Kaspersky phát hiện biến thể Lite mới của Grandoreiro

Mặc dù những kẻ chủ mưu đứng sau việc phát tán Grandoreiro đã bị bắt giữ từ đầu năm nay, các nhóm tội phạm mạng khác vẫn tiếp tục lợi dụng loại malware này để thực hiện các cuộc tấn công. Và Grandoreiro hiện là một trong những mối đe dọa hàng đầu trong lĩnh vực bảo mật ngân hàng, đã nhắm vào hơn 1.700 ngân hàng và con số này chiếm tới 5% tổng số cuộc tấn công ngân hàng sử dụng trojan trên toàn cầu trong năm nay. Tại Mexico, quốc gia bị ảnh hưởng nặng nề nhất, với hơn 51.000 vụ tấn công liên quan đến các biến thể Grandoreiro, bao gồm cả phiên bản Lite nêu trên.

Theo Kaspersky, trojan phiên bản lite hiện đang nhắm vào khoảng 30 ngân hàng tại Mexico. Điều này cho thấy, những kẻ tạo ra malware Grandoreiro vẫn có khả năng tiếp cận được mã nguồn của phần mềm này, và đang sử dụng một phiên bản đơn giản hóa của malware để triển khai các chiến dịch tấn công mới.

“Khi nhìn vào tất cả các phần mềm độc hại được phát triển gần đây, không khó để nhận ra mối đe dọa đang ngày càng trở nên phức tạp. Các phiên bản gọn nhẹ có thể báo hiệu một xu hướng tấn công lan rộng bên ngoài khu vực Mỹ Latinh. Tuy nhiên, chúng tôi cho rằng chỉ một số đối tác tin cậy của nhóm tội phạm mới có quyền truy cập vào mã nguồn để phát triển các phiên bản lite mới. Grandoreiro hoạt động khác với mô hình 'Malware-as-a-Service' truyền thống mà chúng ta thường thấy. Chúng ta sẽ không tìm thấy thông báo bán gói malware Grandoreiro trên các diễn đàn hoạt động ngầm. Thay vào đó, việc truy cập vào mã nguồn có vẻ như bị giới hạn.” Ông Fabio Assolini, Trưởng nhóm nghiên cứu và phân tích toàn cầu (GReAT) khu vực Mỹ Latinh của Kaspersky giải thích thêm.

Được biết, các biến thể khác nhau của Grandoreiro, bao gồm malware ban đầu và phiên bản gọn nhẹ, chiếm khoảng 5% các vụ tấn công ngân hàng toàn cầu bằng cách sử dụng trojan được Kaspersky phát hiện trong năm 2024. Điều này cho thấy: các biến thể của Grandoreiro đã trở thành một trong những mối đe dọa mạnh mẽ nhất trên toàn thế giới.

Từ năm 2024, Kaspersky cũng phân tích các biến thể mới của malware Grandoreiro và phát hiện tội phạm đang áp dụng nhiều chiến thuật tấn công mới. Ví dụ như phần mềm độc hại sẽ ghi lại hoạt động của chuột máy tính để mô phỏng mô hình hành vi của người dùng thực, nhằm qua mặt các hệ thống bảo mật dựa trên máy học phân tích hành vi. Bằng cách mô phỏng các chuyển động tự nhiên giống như người dùng thật đang lướt chuột máy tính, malware có thể “đánh lừa” để qua mặt các công cụ chống lừa đảo và các hành vi bất thường trong hệ thống.

Grandoreiro còn được áp dụng Ciphertext Stealing (CTS), một kỹ thuật mã hóa mà Kaspersky chưa từng bắt gặp trong các malware trước đây. Việc áp dụng kỹ thuật này nhằm mục đích mã hóa các chuỗi malware.

“Với cấu trúc lớn và phức tạp, Grandoreiro sẽ dễ dàng bị các công cụ bảo mật hoặc nhà phân tích phát hiện nếu các chuỗi malware không được mã hóa. Có lẽ đây là lý do vì sao tội phạm áp dụng kỹ thuật mới này, nhằm gây khó khăn cho việc phát hiện và phân tích các cuộc tấn công.” Fabio Assolini giải thích.

Theo dữ liệu từ Kaspersky, phần mềm độc hại Grandoreiro đã hoạt động từ năm 2016. Đến nay, mối đe dọa này đã nhắm vào hơn 1.700 tổ chức tài chính và 276 ví tiền điện tử trên 45 quốc gia và vùng lãnh thổ. Gần đây nhất, châu Á và châu Phi đã bị thêm vào danh sách mục tiêu.