Chiến dịch gián điệp mạng nhắm cổng thông tin của lực lượng cảnh sát Pakistan
"Security researchers reported a long-running cyber espionage campaign against Pakistani law enforcement organizations, including Balochistan Police, Khyber Pakhtunkhwa Police, Islamabad Police, and the Punjab Safe Cities Authority. Multiple threat clusters used PlugX, ShadowPad, Cobalt Strike, and Remcos RAT, and one compromised Complaint Management System portal was abused to host implants and deliver malware; no CVE was identified, and remediation focused on removing implants and securing affected servers and email infrastructure."
Rủi ro cao do kẻ tấn công có thể cấy implant qua cổng CMS và mở rộng kiểm soát sang nhiều tổ chức; đồng thời sử dụng nhiều họ mã độc như PlugX/ShadowPad/Cobalt Strike/Remcos RAT. Tác động chính nằm ở chiếm quyền trên máy chủ ứng dụng và gateway email.
Có thể gây gián đoạn vận hành dịch vụ số và làm lộ dữ liệu nhạy cảm của lực lượng thực thi pháp luật; việc khai thác Complaint Management System có nguy cơ ảnh hưởng trực tiếp đến quy trình tiếp nhận và xử lý khiếu nại. Ngoài ra, mở rộng sang hạ tầng email làm tăng rủi ro cho liên lạc nội bộ và điều phối xử lý sự cố.
Các nhà nghiên cứu an ninh mạng công bố chi tiết một chiến dịch gián điệp mạng kéo dài nhắm vào nhiều tổ chức thực thi pháp luật tại Pakistan trong giai đoạn 02/2024–04/2026. Nhóm bị ảnh hưởng gồm Balochistan Police, Khyber Pakhtunkhwa Police, Islamabad Police và Punjab Safe Cities Authority (PSCA).
Theo báo cáo, tại Balochistan Police, kẻ tấn công đã xâm nhập các máy chủ và thiết bị mạng phục vụ ứng dụng web quản lý dữ liệu cảnh sát và công dân, bao gồm hồ sơ tội phạm/biometric, đăng ký cơ sở lưu trú và hồ sơ nhân sự. Một ứng dụng bị xâm nhập là Complaint Management System (CMS), nơi kẻ tấn công lưu cấy mã độc và giả mạo cập nhật cổng thông tin.
Bốn cụm tác nhân được ghi nhận, mỗi cụm triển khai một họ mã độc khác nhau: PlugX, ShadowPad, Cobalt Strike và Remcos RAT. Chuỗi tấn công sử dụng mồi nhử liên quan đến lực lượng cảnh sát Pakistan. Ngoài việc loại bỏ cấy ghép, khuyến nghị tập trung vào loại bỏ implant, rà soát máy chủ/thiết bị bị ảnh hưởng và tăng cường bảo vệ hạ tầng email.
Không ghi nhận CVE cụ thể trong báo cáo; trọng tâm là khắc phục theo dấu hiệu xâm nhập và hardening cấu hình.