Tin tặc đã xâm nhập Cục điều tra dân số Mỹ như thế nào?

Cơ quan giám sát của chính phủ Mỹ cho biết các tin tặc đã xâm phạm máy chủ của Cục điều tra dân số Mỹ vào tháng 1 năm 2020 bằng cách khai thác một lỗ hổng nghiêm trọng trong các máy chủ truy cập từ xa của cơ quan này.

Kẻ tấn công đã truy cập vào máy chủ và sửa đổi dữ liệu tài khoản người dùng trên hệ thống để chuẩn bị cho việc thực thi mã từ xa nhưng không thành công trong việc duy trì truy cập này. Tường lửa của Cục điều tra dân số đã phát hiện xâm nhập và ngăn chặn các tấn công leo thang.

Tin tặc đã xâm phạm máy chủ Citrix

Một số chi tiết trong báo cáo cho thấy tin tặc đã khai thác lỗ hổng trong máy chủ Citrix ADC gateway của cơ quan này.

Lỗ hổng có mã CVE-2019-19781, cho phép kẻ tấn công thực thi mã độc trên thiết bị Citrix ADC.

Bản vá lỗ hổng được phát hành vào cuối tháng 1 năm 2020. Tuy nhiên, đã có nhiều cuộc tấn công vào lỗ hổng trong thực tế ngay sau khi mã khai thác của nó được công khai trên GitHub vào ngày 10/01/2020.

Theo báo cáo của OIG, các máy chủ của Cục Điều tra Dân số Mỹ nằm trong số những máy chủ đầu tiên bị tấn công qua lỗ hổng này.

Dòng sự kiện của cuộc tấn công:

• -  Ngày 17 tháng 12 năm 2019 - Citrix tiết lộ CVE-2019-19781, một lỗ hổng trong Citrix ADC gateway. Các bản vá không có sẵn, nhưng nhà cung cấp đã phát hành các biện pháp giảm nhẹ để ngăn chặn các cuộc tấn công.
• -  Ngày 10 tháng 1 năm 2020 - Mã khai thác cho lỗ hổng được phát hành trên GitHub.
• -  Ngày 11 tháng 1 năm 2020 - Máy chủ Citrix của Cục điều tra dân số Hoa Kỳ bị tấn công.
• -  Ngày 13 tháng 1 năm 2020 - Tường lửa của Cục điều tra dân số Hoa Kỳ chặn kẻ tấn công kết nối với máy chủ điều khiển từ xa (C&C).
• -  Ngày 15 tháng 1 năm 2020 - Cục nhận được danh sách các địa chỉ IP độc hại dùng để khai thác tấn công.
• -  Ngày 16 tháng 1 năm 2020 - CISA thông báo máy chủ của Cục đã bị tấn công và yêu cầu Cục điều tra.
• -  Ngày 28 tháng 1 năm 2020 - Cục xác nhận hệ thống Citrix của họ đã bị tấn công.
• -  Ngày 31 tháng 1 năm 2020 - CISA yêu cầu Cục điều tra các máy chủ bị tấn công.
• -  Ngày 5 tháng 2 năm 2020 - Cục xác nhận rằng các máy chủ khác đã bị tấn công.

Theo một báo cáo từ các cơ quan an ninh mạng ở Mỹ, Anh và Úc, kể từ khi Cục điều tra dân số Mỹ bị xâm phạm, lỗ hổng CVE-2019-19781 Citrix đã trở thành một trong những lỗi bảo mật bị khai thác nhiều nhất trong hai năm qua.

Các lỗ hổng tương tự cũng thường được lạm dụng bởi các băng đảng ransomware, các nhóm gián điệp mạng và những kẻ tấn công khác.

Nguồn: therecord.media.