Nguyễn Tiến Đạt
Intern Writer
Các chuyên gia của SentinelLABS vừa công bố kết quả điều tra về một chiến dịch gián điệp mạng kéo dài từ tháng 2/2024 đến tháng 4/2026, nhắm vào nhiều cơ quan thực thi pháp luật tại Pakistan. Đáng chú ý, các dấu vết cho thấy chiến dịch có sự tham gia của nhiều nhóm tin tặc khác nhau, trong đó có những nhóm được cho là liên quan đến Trung Quốc và Ấn Độ.
Mục tiêu của các cuộc tấn công bao gồm máy chủ và thiết bị mạng lưu trữ các ứng dụng quản lý hồ sơ tội phạm, dữ liệu sinh trắc học, đăng ký khách sạn, thông tin người thuê nhà, hồ sơ nhân sự và các vụ án hình sự của lực lượng cảnh sát Pakistan.
Một trong những phát hiện đáng lo ngại nhất là cổng Hệ thống Quản lý Khiếu nại (CMS) của Cảnh sát Balochistan đã bị xâm nhập và biến thành kênh phát tán mã độc. Tin tặc cài đặt các tệp giả mạo dưới dạng bản cập nhật hệ thống, khiến cả cán bộ cảnh sát và người dân sử dụng cổng thông tin này đều có nguy cơ nhiễm mã độc.
SentinelLABS xác định ít nhất bốn nhóm tấn công đã tham gia chiến dịch, sử dụng các công cụ và phần mềm độc hại như PlugX, ShadowPad, Cobalt Strike và Remcos RAT. Trong đó, PlugX và ShadowPad thường được gắn với các nhóm APT có liên hệ với Trung Quốc, còn Remcos RAT được cho là do một nhóm tin tặc có liên quan đến Ấn Độ triển khai.
Ngoài Cảnh sát Balochistan, hạ tầng của Cảnh sát Khyber Pakhtunkhwa, Cảnh sát Islamabad và Cơ quan An ninh Thành phố Punjab (PSCA) cũng xuất hiện dấu hiệu bị xâm nhập.
Quá trình điều tra còn phát hiện nhiều hệ thống quan trọng bị kiểm soát, gồm thiết bị mạng, máy chủ web của chương trình "Đồn Cảnh sát Thông minh" và cổng thư điện tử Fortinet FortiMail. Tin tặc đã tải lên hai biến thể mã độc "cms_plugin.exe": một phiên bản viết bằng Rust có nhiệm vụ tải thêm payload từ máy chủ điều khiển và một phiên bản .NET giả mạo phần mềm bảo mật 360 Total Security để cài đặt AsyncRAT.
Theo SentinelLABS, việc nhiều nhóm gián điệp mạng cùng nhắm vào các cơ quan thực thi pháp luật Pakistan cho thấy giá trị tình báo rất lớn của các hệ thống này. Không chỉ chứa dữ liệu về tội phạm và công dân, chúng còn phản ánh cách cơ quan an ninh theo dõi, đánh giá và xử lý các mối đe dọa trong nước.
Đặc biệt, việc lợi dụng cổng thông tin công cộng để phát tán mã độc đánh dấu sự chuyển biến nguy hiểm trong chiến thuật tấn công. Thay vì chỉ xâm nhập mạng nội bộ, tin tặc đã biến một nền tảng phục vụ người dân thành công cụ lây nhiễm, mở rộng phạm vi nạn nhân và gia tăng hiệu quả của hoạt động gián điệp mạng.
Mục tiêu của các cuộc tấn công bao gồm máy chủ và thiết bị mạng lưu trữ các ứng dụng quản lý hồ sơ tội phạm, dữ liệu sinh trắc học, đăng ký khách sạn, thông tin người thuê nhà, hồ sơ nhân sự và các vụ án hình sự của lực lượng cảnh sát Pakistan.
Một trong những phát hiện đáng lo ngại nhất là cổng Hệ thống Quản lý Khiếu nại (CMS) của Cảnh sát Balochistan đã bị xâm nhập và biến thành kênh phát tán mã độc. Tin tặc cài đặt các tệp giả mạo dưới dạng bản cập nhật hệ thống, khiến cả cán bộ cảnh sát và người dân sử dụng cổng thông tin này đều có nguy cơ nhiễm mã độc.
SentinelLABS xác định ít nhất bốn nhóm tấn công đã tham gia chiến dịch, sử dụng các công cụ và phần mềm độc hại như PlugX, ShadowPad, Cobalt Strike và Remcos RAT. Trong đó, PlugX và ShadowPad thường được gắn với các nhóm APT có liên hệ với Trung Quốc, còn Remcos RAT được cho là do một nhóm tin tặc có liên quan đến Ấn Độ triển khai.
Ngoài Cảnh sát Balochistan, hạ tầng của Cảnh sát Khyber Pakhtunkhwa, Cảnh sát Islamabad và Cơ quan An ninh Thành phố Punjab (PSCA) cũng xuất hiện dấu hiệu bị xâm nhập.
Quá trình điều tra còn phát hiện nhiều hệ thống quan trọng bị kiểm soát, gồm thiết bị mạng, máy chủ web của chương trình "Đồn Cảnh sát Thông minh" và cổng thư điện tử Fortinet FortiMail. Tin tặc đã tải lên hai biến thể mã độc "cms_plugin.exe": một phiên bản viết bằng Rust có nhiệm vụ tải thêm payload từ máy chủ điều khiển và một phiên bản .NET giả mạo phần mềm bảo mật 360 Total Security để cài đặt AsyncRAT.
Theo SentinelLABS, việc nhiều nhóm gián điệp mạng cùng nhắm vào các cơ quan thực thi pháp luật Pakistan cho thấy giá trị tình báo rất lớn của các hệ thống này. Không chỉ chứa dữ liệu về tội phạm và công dân, chúng còn phản ánh cách cơ quan an ninh theo dõi, đánh giá và xử lý các mối đe dọa trong nước.
Đặc biệt, việc lợi dụng cổng thông tin công cộng để phát tán mã độc đánh dấu sự chuyển biến nguy hiểm trong chiến thuật tấn công. Thay vì chỉ xâm nhập mạng nội bộ, tin tặc đã biến một nền tảng phục vụ người dân thành công cụ lây nhiễm, mở rộng phạm vi nạn nhân và gia tăng hiệu quả của hoạt động gián điệp mạng.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
