SideCopy mở rộng tấn công sang khối học thuật tại Ấn Độ
"SideCopy, a Pakistan-linked APT also known as TAG-140, was observed using spear-phishing to target academic institutions in India with the ReverseRAT remote access trojan. The attack chain abuses mshta.exe, LNK files, HTA scripts, and layered obfuscation to load payloads in memory, enabling credential theft, screenshots, file operations, persistence, and data exfiltration over encrypted C2 traffic; no CVE is mentioned."
ReverseRAT cho phép đánh cắp dữ liệu nhạy cảm, duy trì truy cập trái phép và thực thi lệnh từ xa; chuỗi tấn công dùng mshta.exe và thực thi trong bộ nhớ làm tăng khả năng né phát hiện.
Các trường đại học và đơn vị liên quan có thể chịu rò rỉ dữ liệu, gián đoạn vận hành và mất uy tín; cần tăng cường lọc email, giám sát endpoint và kiểm soát tệp đính kèm.
Nhóm đe dọa SideCopy (còn gọi là TAG-140) được ghi nhận đã chuyển hướng chiến dịch spear-phishing sang các cơ sở học thuật tại Ấn Độ, thay vì chỉ tập trung vào cơ quan chính phủ như trước đây. Theo phân tích của Trellix, chuỗi tấn công bắt đầu bằng một tệp ZIP chứa LNK ngụy trang thành tài liệu hợp lệ, sau đó gọi HTA từ máy chủ từ xa và thực thi qua mshta.exe để tải mã độc vào bộ nhớ.
Mã độc cuối cùng là ReverseRAT, một remote access trojan mà SideCopy đã sử dụng từ đầu 2021. ReverseRAT có thể thu thập thông tin hệ thống, mật khẩu, ảnh chụp màn hình, clipboard, thực hiện sao chép/tải tệp, chạy lệnh từ xa và duy trì persistence qua Registry Run Key. Dữ liệu bị đánh cắp được truyền qua kênh C2 mã hóa và đẩy ra ngoài qua cổng 5863.
Về phòng thủ, các tổ chức nên giám sát việc gọi mshta.exe, chặn hoặc hạn chế LNK/HTA từ email và nguồn không tin cậy, kiểm tra Run Key bất thường, và tăng cường phát hiện thực thi trong bộ nhớ cùng hành vi obfuscation nhiều lớp. Với môi trường giáo dục, cần đặc biệt chú ý đến email giả mạo nhắm vào cán bộ, giảng viên và bộ phận hành chính.