Chiến dịch StrikeShark dùng SharkLoader để triển khai Cobalt Strike trên Windows
"Security researchers reported a new malware campaign, StrikeShark, that delivers a previously undocumented loader called SharkLoader to deploy Cobalt Strike Beacon on compromised Windows hosts. The campaign abuses multiple public-facing vulnerabilities and installer-themed droppers for initial access, then uses DLL side-loading, API hooking, and scheduled tasks/Run keys for execution and persistence; no specific CVE fix is described in the article, but the affected software should be patched and exposed services hardened."
Chiến dịch cho thấy khả năng triển khai Cobalt Strike Beacon và duy trì truy cập qua scheduled tasks/Run keys, đồng thời khai thác nhiều bề mặt ứng dụng công khai. Điểm rủi ro chính gồm DLL side-loading, API hooking và Perfect DLL Hijacking.
Tác động có thể nghiêm trọng đối với các tổ chức chính phủ và doanh nghiệp phần mềm do nguy cơ gián điệp mạng và đánh cắp thông tin. Tuy nhiên, báo cáo nêu chưa thấy bằng chứng exfiltration dữ liệu ở giai đoạn quan sát.
Các nhà nghiên cứu ghi nhận chiến dịch tấn công mới mang tên StrikeShark. Thành phần SharkLoader được dùng như bộ nạp để triển khai Cobalt Strike Beacon trên các máy chủ Windows đã bị xâm nhập.
Theo báo cáo, nhóm tấn công nhắm tới nhiều tổ chức ở nhiều quốc gia, bao gồm cơ quan ngoại giao tại Indonesia, tổ chức chính phủ ở Đài Loan, doanh nghiệp phát triển phần mềm và các thực thể khác tại nhiều khu vực. Chuỗi tấn công bắt đầu bằng khai thác các lỗ hổng công khai trên ứng dụng hướng Internet, ví dụ CVE-2021-26855 (ProxyLogon), CVE-2023-32315 (Openfire), và CVE-2024-36401 (GeoServer). Ngoài ra, báo cáo liệt kê thêm nhiều lỗ hổng khác như CVE-2022-41082 (ProxyNotShell), CVE-2016-4437 (Apache Shiro) và CVE-2021-27076 (Microsoft SharePoint).
Sau khi chiếm quyền, kẻ tấn công thiết lập hiện diện bằng web shell và thực hiện DLL side-loading thông qua SystemSettings.exe để nạp SystemSettings.dll. Một biến thể khác dùng bộ cài giả mạo (ví dụ “Google Update”, “Cisco AnyConnect”) hoặc tài liệu PDF mồi nhử. Khi DLL được nạp, SharkLoader áp dụng Perfect DLL Hijacking, kết hợp API hooking (Detours/MinHook) và cơ chế chạy beacon trong luồng bị treo. Duy trì truy cập có thể thông qua Registry Run keys và scheduled tasks. Khuyến nghị: vá các CVE liên quan, rà soát dịch vụ công khai, giám sát dấu hiệu web shell, DLL side-loading, và hoạt động bất thường của LSASS/NTDS.