CVE-2024-4577 là một nghiêm trọng chèn tham số PHP-CGI đã được vá vào tháng 6, ảnh hưởng đến các cài đặt PHP chạy trên hệ thống Windows đang hoạt động ở chế độ CGI. Nó cho phép kẻ tấn công chưa được xác thực thực thi mã tùy ý và dẫn đến xâm phạm toàn bộ hệ thống sau khi khai thác thành công.
Kẻ tấn công đã triển khai phần mềm độc hại dưới dạng hai thư viện liên kết động (weblog[.]dll và wmiclnt[.]dll), được tải bởi tiến trình Apache httpd[.]exe.
Tính năng đáng chú ý nhất của Msupedge là sử dụng lưu lượng DNS để trao đổi dữ liệu với máy chủ kiểm soát tấn công (C&C). Mặc dù nhiều nhóm tin tặc đã áp dụng kỹ thuật này trong quá khứ, nhưng hiện nay kỹ thuật này đã ít được sử dụng.
Kẻ tấn công đã tận dụng DNS Tunneling (một tính năng được triển khai dựa trên công cụ dnscat2 nguồn mở), cho phép dữ liệu được đóng gói trong các truy vấn và phản hồi DNS để nhận lệnh từ máy chủ C&C. Ngoài ra, kẻ tấn công có thể sử dụng Msupedge để thực hiện nhiều lệnh khác nhau, được kích hoạt dựa trên octet thứ ba của đã giải quyết của máy chủ C&C. Backdoor Msupedge cũng hỗ trợ nhiều lệnh, bao gồm tạo tiến trình, tải xuống tệp và quản lý tệp tạm thời.
Nhóm Threat Hunter của Symantec - đơn vị đã phát hiện ra phần mềm độc hại mới này, cho rằng những kẻ tấn công đã truy cập được vào các hệ thống bị xâm phạm sau khi khai thác lỗ hổng CVE-2024-4577.
Lỗ hổng bảo mật này cho phép vượt qua các biện pháp bảo vệ của PHP triển khai cho CVE-2012-1823. Lỗ hổng này đã bị khai thác trong các cuộc tấn công trong nhiều năm sau khi được khắc phục để nhắm vào các máy chủ Linux và Windows bằng phần mềm độc hại RubyMiner.
Nhóm Threat Hunter của Symantec cho biết: “Cuộc xâm nhập ban đầu có thể là thông qua việc khai thác lỗ hổng PHP mới được vá gần đây (CVE-2024-4577). Cho đến nay, chúng tôi vẫn chưa phát hiện bằng chứng nào cho phép chúng tôi xác định mối đe dọa này cũng như động cơ đằng sau cuộc tấn công”.
Sau khi những nhà bảo trì phát hành bản vá CVE-2024-4577, WatchTowr Labs đã đưa ra mã khai thác (PoC) cho lỗ hổng này. Shadowserver Foundation cũng đã báo cáo về việc phát hiện các hoạt động khai thác trên honeypot của họ trong cùng ngày.
Chưa đầy 48 giờ sau khi bản vá được phát hành, nhóm TellYouThePass cũng bắt đầu khai thác lỗ hổng để triển khai webshell và mã hóa hệ thống của nạn nhân.
Các chuyên gia khuyên cáo người dùng nên thường xuyên kiểm tra và cập nhật bản vá đầy đủ cho các phần mềm, thư viện đang sử dụng và loại bỏ các phần mềm, thư viện không còn sử dụng để giảm nguy cơ bị tấn công.
Bá Phúc
14:00 | 05/08/2024
10:00 | 19/08/2024
09:00 | 15/08/2024
09:00 | 02/08/2024
Chỉ vài ngày sau khi một lỗi trong phần mềm CrowdStrike khiến 8,5 triệu máy tính Windows bị sập, người dùng hệ điều hành này lại đang phải đối mặt với một vấn đề mới sau khi cài đặt bản cập nhật bảo mật tháng 7.
16:00 | 23/05/2024
Những nhóm tin tặc ngày càng vũ khí hóa API Microsoft Graph cho các mục đích độc hại nhằm lẩn tránh sự phát hiện.
08:00 | 23/05/2024
Chiều 10/5, Công ty Đường sắt Đông Nhật Bản (JR East) thông tin về sự cố gián đoạn hệ thống đối với ứng dụng Mobile Suica và hệ thống đặt chỗ trực tuyến Eki-net.
08:00 | 15/05/2024
Ba Lan cho biết nhóm tin tặc APT28 có liên quan đến Cơ quan tình báo quân đội Nga (GRU) đã thực hiện các cuộc tấn công mạng nhắm mục tiêu vào các tổ chức chính phủ Ba Lan trong khoảng thời gian đầu tháng 5/2024.
Trong bối cảnh chuyển đổi số và hội nhập quốc tế ngày càng sâu rộng, Việt Nam đang trở thành mục tiêu hấp dẫn cho các cuộc tấn công chuỗi cung ứng tinh vi. Các doanh nghiệp Việt từ các tổ chức nhỏ đến các tập đoàn lớn đều phải đối mặt với nguy cơ bị tấn công qua những lỗ hổng bảo mật trong hệ thống của đối tác hay nhà cung cấp.
07:00 | 10/09/2024