Chiến dịch Operation Dragon Weave: Nhóm tin tặc Trung Quốc tấn công mục tiêu tại Séc và Đài Loan

Một chiến dịch gián điệp mạng mới mang tên Operation Dragon Weave vừa được phát hiện, nhắm mục tiêu vào các quan chức và công dân tại Cộng hòa Séc và Đài Loan. Mục đích chính của chiến dịch này là phát tán agent AdaptixC2 để kiểm soát hệ thống.

Phương thức tấn công tinh vi

Theo báo cáo từ Seqrite Labs, các đối tượng bị nhắm tới bao gồm khu vực chính phủ, nghiên cứu, học thuật, công nghệ và dịch vụ tài chính. Kẻ tấn công sử dụng hình thức phishing qua email đính kèm tệp ZIP. Khi người dùng giải nén, một chuỗi lây nhiễm sẽ được kích hoạt, sử dụng Rust loader để triển khai mã độc cuối cùng nhằm đánh cắp dữ liệu và chiếm quyền điều khiển từ xa.

Điểm đáng chú ý là kỹ thuật DLL side-loading được sử dụng để nạp tệp tin độc hại UnityPlayer.dll, từ đó kích hoạt loader RUSTCLOAK. Loader này sau đó giải mã và chạy payload chính là AZUREVEIL. Điểm đặc biệt của AZUREVEIL là sử dụng Microsoft Azure Blob Storage làm máy chủ C2 theo mô hình “dead drop”, giúp kẻ tấn công và hệ thống bị nhiễm không cần kết nối trực tiếp với nhau, gây khó khăn cho việc phát hiện.

Khả năng của malware

AZUREVEIL hỗ trợ tới 36 lệnh khác nhau, cho phép tin tặc thực hiện các hành vi sau khi xâm nhập như: thao tác tệp tin, thực thi lệnh shell, liệt kê và kết thúc tiến trình, quản lý proxy SOCKS, và thực thi mã trong bộ nhớ (in-memory execution) thông qua Beacon Object Files (BOFs).

Sự gia tăng hoạt động của các nhóm tin tặc Trung Quốc

Bên cạnh Dragon Weave, các chuyên gia bảo mật cũng ghi nhận nhiều hoạt động đáng lo ngại khác:

• TencShell: Cato Networks phát hiện một loại implant mới dựa trên Go nhắm vào ngành sản xuất tại Ấn Độ, có liên quan đến các kỹ thuật của nhóm tin tặc Trung Quốc.
• SteppeDriver: ESET báo cáo về một nhóm hoạt động mạnh từ cuối năm 2025, nhắm vào Pháp, Mông Cổ và Nam Mỹ với các công cụ như ShadowPad và COOLCLIENT.
• PhiliKit: Một bộ công cụ backdoor mới được liên kết với nhóm UNC5221, cho phép thực thi các tập lệnh Python và Perl.
• NegativeGlimmer: Nhóm này được cho là có liên quan đến các vụ xâm nhập vào hơn 70 tổ chức chính phủ và hạ tầng trọng yếu trên 37 quốc gia.

Các chuyên gia nhận định, các chiến dịch này phản ánh sự quan tâm bền bỉ của các nhóm tin tặc đối với các công nghệ chiến lược và hạ tầng trọng yếu trên toàn cầu, phù hợp với các mục tiêu phát triển công nghiệp dài hạn.

Nguồn tham khảo: The Hacker News