Falcon C2 nhắm vào cổng webmail và ứng dụng web chính phủ: rà soát trình duyệt

Unit 42 phân tích Falcon C2, còn gọi là XG hoặc Xiàng Gē, được sử dụng trong các chiến dịch nhắm vào cổng webmail và ứng dụng web chính phủ. Bài viết của Palo Alto Unit 42 mô tả cách framework này điều khiển implant trong trình duyệt, đánh cắp dữ liệu và phân phối implant Antino.

Tổng quan và thông tin kỹ thuật

Falcon là framework command-and-control viết bằng NodeJS, điều khiển implant JavaScript chạy trong trình duyệt của nạn nhân. Unit 42 ghi nhận các chiến dịch từ tháng 3 đến tháng 5 năm 2026 và đánh giá với độ tin cậy cao rằng Falcon có những điểm tương đồng kỹ thuật đáng kể với PeckBirdy, có thể là các biến thể của cùng framework.

Phạm vi ảnh hưởng

Các chiến dịch được ghi nhận nhắm vào cơ quan chính phủ tại một quốc gia Trung Đông và bốn quốc gia Đông Nam Á. Đối tượng gồm bộ ngoại giao, quốc phòng, nội vụ và cơ quan thực thi pháp luật. Hồ sơ xác định mục tiêu là cổng webmail và ứng dụng web chính phủ; không nêu nhánh phiên bản sản phẩm bị ảnh hưởng.

Cơ chế và tác động

Kẻ tấn công chèn JavaScript độc hại vào cổng webmail và ứng dụng web chính phủ. Khi nạn nhân truy cập, máy chủ Falcon tạo implant được làm rối riêng cho phiên trình duyệt; implant có thể sideload tiện ích mở rộng Chrome độc hại và đánh cắp mật khẩu, email, cookie phiên cùng nội dung liên lạc.

Implant tạo mã định danh phiên bền vững trong local storage, cookie và bộ nhớ tiện ích mở rộng. Falcon duy trì liên lạc bằng WebSocket mã hóa TLS, gửi heartbeat mỗi phút và hỗ trợ giao thức Comet, trong đó dữ liệu trao đổi không được mã hóa. Falcon cũng phân phối Antino, sử dụng Microsoft OneDrive làm kênh C2.

Khắc phục và giảm thiểu

1. Ưu tiên rà soát: Các tổ chức chính phủ và đơn vị vận hành cổng webmail hoặc ứng dụng web nên rà soát dấu hiệu xâm nhập trình duyệt, tiện ích Chrome bất thường và hoạt động C2 liên quan.
2. Sản phẩm và dịch vụ bảo vệ được nêu: Palo Alto Networks liệt kê Advanced WildFire; Advanced URL Filtering và Advanced DNS Security; Cortex XDR và XSIAM; Cortex Agentic Endpoint Security; Prisma Browser; Idira Endpoint Privilege Manager (EPM); và Idira Identity and Access Management (IAM).
3. Thông tin tình báo: Unit 42 Threat Intel Services và Deep and Dark Web Service có thể cung cấp thông tin tình báo, trao đổi với chuyên gia và theo dõi mức độ phơi nhiễm.
4. Nghi ngờ bị xâm nhập: Liên hệ Unit 42 Incident Response nếu nghi ngờ bị xâm nhập hoặc có sự cố khẩn cấp.

Nguồn tham khảo

• Palo Alto Unit 42: Falcon C2 browser compromise