1. TIN TỨC AN TOÀN THÔNG TIN

- Chiến dịch tấn công APT: Nhóm APT Moonstone Sleet của Triều Tiên tiếp tục chiến dịch phát tán mã độc thông qua npm.

- Cảnh báo: Chiến dịch tấn công thông qua Windows Update có thể "gỡ bỏ" các bản vá hệ thống.

Chiến dịch tấn công APT: Nhóm APT Moonstone Sleet của Triều Tiên tiếp tục chiến dịch phát tán mã độc thông qua npm

Nhóm tấn công Moonstone Sleet, được Triều Tiên hậu thuẫn, mới đây đã phát tán các gói npm độc hại lên registry JavaScript với mục tiêu xâm nhập vào hệ thống Windows. Điều này cho thấy sự dai dẳng và liên tục của chiến dịch mà nhóm này đang triển khai.

Vào ngày 7/7/2024, hai gói tin độc hại có tên harthat-api và harthat-hash đã được phát hành lên registry npm. Tuy nhiên, cả hai gói này không thu hút bất kỳ lượt tải xuống nào và đã bị gỡ bỏ chỉ sau một thời gian ngắn. Đáng chú ý, mã độc trong các gói này đã tái sử dụng mã nguồn từ một repository GitHub nổi tiếng có tên node-config, vốn là một công cụ phổ biến trong cộng đồng lập trình.

Moonstone Sleet thường xuyên triển khai các chuỗi tấn công bằng cách phát tán các tệp ZIP giả mạo qua LinkedIn thông qua các tài khoản công ty giả hoặc trên các nền tảng freelancer, từ đó lừa người dùng thực thi mã độc bằng cách tải và chạy các gói npm giả mạo. Khi thực thi, gói npm độc hại sẽ sử dụng lệnh curl để kết nối với một máy chủ do kẻ tấn công kiểm soát, từ đó tải về các payload bổ sung như SplitLoader. Trong một cuộc tấn công khác, Moonstone Sleet đã sử dụng một loader npm độc hại để đánh cắp thông tin đăng nhập từ quy trình LSASS của Windows.

Các gói mã độc mới phát hiện của nhóm này được lập trình để thực hiện một script pre-install được chỉ định trong file package.json. Script này kiểm tra xem hệ thống có đang chạy Windows hay không (thông qua tham số "Windows_NT"). Nếu đúng, nó sẽ kết nối với máy chủ C&C để tải về một tệp DLL, sau đó sử dụng binary rundll32.exe để sideload tệp này vào hệ thống. Mặc dù tệp DLL này chưa thực hiện các hành vi độc hại ngay lập tức, điều này có thể là một thử nghiệm về cơ sở hạ tầng phát tán mã độc, hoặc có khả năng mã độc thực tế chưa được tích hợp vào tệp DLL trước khi nó bị phát hiện và gỡ bỏ.

Thông tin về hoạt động của Moonstone Sleet lần này xuất hiện trong bối cảnh Hàn Quốc đã cảnh báo về các chiến dịch tấn công khác từ các nhóm tin tặc Triều Tiên như Andariel và Kimsuky. Các nhóm này đã nhắm mục tiêu vào ngành xây dựng và máy móc của Hàn Quốc, phát tán các mã độc như Dora RAT và TrollAgent (còn gọi là Troll Stealer). Đáng chú ý, chuỗi tấn công của Dora RAT đã khai thác cơ chế cập nhật của phần mềm VPN nội địa để phát tán mã độc, gây ra nguy cơ lớn cho các hệ thống bị tấn công.

Danh sách một số IoC được ghi nhận

Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/

Cảnh báo: Chiến dịch tấn công thông qua Windows Update có thể "gỡ bỏ" các bản vá hệ thống

Tại sự kiện Black Hat 2024, một chuyên gia bảo mật từ SafeBreach đã tiết lộ một hình thức tấn công hạ cấp qua Windows Update. Phương pháp này khai thác hai lỗ hổng zero-day (CVE-2024-38202 và CVE-2024-21302) nhằm làm mất hiệu lực các bản vá trên Windows 10, Windows 11 và Windows Server, khiến các lỗ hổng đã được vá trước đó quay trở lại.

Microsoft đã phát hành cảnh báo về hai lỗ hổng zero-day chưa được vá (CVE-2024-38202 và CVE-2024-21302) trong buổi thuyết trình tại Black Hat, đồng thời cung cấp các biện pháp giảm thiểu nguy cơ cho đến khi bản vá chính thức được phát hành.

Trong hình thức tấn công này, đối tượng tấn công có thể buộc hệ thống quay về các phiên bản phần mềm cũ, khiến các lỗ hổng đã được vá trước đó xuất hiện trở lại và có thể bị khai thác. Cụ thể, quy trình cập nhật của Windows có thể bị khai thác để hạ cấp các thành phần quan trọng của hệ điều hành, như thư viện liên kết động (DLL) và NT Kernel. Dù các thành phần này đã bị hạ cấp, Windows Update vẫn báo cáo rằng hệ thống được cập nhật đầy đủ, và các công cụ khôi phục hoặc quét không phát hiện ra vấn đề.

Khi các lỗ hổng zero-day này bị khai thác, đối tượng tấn công có thể hạ cấp Secure Kernel của Credential Guard, Isolated User Mode Process và hypervisor của Hyper-V. Điều này làm lộ ra các lỗ hổng leo thang đặc quyền đã được vá trước đó. Các chuyên gia bảo mật cho biết, phương pháp tấn công này có thể biến những lỗ hổng đã được vá thành lỗ hổng zero-day, khiến khái niệm "hệ thống đã được vá" không còn ý nghĩa trên tất cả các máy tính Windows.

Tính nghiêm trọng của hình thức tấn công này là nó không thể bị phát hiện, không bị chặn bởi các giải pháp Endpoint Detection & Response (EDR), và không thể được nhận diện bởi người dùng vì Windows Update vẫn báo cáo rằng hệ thống đã được cập nhật đầy đủ, dù thực tế đã bị hạ cấp.

Chuyên gia bảo mật đã thông báo cho Microsoft về các lỗ hổng từ tháng 2 năm 2024, nhưng đến nay, Microsoft vẫn chưa phát hành bản vá cho CVE-2024-38202 (leo thang đặc quyền trên Windows Update Stack) và CVE-2024-21302 (leo thang đặc quyền trên Windows Secure Kernel Mode). Lỗ hổng CVE-2024-38202 cho phép đối tượng tấn công có quyền người dùng cơ bản "gỡ bỏ" các bản vá hoặc vượt qua bảo mật Virtualization Based Security (VBS). Trong khi đó, lỗ hổng CVE-2024-21302 cho phép đối tượng tấn công sử dụng quyền quản trị thay thế các file hệ thống Windows bằng các phiên bản cũ hơn.

Hiện chưa có báo cáo về việc hai lỗ hổng này bị khai thác thực tế. Người dùng được khuyến nghị thực hiện các biện pháp giảm thiểu rủi ro khai thác cho đến khi bản vá chính thức được phát hành. Chuyên gia bảo mật cũng nhấn mạnh rằng hình thức tấn công này có thể không chỉ ảnh hưởng đến Windows mà còn có thể tiềm tàng nguy cơ đối với các hệ điều hành khác.

2. ĐIỂM YẾU, LỖ HỔNG

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất 773 lỗ hổng, trong đó có 200 lỗ hổng mức Cao, 254 lỗ hổng mức Trung bình, 26 lỗ hổng mức Thấp và 293 lỗ hổng chưa đánh giá. Trong đó có ít nhất 90 lỗ hổng cho phép chèn và thực thi mã lệnh.

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận TOP 10 lỗ hổng đáng chú ý, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

Trong đó, đáng chú ý có 03 lỗ hổng ảnh hưởng các sản phẩm của 1Password và Microsoft, cụ thể là như sau:

- CVE-2018-0824 (Điểm CVSS: 8.8 - Cao): Lỗ hổng tồn tại trên “Microsoft COM for Windows” cho phép đối tượng tấn công thực thi mã từ xa thông qua lỗi xử lý đối tượng tuần tự thất bại. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong môi trường thực tế.

- CVE-2024-42219 (Điểm CVSS: 7.0 – Cao): Lỗ hổng tồn tại trên ứng dụng 1Password cho hệ điều hành macOS, xảy ra do quá trình xác thực liên lạc giữa các tiến trình XPC thất bại. Cho phép đối tượng tấn công truy cập và trích xuất các thông tin lưu trong ứng dụng. Hiện lỗ hổng chưa có mã khai thác và chưa có ghi nhận khai thác trong môi trường thực tế bởi các nhóm tấn công.

- CVE-2024-42218 (Điểm CVSS: 6.3 – Trung bình): Lỗ hổng tồn tại trên ứng dụng 1Password cho hệ điều hành macOS. Đối tượng tấn công có thể khai thác lỗ hổng bằng cách vượt qua các biện pháp bảo mật của macOS, qua đó cho phép đối tượng tấn công truy cập và trích xuất các thông tin lưu trong ứng dụng. Hiện lỗ hổng chưa có mã khai thác và chưa có ghi nhận khai thác trong môi trường thực tế bởi các nhóm tấn công.

Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần

Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/

3. SỐ LIỆU, THỐNG KÊ

Tấn công DRDoS: Trong tuần có 39.745 (tăng so với tuần trước 41.696) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

Tấn công Web: Trong tuần, có 135 trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: 118 trường hợp tấn công lừa đảo (Phishing), 17 trường hợp tấn công cài cắm mã độc.

Danh sách địa chỉ được sử dụng trong các mạng botnet

4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM

Trong tuần đã có 966 phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.

Chi tiết báo cáo xem tại: 2024_CBT32.pdf