Chiến dịch phishing RMM nhắm mạnh vào Mỹ, lan sang 46 quốc gia
"A phishing campaign using fake documents to trick victims into installing legitimate remote monitoring and management (RMM) software was found to span 46 countries, with about 45% of observed activity targeting the United States. The operation rotates disposable infrastructure daily and uses persistent kit indicators and staged payload delivery paths; no CVE is mentioned, and the recommended fix is stronger behavioral detection, mail-layer controls, and context-driven SOC analysis."
Rủi ro ở mức cao do RMM hợp pháp bị lạm dụng để thiết lập truy cập từ xa trái phép, trong khi hạ tầng xoay vòng hằng ngày làm giảm hiệu quả của IOC tĩnh. Cần ưu tiên phát hiện hành vi và phân tích ngữ cảnh.
Có thể gây xâm nhập ban đầu, mở đường cho truy cập từ xa và các bước tấn công tiếp theo, đặc biệt với email lừa đảo và tệp đính kèm giả mạo. Doanh nghiệp cần tăng kiểm soát thư điện tử và đào tạo người dùng.
Một chiến dịch phishing sử dụng tài liệu giả để dụ nạn nhân cài đặt phần mềm RMM hợp pháp đã được ghi nhận tại 46 quốc gia. Theo nghiên cứu của ANY.RUN, khoảng 45% hoạt động quan sát được liên quan đến Hoa Kỳ, khiến đây trở thành mục tiêu địa lý lớn nhất của chiến dịch.
Kẻ tấn công thay đổi mồi nhử theo từng nhóm nạn nhân, gồm thông báo vận chuyển, nội dung liên quan UPS, tệp PDF giả mạo từ Adobe, thông báo thuế, chủ đề US Social Security Administration và hóa đơn. Hạ tầng được xoay vòng nhanh, với nhiều máy chủ chỉ tồn tại 1 ngày, làm giảm hiệu quả của việc phát hiện dựa trên tên miền hoặc danh tiếng hạ tầng.
Dù hạ tầng thay đổi liên tục, bộ công cụ vẫn để lại các dấu hiệu ổn định như font1.woff2, icons8-microsoft-word-94.png và chuỗi phân phối secure.html → project/*.zip. Các ngành bị nhắm đến nhiều gồm giáo dục, công nghệ, chính phủ, cùng ngân hàng, tài chính và sản xuất.
Khuyến nghị cho SOC là tăng cường phát hiện hành vi, kiểm soát ở lớp email, chú ý tới archive có mật khẩu, và phân tích theo ngữ cảnh đầy đủ để phân biệt việc dùng RMM hợp lệ với lạm dụng từ xa trái phép.