Chiến dịch gián điệp nhắm máy chủ **REDCap** bị lộ, triển khai **InfiniteRed** để đánh cắp dữ liệu
"Google Threat Intelligence Group reported a China-linked espionage campaign by UNC6508 that compromised exposed REDCap servers at a North American medical research organization, remaining undetected for over a year. The attackers deployed the custom InfiniteRed malware to harvest credentials, maintain persistence, and exfiltrate data, and also abused cloud email compliance rules for covert email-based theft; remediation includes upgrading REDCap, removing legacy deployments, and enabling MFA/2SV and DBSC."
Tác động lớn do đánh cắp thông tin đăng nhập và exfiltrate dữ liệu từ hệ thống nghiên cứu; thời gian hiện diện kéo dài khiến phát hiện khó khăn. Các điểm then chốt gồm backdoor thực thi lệnh/SQL, thu thập mật khẩu từ trang đăng nhập REDCap, và rò rỉ dữ liệu qua email compliance rules.
Rủi ro đáng kể cho hoạt động nghiên cứu do khả năng lộ dữ liệu nhạy cảm và gián đoạn tuân thủ. Tác động chính nằm ở mất tính toàn vẹn dữ liệu nghiên cứu, chi phí khắc phục/nâng cấp hệ thống, và nguy cơ ảnh hưởng tuân thủ quy định y khoa.
Google Threat Intelligence Group (GTIG) cho biết một chiến dịch gián điệp liên quan Trung Quốc, do tác nhân UNC6508 thực hiện, đã xâm nhập các máy chủ REDCap đang được công khai tại một tổ chức nghiên cứu y khoa ở Bắc Mỹ. Theo GTIG, kẻ tấn công duy trì hoạt động mà không bị phát hiện hơn 1 năm (từ khoảng 09/2023 đến 11/2025).
GTIG chưa xác định được chính xác kênh xâm nhập ban đầu, nhưng ghi nhận UNC6508 rà soát các phiên bản REDCap cũ, có lỗ hổng. Khoảng 3 tháng sau khi xâm nhập, nhóm triển khai mã độc tùy biến Infinitered cho hệ thống REDCap, che giấu thành phần bằng cách “trojan hóa” tệp hệ thống. Infinitered gồm mô-đun duy trì/phập nhật, bộ thu thập thông tin đăng nhập và backdoor.
Backdoor cho phép thực thi lệnh, tải/tải lên tệp, chạy truy vấn SQL tùy ý, truy xuất và xóa bản ghi thông tin bị đánh cắp. Điểm đáng chú ý là lạm dụng tính năng content compliance rules của công cụ doanh nghiệp trên nền tảng đám mây để exfiltrate dữ liệu qua email dưới dạng BCC.
Khuyến nghị: nâng cấp REDCap lên bản mới nhất, loại bỏ triển khai cũ, bật MFA/2SV cho tài khoản đặc quyền và áp dụng DBSC để giảm rủi ro chiếm phiên. Báo cáo cung cấp YARA rules và IoCs để rà soát nhiễm Infinitered.