Một chiến dịch mới được báo cáo cho thấy cách các kẻ tấn công kết hợp lỗ hổng zero-day VMware ESX với các lỗ hổng khác để xâm nhập vào các thiết bị bảo vệ mạng. Theo Help Net Security, kẻ tấn công đã khai thác lỗ hổng zero-day VMware ESX để che giấu dấu vết, sau đó kết hợp các lỗ hổng PHP2Shell với một lỗi có tên Fragnesia để chiếm quyền root tường lửa. Tiêu đề nguồn quy hoạt động này cho tin tặc Trung Quốc.
Bản tóm tắt công khai khá ngắn gọn, vì vậy bài viết này chỉ tập trung vào những gì đã được báo cáo và giải thích lý do tại sao nó lại quan trọng đối với cả các doanh nghiệp lớn.
Những gì đã được báo cáo về lỗ hổng zero-day VMware ESX
Ba yếu tố nổi bật từ báo cáo:
- Một lỗ hổng zero-day VMware ESX. Zero-day là lỗ hổng bị khai thác trước khi có bản vá. ESX là một hypervisor, phần mềm chạy các máy ảo trên một máy chủ vật lý. Theo báo cáo, kẻ tấn công đã sử dụng lỗ hổng này để che giấu dấu vết, nghĩa là nó giúp chúng tránh bị phát hiện.
- Các lỗ hổng PHP2Shell. Những lỗ hổng này được kết hợp với một lỗi khác để giành quyền kiểm soát sâu hơn đối với tường lửa.
- Fragnesia. Kết hợp với PHP2Shell, lỗi này cho phép kẻ tấn công "root" tường lửa, nghĩa là giành được mức độ kiểm soát cao nhất đối với thiết bị.
Bản tóm tắt nguồn không cung cấp thêm chi tiết kỹ thuật, chẳng hạn như các phiên bản bị ảnh hưởng hoặc tình trạng bản vá, vì vậy người đọc nên kiểm tra các khuyến cáo của nhà cung cấp để biết thông tin cụ thể thay vì mặc định.
Tại sao kẻ tấn công nhắm vào tường lửa và máy chủ ảo hóa
Tường lửa và hypervisor nằm ở những vị trí đặc quyền. Tường lửa nhìn thấy và kiểm soát lưu lượng giữa mạng và internet. Hypervisor lưu trữ nhiều hệ thống cùng lúc. Xâm nhập một trong hai sẽ cho kẻ tấn công một điểm quan sát mà các công cụ bảo mật endpoint thông thường thường không thể nhìn thấy, phù hợp với chủ đề tàng hình của chiến dịch này.
Chuỗi tấn công cũng là một mô thức lặp đi lặp lại. Thay vì chỉ dựa vào một lỗi, kẻ tấn công liên kết nhiều lỗi để chuyển từ truy cập ban đầu sang kiểm soát hoàn toàn. Chúng ta đã thấy hành vi tương tự trong các báo cáo khác, bao gồm tin tặc UTA0565 Trung Quốc kết hợp zero-day Chrome và Windows và một báo cáo của Proofpoint về các nhóm liên kết Trung Quốc chạy đua khai thác zero-day. Điểm chung là tốc độ và sự kiên nhẫn: khai thác nhanh chóng, sau đó ẩn mình im lặng.
Điều này có ý nghĩa gì với bạn
Hầu hết người dùng gia đình không chạy VMware ESX. Nhưng nhiều người dựa vào router hoặc tường lửa, và các doanh nghiệp nhỏ thường chạy các thiết bị tường lửa nằm ở rìa mạng. Một thiết bị biên bị xâm nhập có thể phơi bày lưu lượng đi qua nó, bao gồm hoạt động duyệt web và dữ liệu không được mã hóa, và kẻ tấn công có thể sử dụng nó làm bàn đạp để tiếp cận các thiết bị khác.
Đây không phải là lý do để hoảng loạn. Báo cáo mô tả một chiến dịch có mục tiêu, và không có gì trong bản tóm tắt cho thấy các hộ gia đình thông thường đang bị nhắm đến cụ thể. Tuy nhiên, đây là một lời nhắc nhở hữu ích rằng thiết bị bảo vệ mạng của bạn có thể chính là điểm yếu. Các hoạt động liên quan đến nhà nước rộng hơn cũng đã ảnh hưởng đến các cá nhân, như trong chiến dịch gián điệp do Trung Quốc hậu thuẫn nhắm vào các nhà báo và nhà hoạt động, vì vậy các biện pháp vệ sinh cơ bản rất quan trọng đối với những người có mức độ rủi ro cao hơn.
VPN có thể thêm một lớp bảo vệ bằng cách mã hóa lưu lượng giữa thiết bị của bạn và máy chủ VPN, điều này hạn chế những gì một router cục bộ bị xâm nhập có thể nhìn thấy. Nó không khắc phục được tường lửa đã bị chiếm quyền root, và nó không thay thế việc vá lỗi.
Những gì bạn có thể kiểm tra trên router hoặc tường lửa của mình
- Cập nhật firmware. Kiểm tra trang quản trị hoặc trang web của nhà sản xuất để biết phiên bản mới nhất và cài đặt nó.
- Bật cập nhật tự động nếu thiết bị của bạn hỗ trợ.
- Tắt quản trị từ xa trừ khi bạn thực sự cần, và tránh để lộ các trang quản lý ra internet.
- Thay đổi thông tin đăng nhập mặc định và sử dụng mật khẩu quản trị mạnh, duy nhất.
- Thay thế phần cứng không còn được hỗ trợ. Các thiết bị không còn nhận được bản cập nhật bảo mật không thể được sửa chữa khi các lỗ hổng mới xuất hiện.
- Xem lại nhật ký và cài đặt để tìm các tài khoản lạ, cài đặt DNS bị thay đổi hoặc chuyển tiếp cổng bất thường.
- Nếu bạn chạy VMware ESX hoặc cơ sở hạ tầng tương tự, hãy tuân theo các khuyến cáo bảo mật của nhà cung cấp và áp dụng bản vá kịp thời.
Kẻ tấn công cũng ngày càng sử dụng tự động hóa để mở rộng quy mô công việc của chúng, như được thấy trong phát hiện của Hunt.io về các tác nhân AI hỗ trợ các cuộc tấn công khắp châu Á, điều này khiến việc vá lỗi kịp thời trở nên quan trọng hơn, chứ không phải ít hơn.
Những điểm chính cần ghi nhớ
Chiến dịch zero-day VMware ESX là một lời nhắc nhở rằng tàng hình và chuỗi tấn công giờ đây là tiêu chuẩn đối với những kẻ tấn công có năng lực, và các thiết bị biên là mục tiêu có giá trị. Bạn không thể kiểm soát liệu một lỗ hổng zero-day có tồn tại hay không, nhưng bạn có thể rút ngắn thời gian phơi nhiễm của mình: giữ firmware luôn cập nhật, bật cập nhật tự động, khóa chặt truy cập từ xa và loại bỏ các thiết bị không còn được hỗ trợ. Hãy coi VPN là một lớp trong số nhiều lớp bảo vệ. Hãy bắt đầu ngay hôm nay bằng cách kiểm tra phiên bản firmware trên router hoặc tường lửa của bạn.
