Microsoft đã xác nhận rằng tin tặc đang tích cực khai thác một lỗ hổng zero-day trong Outlook. Theo báo cáo, lỗ hổng này có thể làm lộ thông tin xác thực của Windows khi người dùng mở một tệp độc hại. Kiểu đánh cắp mã băm xác thực qua lỗ hổng zero-day trong Outlook này đáng được xem trọng, bởi vì dữ liệu bị đánh cắp có thể trở thành bàn đạp dẫn đến những vấn đề nghiêm trọng hơn nhiều.
Các chi tiết được công bố cho đến nay còn hạn chế, vì vậy bài viết này chỉ tập trung vào những gì đã được xác nhận và bổ sung thêm bối cảnh chung về cách thức đánh cắp thông tin xác thực diễn ra. Ở những chỗ thiếu thông tin cụ thể, chúng tôi sẽ nói rõ điều đó.
Lỗ hổng zero-day trong Outlook đánh cắp mã băm Windows như thế nào
Điều đã được xác nhận: kẻ tấn công đang khai thác một điểm yếu chưa được vá trước đó trong Outlook, và tác nhân kích hoạt là người dùng mở một tệp độc hại. Khi điều đó xảy ra, thông tin xác thực của Windows có thể bị lộ cho kẻ tấn công.
"Zero-day" đơn giản có nghĩa là lỗ hổng đã bị lợi dụng trong các cuộc tấn công trước khi có bản vá. "Bị khai thác" có nghĩa đây không phải là một phát hiện nghiên cứu mang tính lý thuyết. Những kẻ tấn công thực sự đang sử dụng nó ngay lúc này.
Mã băm xác thực là một dạng biểu diễn đã được mã hóa của mật khẩu hoặc thông tin xác thực mà Windows sử dụng để chứng minh bạn là ai trên mạng. Nhìn chung, kẻ tấn công thu được mã băm có thể cố gắng bẻ khóa nó ngoại tuyến để khôi phục mật khẩu gốc, hoặc trong một số cấu hình, tái sử dụng nó để xác thực mà không cần biết mật khẩu. Bài viết gốc không cho biết kẻ tấn công đang sử dụng con đường nào trong số này với lỗ hổng cụ thể này, và chúng tôi sẽ không suy đoán.
Ai có nguy cơ và kẻ tấn công có thể làm gì với mã băm bị đánh cắp
Dựa trên các chi tiết đã được xác nhận, bất kỳ ai sử dụng Outlook trên Windows và có thể bị lừa mở một tệp độc hại đều có khả năng bị ảnh hưởng. Các tổ chức cần được đặc biệt chú ý, vì thông tin xác thực của một nhân viên duy nhất có thể mở ra cánh cửa đến các hệ thống dùng chung, máy chủ tệp và các ứng dụng nội bộ.
Nói một cách tổng quát, thông tin xác thực bị đánh cắp có thể dẫn đến:
- Chiếm đoạt tài khoản nếu mã băm bị bẻ khóa và mật khẩu yếu hoặc được tái sử dụng
- Di chuyển ngang trong mạng lưới của công ty, nơi một tài khoản bị xâm phạm được dùng để tiếp cận những tài khoản khác
- Đánh cắp dữ liệu từ hộp thư, tài nguyên chia sẻ tệp và các dịch vụ đám mây gắn với cùng một danh tính
Những hậu quả đó là rủi ro chung của việc đánh cắp thông tin xác thực, không phải là kết quả đã được xác nhận của chiến dịch cụ thể này. Tuy nhiên, chúng giải thích tại sao một lỗ hổng "chỉ" làm rò rỉ dữ liệu xác thực lại quan trọng. Quyền truy cập bị đánh cắp thường là bước đầu tiên trước khi xảy ra đánh cắp dữ liệu và tống tiền. Để xem một ví dụ gần đây về cách dữ liệu bị đánh cắp biến thành áp lực đối với nạn nhân, hãy xem bài viết của chúng tôi về yêu cầu tiền chuộc ở Berlin sau một vụ tấn công mạng của chính phủ.
Cần làm gì ngay bây giờ: vá lỗi, giảm thiểu rủi ro và kiểm tra mức độ phơi nhiễm
Vì cuộc tấn công này phụ thuộc vào việc người dùng mở một tệp độc hại, nên các biện pháp phòng vệ của bạn là sự kết hợp giữa cập nhật phần mềm và thói quen cẩn thận.
- Áp dụng bản vá hoặc biện pháp giảm thiểu của Microsoft. Kiểm tra hướng dẫn bảo mật chính thức của Microsoft về lỗ hổng Outlook này và cài đặt bản vá ngay khi có sẵn cho phiên bản của bạn. Nếu chỉ có các biện pháp giảm thiểu được công bố, hãy áp dụng chúng ngay hôm nay thay vì chờ đợi.
- Cập nhật Windows và Office cùng nhau. Chạy Windows Update và các bản cập nhật Microsoft 365 hoặc Office để không bỏ lỡ các bản vá liên quan.
- Tắt tính năng xem trước có rủi ro. Ở những nơi tổ chức của bạn cho phép, hãy tắt tính năng tự động xem trước tệp đính kèm và tránh mở tệp từ những người gửi mà bạn không nhận ra.
- Coi những tệp đính kèm bất ngờ là nguy hiểm. Xác minh với người gửi qua một kênh khác trước khi mở bất cứ thứ gì bất thường, ngay cả khi email trông như nội bộ.
- Bật xác thực đa yếu tố (MFA). MFA sẽ không loại bỏ lỗ hổng, nhưng nó khiến thông tin xác thực bị đánh cắp khó bị sử dụng riêng lẻ hơn nhiều.
- Đổi mật khẩu nếu bạn nghi ngờ bị phơi nhiễm. Nếu bạn đã mở một tệp đáng ngờ, hãy đổi mật khẩu và báo ngay cho bộ phận IT hoặc nhóm bảo mật của bạn để họ có thể kiểm tra nhật ký cho các lần đăng nhập bất thường.
Quản trị viên IT cũng nên theo dõi các nỗ lực xác thực bất thường và các kết nối ra ngoài không mong muốn từ máy trạm, vì đây có thể là dấu hiệu của việc bị thu thập thông tin xác thực. Khuyến cáo chính thức của Microsoft sẽ có danh sách có thẩm quyền về các dấu hiệu và bản vá.
Tại sao VPN không ngăn được cuộc tấn công này
Với rất nhiều lời khuyên về quyền riêng tư tập trung vào VPN, cần nói thẳng: VPN không phải là biện pháp phòng vệ chống lại vấn đề này. VPN mã hóa lưu lượng giữa thiết bị của bạn và máy chủ VPN và che giấu địa chỉ IP của bạn. Nó không ngăn bạn mở một tệp độc hại, và nó không sửa chữa một lỗ hổng bên trong Outlook.
Cuộc tấn công này hoạt động ở cấp độ ứng dụng và xác thực, trên chính máy của bạn. Những biện pháp khắc phục quan trọng ở đây là vá lỗi, thói quen email cẩn thận và bảo vệ tài khoản mạnh mẽ như MFA. VPN vẫn có thể hữu ích cho các mục tiêu quyền riêng tư khác, chẳng hạn như bảo vệ lưu lượng trên Wi-Fi công cộng, nhưng không nên nhầm nó với sự bảo vệ chống lại một lỗ hổng như thế này.
Điều này có ý nghĩa gì với bạn
Nếu bạn sử dụng Outlook trên Windows, hãy coi đây là mối đe dọa đang hiện hữu chứ không phải trong tương lai. Rủi ro thực tế quy về một khoảnh khắc: mở một tệp mà lẽ ra bạn không nên mở. Hãy chậm lại với những tệp đính kèm bất ngờ, giữ phần mềm của bạn luôn cập nhật và đảm bảo tài khoản của bạn được bảo vệ bằng MFA để một thông tin xác thực bị rò rỉ không đủ để kẻ tấn công xâm nhập.
Đối với doanh nghiệp, đây là lời nhắc nhở rằng cần coi việc đánh cắp thông tin xác thực như một cửa ngõ dẫn đến những sự cố lớn hơn. Vá lỗi nhanh chóng và giám sát tốt sẽ thu hẹp khoảng thời gian mà kẻ tấn công có để hành động.
Những điểm chính cần ghi nhớ
- Microsoft đã xác nhận việc khai thác tích cực một lỗ hổng zero-day trong Outlook có thể làm lộ thông tin xác thực của Windows khi một tệp độc hại được mở.
- Hãy áp dụng bản vá hoặc các biện pháp giảm thiểu đã được công bố của Microsoft ngay hôm nay, và cập nhật Windows cùng Office.
- Tắt các tính năng xem trước có rủi ro khi có thể và xác minh những tệp đính kèm bất ngờ trước khi mở chúng.
- Bật MFA cho tài khoản email và công việc của bạn, và đổi mật khẩu nếu bạn nghĩ mình đã mở một thứ gì đó đáng ngờ.
- VPN sẽ không bảo vệ bạn khỏi việc bị đánh cắp mã băm xác thực qua lỗ hổng zero-day trong Outlook. Vá lỗi và thói quen phòng chống lừa đảo mới làm được điều đó.
Hãy kiểm tra trạng thái cập nhật của bạn ngay bây giờ, và chia sẻ điều này với đồng nghiệp hoặc người thân những người sử dụng Outlook hàng ngày.
