Theo công ty bảo mật IoT dành cho doanh nghiệp Armis (có trụ sở chính tại California), cuộc tấn công mới được thực hiện dựa trên kỹ thuật đã được tiết lộ trước đó. Nó có thể vượt qua bộ định tuyến, tường lửa và tiếp cận bất kỳ thiết bị nào trong mạng nội bộ từ Internet.
Được tiết lộ lần đầu tiên bởi nhà nghiên cứu bảo mật Samy Kamkar vào cuối tháng 10/2020, cuộc tấn công dựa trên JavaScript đánh lừa người dùng truy cập vào một trang web độc hại để phá vỡ các hạn chế về cổng dựa trên trình duyệt. Đồng thời, cho phép kẻ tấn công truy cập từ xa vào các dịch vụ TCP/UDP trên thiết bị của nạn nhân, ngay cả khi thiết bị được bảo vệ bởi tường lửa hoặc kỹ thuật NAT.
Các biện pháp đã được khuyến cáo sử dụng từ ngày 11/11/2020 để bảo vệ khỏi cuộc tấn công trong trình duyệt Chrome 87, Firefox 84 và Safari; bằng cách ngăn chặn các kết nối trên cổng 5060 hoặc 5061. Ben Seri và Gregory Vishnipolsky (các nhà nghiên cứu của Armis) đã tiết lộ rằng, NAT Slipstreaming 2.0 đặt các thiết bị nhúng không được quản lý vào mức độ rủi ro cao hơn, bằng cách cho phép những kẻ tấn công lấy thông tin thiết bị nằm trên mạng nội bộ tiếp xúc trực tiếp với Internet.
Các thiết bị bao gồm máy in văn phòng, bộ điều khiển công nghiệp, camera IP và các giao diện chưa được xác thực khác có thể bị tấn công dễ dàng khi NAT/tường lửa bị đánh lừa mở lưu lượng mạng tới thiết bị nạn nhân.
Các nhà nghiên cứu cho biết: "Sử dụng biến thể mới của cuộc tấn công NAT Slipstreaming để truy cập các loại giao diện này từ Internet có thể dẫn đến các cuộc tấn công ransomware tinh vi".
Google, Apple, Mozilla và Microsoft đã khẩn trương phát hành các bản vá cho các trình duyệt Chrome (v87.0.4280.141), Safari (v14.0.3), Firefox (v85.0) và Edge (v87.0.664.75) để giải quyết vấn đề này.
NAT Slipstreaming cho phép kẻ tấn công vượt qua NAT/firewall và truy cập từ xa vào bất kỳ dịch vụ TCP/UDP nào được liên kết với máy nạn nhân. Đặc biệt, mã JavaScript độc hại chạy trên trình duyệt của nạn nhân trích xuất địa chỉ IP nội bộ và lợi dụng việc phân gói tin TCP/IP để điều chỉnh ranh giới gói tin. Thông qua đó, kẻ tấn công có thể để tạo gói tin TCP/UDP bắt đầu bằng giao thức SIP như REGISTER hoặc INVITE. Các gói tin trong giao thức SIP chứa địa chỉ IP nội bộ bên trong gửi đi yêu cầu HTTP POST qua cổng TCP 5060.
NAT Slipstreaming 2.0 tương tự như cuộc tấn công NAT Slipstreaming, sử dụng cùng một cách tiếp cận nhưng dựa trên giao thức H.323 VoIP thay vì SIP để gửi và nhận nhiều yêu cầu đến máy chủ của kẻ tấn công trên cổng H.323 (1720), cho phép kẻ tấn công quét qua một loạt địa chỉ IP và cổng, mở từng cổng và địa chỉ IP đó với Internet.
Các nhà nghiên cứu kết luận: "Thật không may, giải pháp lâu dài để khắc phục tấn công cần phải được chỉnh sửa một số cơ sở hạ tầng Internet. Điều quan trọng là phải hiểu vấn đề bảo mật không phải nằm ở cách thức của việc tạo ra NAT, mà nó chủ yếu bắt nguồn từ sự cạn kiệt tiềm năng của các địa chỉ IPv4. Các yêu cầu kế thừa như ALG vẫn là vấn đề chính trong thiết kế NAT ngày nay và là lý do chính khiến các cuộc tấn công bỏ qua dạng này phổ biến".
Thanh Bùi ( The Hacker News)
13:00 | 04/02/2021
13:00 | 03/02/2021
08:00 | 26/08/2024
Trong vòng 6 tháng đầu năm 2024, các nạn nhân của mã độc tống tiền (ransomware) trên toàn cầu đã phải chi trả một con số khổng lồ lên tới 459,8 triệu USD cho tội phạm mạng, dự báo một kỷ lục đáng sợ mới về thiệt hại do ransomware gây ra trong năm nay. Bất chấp các nỗ lực của cơ quan chức năng, các băng nhóm tội phạm vẫn tiếp tục lộng hành, nhắm vào những mục tiêu lớn hơn, gây ra những cuộc tấn công quy mô với mức tiền chuộc ngày càng tăng chóng mặt.
16:00 | 20/06/2024
Một cuộc kiểm tra bảo mật mở rộng đối với QNAP QTS - hệ điều hành dành cho các sản phẩm NAS đã phát hiện 15 lỗ hổng với các mức độ nghiêm trọng khác nhau, trong đó có 11 lỗ hổng vẫn chưa được vá.
16:00 | 30/05/2024
Các nhà nghiên cứu tới từ công ty bảo mật đám mây Zscaler (Mỹ) gần đây đã phân tích phiên bản HijackLoader mới có bổ sung các kỹ thuật lẩn tránh phát hiện. Bài viết này sẽ cùng khám phá về khả năng của phiên bản cập nhật này dựa trên báo cáo của Zscaler.
16:00 | 15/05/2024
Dell đã thông báo về một vụ vi phạm dữ liệu lớn, sau khi tin tặc có bí danh Menelik đăng bán 49 triệu dữ liệu khách hàng của Dell trên web đen.
Theo báo cáo mới nhất được Viettel công bố ngày 26/8 vừa qua, cho thấy tình hình an ninh mạng đáng báo động với sự xuất hiện của 17.000 lỗ hổng mới chỉ trong 6 tháng đầu năm, đặt ra thách thức lớn cho các doanh nghiệp Việt.
11:00 | 03/09/2024