Tác động đáng kể đến bảo mật do chuỗi tấn công kết hợp spear-phishing, DLL sideloading và cơ chế bền vững bằng Windows service, cho phép kẻ tấn công duy trì truy cập và trộm dữ liệu. Điểm then chốt: UAC elevation để đạt đặc quyền, image-based payload concealment để né phát hiện, và DcRAT để điều khiển từ xa.
Nguy cơ vận hành và tài chính ở mức trung bình-cao vì nhắm vào hệ sinh thái thuế và tài chính, có thể dẫn tới rò rỉ dữ liệu nhạy cảm, gián đoạn quy trình và chi phí điều tra/khắc phục. Điểm then chốt: nhắm tới tài chính doanh nghiệp, khả năng exfiltrate dữ liệu và duy trì truy cập lâu dài qua Windows service.
Seqrite Labs ghi nhận Operation DragonReturn là một chiến dịch lừa đảo nhiều giai đoạn nhắm vào người nộp thuế, chuyên gia thuế và bộ phận tài chính doanh nghiệp tại Ấn Độ. Hoạt động được quan sát từ 18/05/2026, trùng mùa khai nộp thuế hằng năm, và mục tiêu được đánh giá là trộm dữ liệu nhạy cảm hoặc thu lợi tài chính. Không có thông tin về CVE liên quan.
Chuỗi tấn công bắt đầu bằng email spear-phishing giả danh Income Tax Department of India, dùng nội dung trích dẫn pháp lý và song ngữ để tạo cảm giác khẩn cấp. Nạn nhân được dẫn tới trang giả, từ đó tải về ZIP chứa “tiện ích nộp thuế” nhưng thực chất dùng DLL sideloading với nvdaHelperRemote.dll, sau đó tiêm payload vào bộ nhớ.
Mã độc yêu cầu quyền quản trị thông qua UAC elevation, thực hiện kiểm tra chống phân tích/sandbox, rồi tải ảnh lllyd.jpg từ máy chủ cố định để làm “vỏ chứa” payload. Payload được giải nén vào thư mục hệ thống, sao chép thành Mixed Reality.exe và thiết lập bền vững bằng Windows service (MixedSvc). Thành phần cuối triển khai DcRAT, có chức năng chụp màn hình và exfiltrate dữ liệu.
Khuyến nghị: tăng cường lọc email/phishing, chặn tải ZIP/PDF từ nguồn không tin cậy, giám sát tạo Windows service bất thường, và kiểm tra dấu hiệu DLL sideloading/tải payload ẩn trong ảnh.