Microsoft đang cảnh báo về việc tin tặc lạm dụng lỗ hổng zero-day được tiết lộ công khai ngày càng nhiều

Microsoft đang cảnh báo về việc các quốc gia và các đối tượng tội phạm đang ngày càng lạm dụng các lỗ hổng zero-day đã được tiết lộ công khai để xâm phạm các tổ chức mục tiêu.

Các lỗ hổng Zero-day là “một phương tiện đặc biệt hiệu quả để bắt đầu khai thác” và một khi bị tiết lộ công khai, các lỗ hổng có thể được tái sử dụng nhanh chóng bởi các quốc gia và đối tượng tội phạm mạng.

Trong Báo cáo phòng thủ số (Digital Defense Report), Microsoft cho biết đã nhận thấy "khoảng thời gian từ khi thông báo về một lỗ hổng bảo mật đến khi lỗ hổng đó trở nên phổ biến đã bị giảm đi ", điều này khiến các tổ chức buộc phải nhanh chóng áp dụng bản vá để kịp thời ngăn chặn các hành vi khai thác lỗ hổng.

Vào tháng 4 năm 2022, Cơ quan An ninh mạng của Mỹ (CISA) cũng cho biết đã phát hiện ra những kẻ xấu đang gia tăng việc khai thác các lỗ hổng phần mềm mới được tiết lộ để chống lại các mục tiêu trên toàn thế giới.

Microsoft lưu ý rằng chỉ mất trung bình 14 ngày để một mã khai thác có sẵn sau khi công khai lỗ hổng; mặc dù các cuộc tấn công zero-day ban đầu có phạm vi hạn chế, nhưng chúng có xu hướng nhanh chóng được các tác nhân đe dọa lợi dụng, dẫn đến hàng loạt các hoạt động thăm dò trước khi các bản vá được cài đặt.

Các nhóm tin tặc do nhà nước Trung Quốc hậu thuẫn được cho là "khá thành thạo" trong việc tìm ra và phát triển các khai thác zero-day.

Điều này càng được củng cố bởi thực tế là Cục Quản lý Không gian mạng Trung Quốc (CAC) đã ban hành một quy định báo cáo lỗ hổng bảo mật mới vào tháng 9 năm 2021 yêu cầu các lỗ hổng bảo mật phải được báo cáo cho chính phủ trước khi chia sẻ với các nhà phát triển sản phẩm.

Luật này có thể cho phép các phần tử được chính phủ Trung Quốc hậu thuẫn có được và lạm dụng các lỗ hổng được báo cáo, dẫn đến việc tăng cường sử dụng zero-day cho các hoạt động gián điệp nhằm thúc đẩy lợi ích kinh tế và quân sự của Trung Quốc.

Một số lỗ hổng bị các tác nhân đe dọa Trung Quốc khai thác đầu tiên trước các nhóm tấn công khác bao gồm:  

- CVE-2021-35211  (Điểm CVSS: 10,0) - Lỗ hổng thực thi mã từ xa (RCE) trong Máy chủ SolarWinds Serv-U Managed File Transfer và phần mềm Serv-U Secure FTP

- CVE-2021-40539 (Điểm CVSS: 9,8) - Lỗ hổng cho phép vượt qua (bypass) xác thực trong Zoho ManageEngine ADSelfService Plus

- CVE-2021-44077  (Điểm CVSS: 9,8) - Lỗ hổng RCE mà không cần xác thực trong Zoho ManageEngine ServiceDesk Plus

- CVE-2021-42321  (Điểm CVSS: 8,8) - Lỗ hổng RCE trong Microsoft Exchange Server đã bị khai thác ba ngày sau khi nó được tiết lộ trong cuộc thi hack Tianfu Cup vào tháng 10 năm 2021.

- CVE-2022-26134  (điểm CVSS: 9,8) - Lỗ hổng Object-Graph Navigation Language (OGNL) injection trong Atlassian Confluence có khả năng đã bị một đối tượng có liên quan đến Trung Quốc lợi dụng để chống lại một tổ chức giấu tên của Mỹ vài ngày trước khi lỗ hổng được tiết lộ vào ngày 2 tháng 6.

Các phát hiện cũng được đưa ra gần một tháng sau khi CISA công bố danh sách các lỗ hổng bảo mật hàng đầu bị các tổ chức ở Trung Quốc khai thác kể từ năm 2020 để đánh cắp tài sản trí tuệ và giành/mở rộng quyền truy cập vào các mạng nhạy cảm.

Nguồn: thehackernews.com.