Chiến dịch QUICSILVER nhắm vào cơ quan Myanmar bằng backdoor QUICAgent
"Researchers identified Operation QUICSILVER, a cyber-espionage campaign targeting Myanmar government and IT organizations with a multi-stage infection chain that uses malicious LNK files, VHD containers, and ftp.exe to deploy a Go-based backdoor named QUICAgent. The malware uses sandbox-evasion delays, reconstructs its payload from split document files, and communicates with a command-and-control server over QUIC on UDP/443; the article also notes a separate Mustang Panda update involving the COOLCLIENT backdoor and a signed kernel-mode driver for stealth."
Đây là chiến dịch gián điệp mạng có chuỗi lây nhiễm nhiều bước, dùng LOLBAS và QUIC/UDP 443 để né phát hiện; nguy cơ xâm nhập kéo dài và thu thập dữ liệu là đáng kể.
Có thể gây rò rỉ thông tin nhạy cảm, ảnh hưởng liên tục vận hành và làm tăng chi phí điều tra, cô lập, khắc phục trên các hệ thống bị nhắm mục tiêu.
Các nhà nghiên cứu an ninh mạng đã ghi nhận chiến dịch gián điệp mạng Operation QUICSILVER nhắm vào chính phủ Myanmar và khối công nghệ thông tin. Chuỗi tấn công nhiều giai đoạn sử dụng tệp LNK độc hại, container VHD và công cụ hợp lệ ftp.exe để triển khai backdoor viết bằng Go có tên QUICAgent.
Theo phân tích, kẻ tấn công dùng mồi nhử như thư mời lễ tốt nghiệp và tài liệu giả mạo để đánh lừa nạn nhân. Sau khi mở tệp, mã độc sẽ ghép lại payload từ các tệp tài liệu bị tách nhỏ, rồi kết nối tới máy chủ command-and-control (C2) qua QUIC trên UDP/443. Mã độc cũng áp dụng cơ chế né sandbox bằng độ trễ ngẫu nhiên 100-600 ms và 1.000 vòng băm SHA-256 để kéo dài thời gian phân tích tự động.
QUICAgent có khả năng thực thi lệnh, truyền tệp, duyệt thư mục và thay đổi chu kỳ beacon. Cơ chế persistence được thiết lập bằng cách đặt LNK vào thư mục Startup của người dùng.
Khuyến nghị: tăng giám sát với LNK/VHD bất thường, chặn hoặc kiểm tra việc lạm dụng ftp.exe, theo dõi lưu lượng QUIC/UDP 443, và rà soát các chỉ báo xâm nhập liên quan đến QUICAgent. Đồng thời, cần siết chính sách thực thi tệp và kiểm tra thư mục khởi động của người dùng thường xuyên.