Chiến dịch Endgame thu giữ 6,4 triệu thông tin đăng nhập bị đánh cắp từ Gootloader và StealC

Một liên minh thực thi pháp luật quốc tế đã tiến hành Chiến dịch Endgame trong tuần này, phá vỡ cơ sở hạ tầng đứng sau ba dòng mã độc lớn: Gootloader, CastleRAT và StealC. Chiến dịch đã dẫn đến việc thu giữ khoảng 6,4 triệu thông tin đăng nhập bị đánh cắp thuộc về hơn 40.000 nạn nhân, đồng thời vô hiệu hóa hàng trăm máy chủ và tên miền được sử dụng để phân phối các mối đe dọa này.

Diễn biến sự việc

Hành động phối hợp này nhắm vào các hệ thống backend cho phép tội phạm mạng lây nhiễm vào máy tính, đánh cắp dữ liệu và triển khai ransomware (mã độc tống tiền). Theo Văn phòng Cảnh sát Hình sự Liên bang Đức (BKA), các nhà chức trách đã thu giữ 235 máy chủ và 257 tên miền liên quan đến ba chiến dịch mã độc trên. Europol đã hỗ trợ chiến dịch này, tập trung vào việc ngăn chặn các công cụ mà kẻ tấn công sử dụng để giành quyền truy cập ban đầu vào mạng lưới của nạn nhân.

Gootloader, một trình tải mã độc (malware loader) đã lây nhiễm hàng triệu máy tính kể từ năm 2020, là mục tiêu chính. Nó lan truyền bằng cách đặt các tài liệu pháp lý giả mạo lên các trang web bị xâm nhập, thường là các cài đặt WordPress, sử dụng kỹ thuật đầu độc SEO (SEO poisoning) để xếp hạng cao các trang này. Khi người dùng tải xuống tài liệu, trình tải sẽ cài đặt thêm mã độc, thường là ransomware. Chỉ riêng tại Hoa Kỳ, Gootloader đã tạo điều kiện cho các cuộc tấn công ransomware nhằm vào ít nhất 44 nạn nhân, gây ra thiệt hại khoảng 28,8 triệu USD. Trong chiến dịch này, cảnh sát đã xóa mã độc khỏi 681 trang web bị hack và vô hiệu hóa 14 máy chủ cùng 218 tên miền liên quan đến nhóm này.

Chiến dịch cũng tấn công vào CastleRAT, một trojan truy cập từ xa (remote access trojan) được phát hiện vào năm 2025, và StealC, một loại infostealer (trình đánh cắp thông tin) được thiết kế để trích xuất mật khẩu. Các nhà chức trách đã thu giữ 120 máy chủ và 39 tên miền liên kết với CastleRAT. Cơ sở hạ tầng của StealC lại bị tấn công sau một lần gián đoạn trước đó vào tháng Sáu; những người vận hành nó đã xây dựng lại mạng lưới của họ bằng cách sử dụng các dịch vụ lưu trữ miễn phí chống kiểm duyệt (bulletproof hosting) như Virtualine/Omegatech, vốn cũng đã bị vô hiệu hóa vào cuối tháng Mười. Không có vụ bắt giữ nào được công bố như một phần của hành động hàng tuần cụ thể này, mặc dù cảnh sát Hà Lan vẫn đang tiếp tục điều tra nghi phạm chính của Gootloader.

Chi tiết chính

• Quy mô đánh cắp: Khoảng 6,4 triệu thông tin đăng nhập bị đánh cắp từ hơn 40.000 nạn nhân đã bị các nhà chức trách thu giữ.
• Cơ sở hạ tầng bị gỡ bỏ: Cảnh sát đã vô hiệu hóa 235 máy chủ và 257 tên miền trong các chiến dịch Gootloader, CastleRAT và StealC.
• Tác động đến WordPress: Mã độc đã bị xóa khỏi 681 trang web bị hack, nhiều trong số đó là các trang WordPress được sử dụng để lưu trữ tài liệu pháp lý giả mạo nhằm phục vụ kỹ thuật đầu độc SEO.
• Thiệt hại tài chính: Tại Mỹ, các cuộc tấn công ransomware liên quan đến Gootloader đã gây ra thiệt hại ước tính 28,8 triệu USD đối với 44 nạn nhân được biết đến.
• Tái diễn: Những người vận hành StealC đã xây dựng lại cơ sở hạ tầng của họ sau khi bị vô hiệu hóa vào tháng Sáu, dựa vào các nhà cung cấp dịch vụ lưu trữ thân thiện với tội phạm trước khi bị gián đoạn lần gần đây nhất.
• Thông báo cho nạn nhân: Dữ liệu bị đánh cắp đang được chia sẻ với các dịch vụ như Have I Been Pwned và Shadowserver Foundation để giúp xác định các tài khoản bị xâm nhập.

Bối cảnh

Gootloader hoạt động như một "loader" (trình tải), nghĩa là chức năng chính của nó là thiết lập chỗ đứng trên máy tính của nạn nhân và sau đó tải xuống các payload độc hại khác. Nó phụ thuộc rất nhiều vào "SEO poisoning", một kỹ thuật mà kẻ tấn công tạo ra các trang web chứa các từ khóa tìm kiếm phổ biến để chúng xuất hiện ở đầu kết quả tìm kiếm. Người dùng tìm kiếm các biểu mẫu pháp lý hợp lệ hoặc bản cập nhật phần mềm vô tình tải xuống mã độc thay vì nội dung mong muốn.

CastleRAT là một Trojan Truy cập Từ xa (RAT), cung cấp cho kẻ tấn công toàn quyền kiểm soát máy bị nhiễm, cho phép chúng di chuyển ngang qua mạng. StealC là một "infostealer", được thiết kế đặc biệt để quét trình duyệt và tệp hệ thống nhằm lấy mật khẩu đã lưu, cookie và token phiên. Các công cụ này thường được bán hoặc cho thuê trên các diễn đàn tội phạm mạng, cho phép những kẻ tấn công kém kỹ thuật hơn thực hiện các cuộc tấn công tinh vi.

Tại sao điều này quan trọng

Đối với các đội ngũ tự lưu trữ (self-host) phần mềm, đặc biệt là các trang web WordPress, chiến dịch này nhấn mạnh rủi ro dai dẳng của việc xâm phạm chuỗi cung ứng và nền tảng. Việc làm sạch 681 trang web chứng minh rằng ngay cả các nền tảng uy tín cũng có thể bị vũ khí hóa nếu quản trị viên không duy trì vệ sinh bảo mật nghiêm ngặt. Kẻ tấn công thường xâm nhập thông qua thông tin đăng nhập bị đánh cắp hoặc plugin chưa được vá lỗi, sau đó cài đặt backdoor (cửa hậu) tồn tại ngay cả khi lỗ hổng ban đầu đã được khắc phục. Điều này có nghĩa là chỉ đơn thuần cập nhật phần mềm có thể không đủ nếu một điểm truy cập ẩn vẫn còn tồn tại.

Việc thu giữ 6,4 triệu thông tin đăng nhập nhấn mạnh giá trị của việc tái sử dụng thông tin xác thực trong các cuộc tấn công hiện đại. Nếu tổ chức của bạn sử dụng mật khẩu từng xuất hiện trong các vụ rò rỉ trước đó, bạn có nguy cơ cao hơn bị nhắm mục tiêu bởi các loader như Gootloader hoặc stealers như StealC. Hơn nữa, việc những người vận hành StealC nhanh chóng xây dựng lại cơ sở hạ tầng sau khi bị vô hiệu hóa vào tháng Sáu cho thấy các mối đe dọa này rất kiên cường. Chỉ dựa vào các hành động thực thi pháp luật bên ngoài không phải là một chiến lược bảo mật khả thi; các biện pháp phòng thủ nội bộ phải giả định rằng cơ sở hạ tầng mã độc sẽ luôn xuất hiện trở lại.

Bạn có thể làm gì

• Kiểm toán tài khoản quản trị viên: Xóa ngay bất kỳ tài khoản người dùng không nhận dạng được khỏi WordPress hoặc các ứng dụng tự lưu trữ của bạn.
• Áp dụng xác thực mạnh: Thay đổi tất cả mật khẩu quản trị viên thành các chuỗi duy nhất, phức tạp gồm ít nhất 12 ký tự và bật xác thực đa yếu tố (MFA) ở mọi nơi có thể.
• Hạn chế quyền truy cập quản trị: Cấu hình máy chủ web của bạn để chỉ cho phép truy cập vào /wp-admin hoặc các trang đăng nhập tương đương từ các địa chỉ IP đã biết và đáng tin cậy.
• Quét tìm backdoor: Đừng chỉ cập nhật plugin; hãy tích cực quét mã nguồn của bạn để tìm các tệp không rõ hoặc các tệp lõi bị sửa đổi có thể đóng vai trò là backdoor tồn tại lâu dài.
• Kiểm tra xem có bị xâm nhập hay không: Sử dụng các dịch vụ như "Check your hack" hoặc Have I Been Pwned để xem liệu địa chỉ email của tổ chức bạn có xuất hiện trong các bản dump dữ liệu bị đánh cắp của StealC hoặc CastleRAT hay không.
• Cập nhật mọi thứ: Đảm bảo lõi WordPress, giao diện (themes) và plugin của bạn được cập nhật lên phiên bản mới nhất để bịt kín các lỗ hổng đã biết mà các loader khai thác.