Cloud9 thực chất là một trojan truy cập từ xa (RAT) trên trình duyệt Chromium, bao gồm cả Google Chrome và Microsoft Edge, cho phép tin tặc thực hiện các lệnh tùy ý từ xa. Tiện ích mở rộng này không có sẵn trên cửa hàng Chrome trực tuyến chính thức mà được phân phối thông qua các kênh thay thế, chẳng hạn như các trang web phát hành bản cập nhật Adobe Flash Player giả mạo.

Tiện ích mở rộng độc hại được phân phối qua Adobe Flash Player giả mạo

Cloud9 có khả năng tạo backdoor trên các trình duyệt Chromium để thực hiện một danh sách mở rộng các chức năng và khả năng độc hại. Nó bao gồm 3 tệp JavaScript để thu thập thông tin hệ thống, khai thác tiền điện tử bằng cách sử dụng tài nguyên của máy chủ, thực hiện các cuộc tấn công DDoS và chèn các tập lệnh chạy khai thác trình duyệt.

Zimperium nhận thấy tiện ích này khai thác các lỗ hổng CVE-2019-11708 và CVE-2019-9810 trong Firefox, CVE-2014-6332 và CVE-2016-0189 trên Internet Explorer và CVE-2016-7200 đối với Edge. Những lỗ hổng này được sử dụng để tự động cài đặt và thực thi phần mềm độc hại của Windows trên máy chủ, cho phép tin tặc tiến hành các cuộc xâm nhập hệ thống.

Tuy nhiên, ngay cả khi không có thành phần độc hại này, tiện ích mở rộng Cloud9 có thể đánh cắp cookie từ trình duyệt bị xâm nhập, từ đó các tin tặc có thể sử dụng để chiếm đoạt các phiên hợp lệ và tài khoản của người dùng.

Mã nguồn đánh cắp cookie của trình duyệt

Ngoài ra, phần mềm độc hại còn có tính năng keylogger để ghi lại và theo dõi các thao tác người dùng thực hiện trên bàn phím nhằm đánh cắp mật khẩu và các thông tin nhạy cảm khác.

Một môđun “clipper” cũng có trong tiện ích mở rộng Cloud9, nó liên tục giám sát bộ nhớ đệm tạm thời của hệ thống để tìm mật khẩu hoặc thẻ tín dụng được sao chép.

Mã nguồn mô-đun clipper của Cloud9

Cloud9 cũng có thể chèn quảng cáo bằng cách tải các trang web một cách âm thầm để tạo ra số lần hiển thị quảng cáo. Từ đó, tiện ích này mang lại doanh thu cho các nhà phát triển của nó. Cuối cùng, phần mềm độc hại có thể lợi dụng máy chủ để thực hiện các cuộc tấn công DDoS ở lớp 7 thông qua các yêu cầu HTTP POST đến mục tiêu.

“Các cuộc tấn công ở lớp 7 thường rất khó phát hiện vì kết nối TCP trông rất giống với các yêu cầu hợp lệ. Các tin tặc có khả năng sử dụng mạng botnet này để cung cấp dịch vụ thực hiện tấn công DDoS”, Zimperium nhận xét.

Các tin tặc đứng sau Cloud9 được cho là có liên hệ với nhóm phần mềm độc hại Keksec, vì các miền C2 được sử dụng trong chiến dịch gần đây đã được phát hiện trong các cuộc tấn công trước đó của Keksec Keksec được xác định là nhóm phát triển nhiều mạng lưới botnet, bao gồm: EnemyBot, Tsunamy, Gafgyt, DarkHTTP, DarkIRC và Necro. Bên cạnh đó, việc quảng bá công khai Cloud9 trên các diễn đàn tội phạm mạng khiến Zimperium tin rằng Keksec có khả năng bán hoặc cho các nhà khai thác khác thuê nó.