Microsoft Xác Nhận Việc Khai Thác Chủ Động Lỗ Hổng Zero-Day Của Office

Microsoft đã đưa ra cảnh báo khẩn cấp về một lỗ hổng zero-day trong bộ Office của mình, được theo dõi với mã CVE-2024-38200, hiện đang bị khai thác trong thực tế. Lỗ hổng này có điểm mức độ nghiêm trọng theo CVSS là 7.8, được phân loại là Cao, nghĩa là nó đủ nghiêm trọng để đòi hỏi sự chú ý ngay lập tức từ cả người dùng cá nhân lẫn các quản trị viên CNTT đang quản lý số lượng lớn thiết bị.

Lỗ hổng zero-day là một khiếm khuyết mà kẻ tấn công phát hiện và bắt đầu khai thác trước khi nhà cung cấp phát hành bản vá chính thức. Đó chính xác là tình huống mà Microsoft đang mô tả ở đây: các tác nhân đe dọa đã và đang lợi dụng CVE-2024-38200 trong các cuộc tấn công thực tế, điều này làm tăng mức độ rủi ro cho bất kỳ ai đang chạy các phiên bản Office bị ảnh hưởng.

Thông báo này đi kèm với các báo cáo riêng biệt về một cuộc tấn công mạng quy mô lớn nhắm vào các hệ thống bỏ phiếu điện tử trong các cuộc bầu cử cấp bang ở Moscow. Mặc dù sự cố đó và lỗ hổng zero-day của Office là những sự kiện riêng biệt liên quan đến các mục tiêu và kỹ thuật khác nhau, nhưng cùng nhau chúng minh họa một xu hướng rộng hơn: kẻ tấn công ngày càng sẵn sàng kết hợp các lỗ hổng phần mềm với các xâm nhập ở cấp độ mạng để tiếp cận các mục tiêu có giá trị cao, dù đó là hệ thống bầu cử của chính phủ hay một doanh nghiệp thông thường đang chạy Microsoft 365.

Ai Có Nguy Cơ Từ CVE-2024-38200

Vì Office là một trong những bộ ứng dụng năng suất được triển khai rộng rãi nhất trên thế giới, nhóm người dùng có khả năng bị ảnh hưởng là vô cùng lớn. Các doanh nghiệp, cơ quan chính phủ, trường học và người dùng cá nhân dựa vào các ứng dụng Office của Microsoft cho công việc hàng ngày đều có khả năng bị phơi nhiễm cho đến khi hệ thống được vá.

Kẻ tấn công khai thác các lỗ hổng Office thường dựa vào kỹ thuật lừa đảo xã hội, dụ nạn nhân mở một tài liệu, bảng tính hoặc tệp đính kèm email độc hại kích hoạt lỗ hổng. Sau khi bị khai thác, một lỗ hổng như thế này có thể được sử dụng như một điểm xâm nhập để tiếp tục xâm phạm, bao gồm đánh cắp thông tin đăng nhập, di chuyển ngang qua mạng hoặc triển khai thêm phần mềm độc hại. Các tổ chức xử lý dữ liệu nhạy cảm, hồ sơ tài chính hoặc thông tin được quản lý nên xử lý thông báo này với mức độ khẩn cấp đặc biệt, vì một lần khai thác thành công duy nhất có thể mở ra cánh cửa cho một vụ xâm phạm lớn hơn nhiều.

Tình Trạng Bản Vá và Những Gì Bạn Nên Làm Ngay Bây Giờ

Microsoft đã thừa nhận lỗ hổng và đang xử lý nó như một mối đe dọa đang hoạt động, điều này thường có nghĩa là một bản cập nhật bảo mật hoặc đã có sẵn hoặc đang được đẩy nhanh để phát hành. Biện pháp phòng thủ hiệu quả nhất đối với CVE-2024-38200 là áp dụng các bản cập nhật bảo mật chính thức của Microsoft ngay khi chúng được phát hành cho phiên bản Office của bạn.

Trong thời gian chờ đợi, có những bước thực tế bạn có thể thực hiện để giảm thiểu rủi ro:

  • Bật cập nhật tự động cho Microsoft 365 hoặc Office để các bản vá được cài đặt không chậm trễ.
  • Tránh mở các tài liệu Office bất ngờ hoặc không được yêu cầu, đặc biệt là những tài liệu đến qua email từ người gửi không quen thuộc.
  • Vô hiệu hóa macro theo mặc định trong các ứng dụng Office trừ khi bạn thực sự tin tưởng nguồn gốc của tài liệu.
  • Đảm bảo phần mềm bảo vệ điểm cuối của bạn được cập nhật và đang giám sát tích cực các hoạt động đáng ngờ dựa trên tài liệu.
  • Các quản trị viên CNTT nên ưu tiên triển khai bản vá trên tất cả các thiết bị được quản lý và xem xét nhật ký để tìm dấu hiệu của các nỗ lực khai thác.

Chờ đợi để vá là một trong những lý do phổ biến nhất khiến các tổ chức trở thành nạn nhân của các cuộc tấn công zero-day, vì khoảng thời gian giữa việc công bố và khai thác thường ngắn hơn khoảng thời gian giữa việc công bố và chu kỳ cập nhật thực tế của một công ty.

Tại Sao Các Biện Pháp Phòng Thủ Ở Cấp Độ Mạng Như VPN Vẫn Quan Trọng

Vá các điểm cuối là điều thiết yếu, nhưng đó chỉ là một lớp của một chiến lược bảo mật hợp lý. Các tác nhân đe dọa tinh vi, bao gồm các nhóm có liên hệ với Nga, đã cho thấy họ sẵn sàng kết hợp các khai thác phần mềm với các cuộc tấn công ở cấp độ mạng để tối đa hóa phạm vi tiếp cận của mình. Microsoft trước đây đã liên kết các cuộc tấn công bằng phần mềm độc hại qua Wi-Fi khách sạn với APT29 của Nga, một chiến dịch đã chứng minh cách kẻ tấn công có thể chặn lưu lượng trên các mạng không đáng tin cậy ngay cả khi bản thân thiết bị chưa bị khai thác trực tiếp.

Đó là lúc VPN trở thành một bổ sung hữu ích cho việc vá. Mã hóa lưu lượng của bạn trên các mạng công cộng hoặc không quen thuộc, chẳng hạn như Wi-Fi khách sạn hoặc sân bay, đóng lại một trong những con đường mà kẻ tấn công sử dụng để chặn dữ liệu hoặc tiêm nội dung độc hại, ngay cả khi một lỗ hổng điểm cuối như CVE-2024-38200 chưa được vá. Cả VPN lẫn việc vá điểm cuối đều không phải là biện pháp phòng thủ hoàn chỉnh khi đứng một mình, nhưng cùng nhau chúng tạo thành một tư thế kiên cường hơn trước những kẻ tấn công di chuyển linh hoạt giữa các khai thác phần mềm và chặn bắt mạng.

Điều Này Có Ý Nghĩa Gì Với Bạn

Nếu bạn hoặc tổ chức của bạn sử dụng Microsoft Office, lỗ hổng zero-day CVE-2024-38200 của Microsoft Office không phải là rủi ro lý thuyết, nó đang bị khai thác tích cực ngay bây giờ. Phản ứng thực tế rất đơn giản: vá ngay khi có bản cập nhật, thắt chặt thói quen xử lý tài liệu và đừng coi bảo mật điểm cuối là tuyến phòng thủ duy nhất của bạn. Kết hợp việc vá kịp thời với các biện pháp bảo vệ ở cấp độ mạng như mã hóa VPN trên các mạng không quen thuộc mang lại cho bạn một tư thế bảo mật tổng thể mạnh mẽ hơn, đặc biệt nếu bạn đi du lịch hoặc thường xuyên kết nối với Wi-Fi công cộng.

Những Điểm Cần Hành Động

  • Kiểm tra các kênh cập nhật chính thức của Microsoft thường xuyên và áp dụng các bản vá bảo mật Office ngay khi chúng được phát hành.
  • Bật cập nhật tự động để bạn không phải dựa vào việc kiểm tra thủ công trong khoảng thời gian khai thác đang hoạt động.
  • Hãy thận trọng với các tài liệu Office không được yêu cầu và vô hiệu hóa macro theo mặc định.
  • Sử dụng VPN khi kết nối với các mạng công cộng hoặc khách sạn, đặc biệt là dưới ánh sáng của các chiến dịch được ghi nhận như các cuộc tấn công Wi-Fi khách sạn của APT29 cho thấy các mối đe dọa ở cấp độ mạng bổ sung cho các lỗ hổng phần mềm như thế nào.
  • Coi quản lý bản vá là ưu tiên liên tục, không phải nhiệm vụ một lần, vì các lỗ hổng zero-day như lỗ hổng này có thể xuất hiện bất cứ lúc nào.