Infoblox cảnh báo hạ tầng độc hại ẩn trong các site casino tiếng Trung
"Infoblox reported that low-quality Chinese-language casino and adult sites are being used to conceal malicious infrastructure, including command-and-control domains tied to the PeckBirdy framework and other espionage or malware delivery activity. The report says some of these domains are hosted on major US cloud providers, likely through account theft or infrastructure laundering, and advises defenders to inspect suspicious casino-domain traffic before dismissing it as benign browsing."
Rủi ro phát tán mã độc, gián điệp mạng và ẩn danh hạ tầng C2 trong lưu lượng tưởng như vô hại; cần kiểm tra kỹ domain casino/adult trước khi loại trừ.
Có thể gây nhiễm mã độc, rò rỉ dữ liệu và tăng tải cho SOC do cảnh báo khó phân loại; cần tăng giám sát DNS/Proxy và quy trình xử lý cảnh báo.
Theo báo cáo của Infoblox, nhiều website casino và nội dung người lớn bằng tiếng Trung đang bị lợi dụng để che giấu hạ tầng độc hại, bao gồm các domain command-and-control (C2) liên quan đến PeckBirdy và các hoạt động phát tán mã độc, gián điệp khác.
Infoblox cho biết họ đang theo dõi khoảng 1,7 triệu website casino tiếng Trung phục vụ hoạt động cờ bạc bất hợp pháp. Một phần trong số này được lưu trữ trên các nhà cung cấp đám mây lớn tại Mỹ như Amazon, Microsoft, Cloudflare và Google, có thể thông qua chiếm đoạt tài khoản hoặc hình thức infrastructure laundering.
Báo cáo cũng nêu rằng một số domain casino được dùng để che giấu PeckBirdy framework từ năm 2023. Trong một số chiến dịch, kẻ tấn công chèn script vào site cờ bạc để tải mã độc và hiển thị trang cập nhật giả nhằm dụ nạn nhân tải về phần mềm độc hại.
Khuyến nghị cho đội phòng thủ là không bỏ qua lưu lượng tới domain casino hoặc adult chỉ vì trông giống hoạt động duyệt web bình thường. Cần kiểm tra payload, đối chiếu domain C2, và rà soát các cảnh báo mạng trước khi đóng ticket.
Infoblox cho biết hơn 3% khách hàng doanh nghiệp của họ đã phân giải ít nhất một PeckBirdy C2 domain.