Biến thể Windows của malware SprySOCKS được dùng tấn công cơ quan chính phủ
"ESET reported Windows variants of the SprySOCKS malware family being used in 2023-2024 attacks against government organizations in Taiwan, Thailand, Pakistan, and Honduras, with high-confidence attribution to the Earth Lusca threat actor. The Windows builds add kernel-level stealth, SOCKS proxying, extensive C2 and file/process control, and persistence via scheduled tasks, IFEO, and print processor registration; telemetry also suggested a possible UEFI bootkit component potentially related to CVE-2023-24932, though no strong evidence linked it to BlackLotus."
Tác động đáng kể do che giấu mức kernel, khả năng chuyển hướng lưu lượng để ẩn cổng backdoor, và thu thập dữ liệu nhạy cảm như keylogging/clipboard. Ngoài ra, khả năng liên quan UEFI bootkit làm tăng rủi ro tồn tại dai dẳng và khó phát hiện.
Nguy cơ gián đoạn hoạt động và rò rỉ thông tin đối với các tổ chức chính phủ do kiểm soát tiến trình/dịch vụ và SOCKS proxy có thể hỗ trợ mở rộng truy cập. Việc điều tra và khắc phục có thể tốn chi phí do cơ chế bền vững qua IFEO/scheduled tasks và khả năng liên quan thành phần nền tảng.
ESET ghi nhận các biến thể Windows của họ malware SprySOCKS được sử dụng trong các chiến dịch nhắm vào tổ chức chính phủ tại ít nhất bốn quốc gia: Đài Loan, Thái Lan, Pakistan và Honduras. ESET đánh giá với độ tin cậy cao rằng hoạt động này thuộc tác nhân Earth Lusca (còn được theo dõi với các tên như FishMonger, Aquatic Panda, Red Dev 10, TAG-22), tập trung vào các lĩnh vực liên quan ngoại giao, công nghệ và viễn thông.
So với phiên bản Linux từng được công bố, biến thể Windows bổ sung cơ chế che giấu mức kernel để ẩn hiện diện và liên lạc với backdoor thông qua lưu lượng được chuyển hướng từ các cổng TCP tùy ý. Hai biến thể được nêu gồm WIN_DRV (có driver kernel cho khả năng kiểu rootkit) và WIN_PLUS (backdoor gọn hơn).
Cả hai biến thể hỗ trợ TCP/UDP/WebSocket, hơn 30 lệnh C2, thu thập thông tin hệ thống, quản lý tiến trình/dịch vụ, thao tác tệp (tạo/xóa/tải/xuất/đổi tên/thực thi), chức năng SOCKS proxy, và ghi phím bấm, clipboard, tiêu đề cửa sổ đang hoạt động. WIN_DRV còn nạp driver RawWNPF từ DriverLoader (fsdiskbit.sys), thiết lập bền vững qua scheduled tasks và IFEO, đồng thời có khả năng chuyển hướng TCP để tránh lộ cổng lắng nghe thực.
ESET cũng ghi nhận dấu hiệu có thể liên quan đến UEFI bootkit và khả năng khai thác CVE-2023-24932, dù chưa có bằng chứng mạnh liên hệ với BlackLotus. Khuyến nghị: rà soát IOC/telemetry từ báo cáo ESET, tăng giám sát hành vi IFEO/scheduled tasks, kiểm tra bất thường tiến trình-kết nối mạng, và ưu tiên vá Secure Boot theo hướng dẫn của nhà cung cấp.