Casino trực tuyến bất hợp pháp bị lợi dụng để phát tán malware

1,7 triệu website casino tiếng Trung bị theo dõi

Các website casino và cờ bạc trực tuyến bằng tiếng Trung đang trở thành một phần đáng lo ngại của bức tranh an ninh mạng toàn cầu. Theo nghiên cứu từ Infoblox, có khoảng 1,7 triệu website casino tiếng Trung phục vụ hoạt động cờ bạc bất hợp pháp đang được theo dõi.

Một số nền tảng trong số này thực sự cung cấp dịch vụ cá cược, có bộ phận hỗ trợ khách hàng và vận hành tương tự casino trực tuyến hợp pháp. Tuy nhiên, nhiều website chỉ sử dụng giao diện casino như một lớp vỏ để che giấu các hoạt động nguy hiểm hơn.

Bên cạnh hoạt động cờ bạc bất hợp pháp, mạng lưới này còn được cho là có liên quan đến rửa tiền, né thuế và việc che giấu hạ tầng kỹ thuật phục vụ các hoạt động tấn công mạng.

PeckBirdy ẩn mình sau các tên miền casino

Infoblox cho biết một số tên miền casino tiếng Trung đang che giấu hạ tầng command-and-control, thường được gọi là C2. Đây là loại hạ tầng cho phép kẻ tấn công liên lạc với malware đã xâm nhập vào thiết bị của nạn nhân, gửi lệnh điều khiển hoặc nhận dữ liệu đánh cắp.

Một trong những framework được phát hiện là PeckBirdy, được cho là do các nhóm APT có liên hệ với Trung Quốc sử dụng. Những nhóm này nhắm đến mục tiêu doanh nghiệp và cơ quan chính phủ tại nhiều quốc gia châu Á.

PeckBirdy được xây dựng bằng JScript, một ngôn ngữ scripting cũ nhưng vẫn có thể hoạt động trên nhiều môi trường thực thi. Các tác nhân đe dọa triển khai framework này không chỉ trên website casino tiếng Trung mà còn trên những website nội dung người lớn có chất lượng thấp.

Cập nhật phần mềm giả để dụ nạn nhân

Trong một chiến dịch được ghi nhận, kẻ tấn công đã chèn script độc hại vào các website cờ bạc. Khi người dùng truy cập, script có thể tải framework PeckBirdy và hiển thị trang thông báo cập nhật phần mềm giả.

Mục tiêu của thủ đoạn này là thuyết phục nạn nhân tự tải xuống và chạy malware trên thiết bị của họ. Vì thông báo cập nhật phần mềm là một hình thức lừa đảo phổ biến, người dùng nên đặc biệt cẩn trọng với các cửa sổ pop-up yêu cầu tải tệp, cài tiện ích hoặc cập nhật trình duyệt.

Trong các trường hợp khác, liên kết đến PeckBirdy được nhúng vào các website chính phủ đã bị xâm phạm. Malware cũng có thể được chạy thông qua MSHTA, một thành phần có sẵn của Windows dùng để thực thi mã Microsoft HTML Application.

Hạ tầng cloud hợp pháp bị lạm dụng

Một yếu tố làm vấn đề trở nên phức tạp là một số website và máy chủ liên quan sử dụng hạ tầng cloud của các nhà cung cấp lớn tại Mỹ, bao gồm Amazon, Microsoft, Cloudflare và Google.

Việc sử dụng các nền tảng phổ biến khiến lưu lượng truy cập độc hại dễ trà trộn với hoạt động hợp pháp. Đây cũng có thể là lý do nhiều hệ thống bảo mật khó nhận diện hoặc chặn hoàn toàn các tên miền và máy chủ này.

Infoblox cho rằng một nguyên nhân có thể là việc kẻ xấu đánh cắp hoặc lạm dụng tài khoản cloud. Hành vi này được gọi là infrastructure laundering — tạm hiểu là “rửa hạ tầng”, tức sử dụng hạ tầng hợp pháp hoặc tài khoản bị chiếm quyền để vận hành chiến dịch độc hại.

Không nên bỏ qua cảnh báo về tên miền casino

Các nhóm vận hành malware có thể chủ động tận dụng định kiến phổ biến trong doanh nghiệp: cảnh báo truy cập website casino hoặc website người lớn thường bị xem là vấn đề vi phạm quy định duyệt web của nhân viên, thay vì một dấu hiệu của tấn công mạng.

Theo Infoblox, chính phản ứng này là điều mà các nhóm tấn công mong đợi. Một cảnh báo có thể bị đóng nhanh mà không được điều tra sâu, bởi tên miền casino hay nội dung người lớn thường trông đúng như mục đích bề ngoài của chúng.

Do đó, đội ngũ IT và an ninh mạng không nên mặc định bỏ qua các cảnh báo liên quan đến website casino tiếng Trung hoặc website người lớn. Cần kiểm tra kỹ các dấu hiệu như chuyển hướng bất thường, script lạ, tệp tải xuống ngoài ý muốn, thông báo cập nhật giả và kết nối đến tên miền đáng ngờ.

Bài viết chỉ nhằm mục đích cung cấp thông tin. Cá cược chỉ dành cho người từ 18 tuổi trở lên - chơi có trách nhiệm.