Lỗ hổng nghiêm trọng cho phép lây lan mã độc tống tiền

Thống kê gần đây cho biết, tin tặc đang tích cực khai thác một lỗ hổng đang tồn tại trên sản phẩm Veeam Backup & Replication nhằm lây lan các mã độc tống tiền nguy hiểm như Akira hay Fog Ransomware.

Cụ thể, đội ngũ các nhà nghiên cứu bảo mật thuộc Sophos cho biết họ đã phát hiện số lượng lớn các vụ tấn công diễn ra trong tháng vừa qua. Điểm chung của các cuộc tấn công này là phương thức khai thác của tin tặc, chúng tận dụng các thông tin credential VPN và lỗ hổng CVE-2024-40711 để tạo một tài khoản local trên hệ thống nạn nhân, từ đó triển khai lan rộng mã độc ra phạm vi lớn hơn.

Thông tin CVE-2024-40711:

Mức độ nghiêm trọng: Critical
Điểm CVSS(3.1): 9.8
Phân loại lỗ hổng: Remote Code Execution
Mô tả: Các dữ liệu từ những nguồn không tin cậy bị loại bỏ thông qua những payload độc có thể được kẻ tấn công chưa xác thực lợi dụng và thực thi mã từ xa.
Phiên bản bị ảnh hưởng: 12.2

Phía Sophos chia sẻ, tin tặc cố gắng xâm nhập thông qua khai thác các thông tin credential VPN đã có. Chúng tập trung vào các VPN không sử dụng xác thực đa lớp hoặc các VPN đang chạy trên các phiên bản không còn nhận được sự hỗ trợ từ nhà phát hành phần mềm. Các cuộc tấn công nhắm tới Veeam thông qua URI hoặc nhắm tới cổng 8000 khiến Veeam.Backup.MountService.exe sinh ra tiến trình net.exe và tạo ra một tài khoản local trên hệ thống của nạn nhân, đồng thời thêm tài khoản này với phân quyền Administratos và Remote Desktop User.

Đối với các cuộc tấn công mục đích lây lan mã độc tống tiền Fog ransomware, tin tặc cần truyền mã độc tới các máy chủ Hyper-V chưa có biện pháp phòng thủ và sử dụng rclone làm công cụ để trích xuất dữ liệu. Tuy nhiên phương pháp này được cho là không thể triển khai đối với một số các mã độc tống tiền nguy hiểm khác.

Các ứng dụng sao lưu và khôi phục dữ liệu doanh nghiệp vốn là những mục tiêu có giá trị cao đối với tin tặc. Những lỗ hổng tồn tại trên các phần mềm này luôn được tích cực khai thác trên thực tiễn bởi các nhóm ransomware, cho thấy mức độ quan tâm của các nhóm này dành cho các lỗ hổng trên. Người dùng cần có các biện pháp khắc phục, cập nhật các bản vá lỗ hổng kịp thời nhằm tránh giảm thiểu tối đa khả năng đối diện với các nguy cơ mất an toàn thông tin cho hệ thống của mình.

Tham khảo

NIST CVE-2024-40711: https://nvd.nist.gov/vuln/detail/CVE-2024-40711
NHS England Report: https://digital.nhs.uk/cyber-alerts/2024/cc-4563
InfoSec: https://infosec.exchange/@SophosXOps/113284564225476186

Lỗ hổng nghiêm trọng cho phép lây lan mã độc tống tiền

Comments

Newsletters

More from this blog

MedusaHVNC: "Màn hình Windows vô hình" đang giúp tin tặc qua mặt mọi ánh mắt giám sát

MedusaHVNC: "Invisible Windows screen" is helping hackers bypass all surveillance eyes

SourTrade: Chiến dịch biến JavaScript thành dây chuyền sản xuất mã độc

SourTrade: Campaign to turn JavaScript into a malware production line

Bạn Kết Nối Wi-Fi Khách Sạn, Kẻ Tấn Công Đã Vào Tài Khoản Microsoft 365 — Mà Bạn Không Nhấp Gì Cả

Tham khảo

Command Palette

Comments

Newsletters

More from this blog

Tham khảo