RDP (Remote Desktop Protocol) cho phép người dùng kết nối với máy tính từ xa. Giao thức này thường được sử dụng bởi các kỹ thuật viên và quản trị viên CNTT để kết nối từ xa với các thiết bị khác trên mạng.
RDP ban đầu được Microsoft phát triển cho hệ điều hành Windows của mình, nhưng có một số máy khách nguồn mở cho giao thức RDP có thể được sử dụng trên Linux cũng như các hệ thống Unix.
Các nhà nghiên cứu của Check Point đã tiến hành phân tích chi tiết 03 ứng dụng khách RDP được sử dụng phổ biến nhất là FreeRDP, rdesktop và Windows RDP client (đi kèm với hệ điều hành) và tìm ra 25 lỗi bảo mật, một số lỗi trong đó thậm chí có thể cho phép máy chủ RDP độc hại điều khiển từ xa các máy tính của khách chạy phần mềm RDP.
FreeRDP, ứng dụng RDP client mã nguồn mở phổ biến và trưởng thành nhất trên Github có thể bị tấn công bằng 06 lỗ hổng, 05 trong số đó là các vấn đề lỗi bộ nhớ khá lớn, thậm chí có thể dẫn đến việc thực thi mã từ xa trên máy tính của khách hàng.
Rdesktop, một RDP client mã nguồn mở cũ hơn được cài mặc định trong các bản phân phối Kali Linux, được phát hiện là RDP client dễ bị tấn công nhất với tổng số 19 lỗ hổng, 11 trong số đó có thể cho phép máy chủ RDP độc hại thực thi mã tùy ý trên máy tính của người dùng.
Mặc dù RDP client có sẵn trong Windows không chứa bất kỳ lỗi thực thi mã từ xa nào, các nhà nghiên cứu đã phát hiện ra một số tình huống tấn công thú vị có thể xảy ra do máy khách và máy chủ chia sẻ dữ liệu clipboard, cho phép máy khách truy cập và sửa đổi dữ liệu clipboard trên máy chủ và ngược lại.
"Một máy chủ RDP độc hại có thể nghe lén trên clipboard của máy khách. Đây là một tính năng, không phải là lỗi. Ví dụ, máy khách sao chép mật khẩu quản trị viên cục bộ và bây giờ máy chủ cũng có nó", các nhà nghiên cứu chia sẻ trong khi giải thích kịch bản tấn công đầu tiên.
"Máy chủ RDP độc hại có thể sửa đổi bất kỳ nội dung clipboard nào được máy khách sử dụng, ngay cả khi máy khách không phát hành thao tác "sao chép" bên trong cửa sổ RDP. Nếu người dùng nhấp vào "dán" khi mở kết nối RDP, người dùng có thể bị tấn công bởi kịch bản thứ hai".
Trong một video khác, các nhà nghiên cứu đã trình diễn cách tấn công clipboard bằng phần mềm RDP của Microsoft thậm chí có thể cho phép máy chủ RDP độc hại lừa hệ thống máy khách lưu tệp phần mềm độc hại trong thư mục khởi động của Windows, sẽ tự động được thực thi mỗi khi hệ thống khởi động.
Các nhà nghiên cứu đã báo cáo các lỗ hổng cho các nhà phát triển của các RDP client bị ảnh hưởng vào tháng 10/2018.
FreeRDP đã vá các lỗ hổng trong phiên bản v2.0.0-RC4 và triển khai bản phát hành phần mềm cho kho lưu trữ GitHub của nó chưa đầy một tháng sau khi được thông báo.
Rdesktop đã vá lỗi trong phiên bản v1.8.4 và đưa ra bản sửa lỗi vào giữa tháng 1/2019.
Microsoft thừa nhận phát hiện của các nhà nghiên cứu nhưng chưa xử lý các vấn đề được thông báo. Tuy nhiên, người dùng máy khách Windows RDP có thể tự bảo vệ mình trước các cuộc tấn công được các nhà nghiên cứu phát hiện bằng cách vô hiệu hóa tính năng chia sẻ clipboard, được bật theo mặc định khi kết nối với máy từ xa.
Nguyễn Anh Tuấn
Theo The Hacker News
15:00 | 22/01/2019
16:00 | 18/09/2020
08:00 | 25/06/2018
09:00 | 11/09/2019
09:00 | 11/12/2018
15:00 | 20/09/2024
Nhóm tin tặc tấn công có chủ đích liên quan đến Trung Quốc, được biết đến với tên gọi Mustang Panda, đã bị phát hiện sử dụng phần mềm Visual Studio Code như một phần của hoạt động gián điệp nhắm vào các chính phủ ở khu vực Đông Nam Á.
14:00 | 22/08/2024
Các máy chủ của Microchip Technology, nhà cung ứng chip quan trọng cho ngành công nghiệp quốc phòng Mỹ đã bị tấn công, buộc công ty này phải tạm ngừng một số hệ thống và giảm quy mô hoạt động.
14:00 | 07/08/2024
Các nhà nghiên cứu an ninh mạng đã phát hiện phần mềm độc hại nhắm mục tiêu vào Hệ thống kiểm soát công nghiệp (ICS) được sử dụng trong một cuộc tấn công mạng nhắm vào một công ty năng lượng Lvivteploenerg ở thành phố Lviv của Ukraine vào đầu tháng 1/2024.
10:00 | 31/07/2024
Mới đây, tin tặc đã phát tán tài liệu nội bộ liên quan đến các cơ quan trọng yếu của Mỹ như Bộ Quốc phòng, Bộ An ninh Nội địa, Cơ quan Hàng không và Vũ trụ (NASA). Theo đó, tài liệu nội bộ bị đánh cắp từ Leidos Holdings, một trong những nhà cung cấp dịch vụ công nghệ thông tin lớn nhất của Chính phủ Mỹ.
Trong tháng 9/2024, Trung tâm Giám sát an toàn không gian mạng quốc gia (Cục An toàn thông tin, Bộ TT&TT) đã ghi nhận 125.338 địa chỉ website giả mạo các cơ quan, tổ chức tăng hơn 100 địa chỉ so với tháng 8 trước đó.
14:00 | 24/10/2024