Một nhóm tin tặc mới được cho là có liên quan đến chính phủ Trung Quốc được các nhà nghiên cứu tại công ty an ninh mạng Trend Micro (Nhật Bản) phát hiện, đặt tên là Earth Lusca. Nhóm tin tặc này không chỉ được nhà nước hậu thuẫn để thực hiện các chiến dịch gián điệp mạng chống lại các quốc gia khác, mà còn đang tìm kiếm lợi nhuận từ các cuộc tấn công vào một số công ty hoạt động đánh bạc ở Trung Quốc và nhiều nền tảng tiền điện tử khác.
Ông Andy Norton, một quan chức về rủi ro mạng châu Âu tại công ty an ninh mạng Armis (California) cho biết, “mặc dù đây không phải là mối đe dọa lớn đối với các quốc gia, nhưng các hoạt động và mục tiêu của Earth Lusca dường như phù hợp với dự luật của một chương trình nghị sự do chính phủ Trung Quốc định hướng. Nhiều quốc gia trên thế giới sử dụng mạng như một phương pháp để thu thập thông tin tình báo chính trị, dù đó là để nắm bắt và điều chỉnh chính sách đối ngoại, hiểu rõ hơn về sở hữu trí tuệ hay giám sát hoạt động của công dân”.
Norton cho biết, các thông tin được nêu trong báo cáo của Trend Micro đã được biết đến bao gồm việc sử dụng các payload giả mạo. Chẳng hạn như sử dụng các máy khai thác tiền điện tử Monero (XMR), chúng thường cố tình được sử dụng để đánh lạc hướng sự chú ý để nhắm mục đích vào một cuộc tấn công tinh vi hơn.
Các nhà nghiên cứu của Trend Micro đã bắt đầu theo dõi các hoạt động của Earth Lusca vào giữa năm 2021 và đã liên kết nhóm tin tặc này với các cuộc tấn công được biết đến công khai nhắm đến các mục tiêu bao gồm:
- Các tổ chức chính phủ ở Đài Loan, Thái Lan, Philippin, Việt Nam, Các Tiểu vương quốc Ả Rập Thống nhất, Mông Cổ và Nigeria;
- Các cơ sở giáo dục ở Đài Loan, Hồng Kông, Nhật Bản và Pháp;
- Các cơ quan truyền thông ở Đài Loan, Hồng Kông, Úc, Đức và Pháp;
- Các tổ chức và phong trào chính trị ủng hộ dân chủ và nhân quyền ở Hồng Kông;
- Tổ chức nghiên cứu COVID-19 tại Hoa Kỳ;
- Các công ty viễn thông ở Nepal;
- Các phong trào tôn giáo bị cấm ở Trung Quốc;
- Các nền tảng giao dịch tiền điện tử khác nhau.
Đánh bạc và giao dịch tiền điện tử là bất hợp pháp ở Trung Quốc. Các nhà nghiên cứu cho rằng, nhóm tin tặc này dường như được chính phủ Trung Quốc hậu thuẫn để nhắm mục tiêu vào các nền tảng với các công cụ khai thác tiền điện tử, cụ thể ở đây là tiền điện tử Monero.
Quy trình hoạt động của Earth Lusca (Nguồn: Trend Micro)
Các nhà nghiên cứu cho biết, họ đã thấy sự tương đồng giữa các kỹ thuật, chiến thuật và quy trình của nhóm này với APT41 (còn được gọi là Winnti, Wicked Spider, Winnti Umbrella và Barium). Trên thực tế, Earth Lusca đã triển khai phần mềm độc hại Winnti trong các giai đoạn nâng cao của chiến dịch.
Tuy nhiên, bất chấp sự tương đồng đó, họ vẫn coi Earth Lusca là một tác nhân đe dọa riêng biệt. Các nhà nghiên cứu đã nhóm quy trình hoạt động của Earth Lusca thành hai cụm:
Cụm thứ nhất: Cụm này được xây dựng bằng cách sử dụng các máy chủ riêng ảo được thuê từ một nhà cung cấp dịch vụ có tên là Vultr. Chúng được sử dụng để thực hiện các hoạt động lừa đảo trực tuyến và hoạt động như một máy chủ điều khiển ra lệnh cho phần mềm độc hại.
Cụm thứ hai: Ngoài hoạt động như một máy chủ C