Chiến dịch PhantomEnigma lợi dụng website .gov.br và email xác thực để phân phối mã độc
"More than 20 Brazilian government websites were compromised and used as trusted delivery infrastructure in the PhantomEnigma campaign, which lured victims with fake police-themed documents and authenticated emails. The infection chain led to a patched Electron/Boostnote-based backdoor that collected system data, maintained persistence, and delivered additional payloads such as stealers, loaders, and remote management tools; no CVE was identified in the article."
Tác động đáng kể do kẻ tấn công lợi dụng hạ tầng .gov.br bị chiếm và email vượt qua SPF/DKIM/DMARC, làm giảm cảnh giác; backdoor Electron/Boostnote hỗ trợ persistency và tải payload theo yêu cầu, tăng khả năng duy trì truy cập và mở rộng phạm vi.
Nguy cơ cho ngân hàng và cơ quan công: có thể dẫn tới đánh cắp thông tin xác thực, truy cập trái phép, gian lận và gián đoạn vận hành; việc cảnh báo bị phân mảnh có thể làm chậm thời gian cô lập.
Hơn 20 website chính phủ tại Brazil đã bị chiếm quyền và được sử dụng như kênh phân phối mã độc trong chiến dịch PhantomEnigma. Theo phân tích từ ANY.RUN, kẻ tấn công dùng các liên kết “đáng tin” và email có vẻ hợp lệ để giảm khả năng bị nghi ngờ, đồng thời triển khai chuỗi xâm nhập nhiều giai đoạn.
Tác nhân lừa đảo bắt đầu bằng tài liệu giả theo chủ đề cảnh sát (ví dụ “Ofício Polícia Civil”, “Procuração Digital”), một số có mã QR hoặc dẫn nạn nhân tới các trang giả mạo tài nguyên chính phủ. Trong nhiều trường hợp, email được gửi qua hộp thư bị xâm nhập và vẫn vượt qua SPF, DKIM, DMARC, tạo cảm giác hợp lệ hơn so với phishing thông thường.
Sau khi nạn nhân nhấp vào liên kết, luồng chuyển hướng đi qua máy chủ .gov.br bị xâm nhập hoặc tên miền giả mạo tương tự, rồi mới tới bộ cài độc hại. Phần mềm độc hại được ghi nhận là backdoor dựa trên Electron/Boostnote (đã bị vá/điều chỉnh), có khả năng thu thập thông tin hệ thống, thiết lập persistency, kết nối hạ tầng C2 xoay vòng, và tải thêm payload như stealer, loader và công cụ remote management.
Khuyến nghị: tăng cường threat hunting theo hành vi, rà soát các email/URL có nguồn gốc từ hạ tầng tin cậy, và thiết lập quy trình phản hồi để điều tra cả khi thông tin “xác thực” (SPF/DKIM/DMARC) vẫn hợp lệ.