Chiến dịch malware mới lợi dụng banner FTP để phát tán RAT
"Researchers reported a new malware campaign that uses FTP server banners as dead drop resolvers to deliver two previously unreported RATs, E4del and PINHOLE. E4del is a Node.js-based RAT embedded in a signed Electron app and supports persistence, fingerprinting, encrypted C2, reverse shell, screenshots, and file delivery; PINHOLE uses layered unpacking, Halo's Gate, and Early Bird APC injection to evade detection and communicate with C2 for file operations and command execution. No CVE was mentioned; the main impact is remote compromise and stealthy command delivery, with mitigation focused on detecting anomalous FTP/WebDAV activity and malicious LNK/PowerShell execution."
Nguy cơ chiếm quyền điều khiển từ xa và ẩn mình trước EDR/AV; có thể dẫn tới rò rỉ dữ liệu và triển khai payload bổ sung.
Có thể gây gián đoạn vận hành, tăng tải cho đội SOC và phát sinh chi phí ứng phó sự cố; rủi ro cao hơn nếu người dùng mở LNK hoặc chạy PowerShell không kiểm soát.
Các nhà nghiên cứu an ninh ghi nhận một chiến dịch mới sử dụng FTP banner như cơ chế dead drop resolver (DDR) để phân phối hai RAT chưa từng được công bố trước đây là E4del và PINHOLE. Đây là lần đầu kỹ thuật này được quan sát trong thực tế, cho thấy kẻ tấn công đang tận dụng các dịch vụ hợp pháp để che giấu hạ tầng C2 và hòa lẫn vào lưu lượng mạng bình thường.
Chuỗi tấn công thường bắt đầu bằng mồi nhử ngôn ngữ Tây Ban Nha liên quan đến voucher, dụ người dùng mở tệp LNK trên Windows. Từ đó, mã độc lấy lệnh tiếp theo qua FTP banner, sau đó kết nối WebDAV hoặc dùng PowerShell để tải và thực thi payload. Với E4del, mã độc được nhúng trong một ứng dụng Electron có chữ ký số, hỗ trợ persistence, fingerprinting, reverse shell, chụp màn hình và tải thêm tệp.
PINHOLE có chuỗi triển khai phức tạp hơn, gồm nhiều lớp unpacking, kỹ thuật Halo's Gate và Early Bird APC injection để né phát hiện. Mã độc này có thể liệt kê tệp, tải lên/tải xuống dữ liệu và thực thi lệnh từ xa.
Khuyến nghị: giám sát FTP/WebDAV bất thường, chặn hoặc cảnh báo với LNK và PowerShell đáng ngờ, đồng thời tăng phát hiện trên EDR/AV đối với hành vi tiêm tiến trình và kết nối C2 lạ.