KR — 전자신문
Nghi vấn tin tặc chiếm quyền 25 máy chủ nhờ lỗ hổng PHP; Hàn Quốc cũng là mục tiêu
Bảo mật2 phút đọc
Tin tặc đã dùng một lỗi PHP mới được phát hiện để chiếm quyền điều khiển khoảng 25 máy chủ. Một số máy chủ có liên hệ với một cơ quan chính phủ Mỹ. Tường lửa ở Hàn Quốc, Mỹ, Nhật Bản và Đài Loan là một trong các mục tiêu.
Chuyện gì đã xảy ra
Các nhà nghiên cứu bảo mật của Dream Research, nhóm thuộc công ty an ninh mạng Dream ở Israel, đã báo cáo một vụ tấn công dùng lỗi PHP. Trước tiên, tin tặc quét khoảng 19.000 tường lửa trên thế giới. Sau đó, họ chọn 240 thiết bị ở bốn nước, trong đó có Hàn Quốc, làm mục tiêu. Trong một số trường hợp, họ còn xâm nhập được cả máy chủ quản lý nội bộ.
Các con số chính
- Khoảng 19.000 tường lửa đã bị quét vào ngày 23 và 24 tháng 6.
- Có 240 tường lửa ở Hàn Quốc, Mỹ, Nhật Bản và Đài Loan được chọn làm mục tiêu.
- Tin tặc giành được quyền root (quyền quản trị cao nhất) trên 24 tường lửa.
- Trong nhóm liên quan đến chính phủ Mỹ, 2 tường lửa và 1 máy chủ quản lý nội bộ bị chiếm.
- Trên 22 trong số 24 tường lửa bị xâm nhập, tin tặc để lại web shell để dùng sau này.
Tin tặc đã làm thế nào
Tin tặc kết hợp hai lỗi. Lỗi thứ nhất là lỗi PHP có tên 'PHP2Shell', cho phép người lạ chạy lệnh trên máy chủ từ xa. Lỗi thứ hai là lỗi Linux, cho phép người dùng thường có toàn quyền điều khiển. Web shell là một chương trình ẩn, giúp tin tặc điều khiển hệ thống từ xa và có thể dùng cho các đợt tấn công sau.
Vì sao chuyện này quan trọng
Vụ tấn công nhắm vào hệ thống liên quan đến chính phủ và tường lửa, là thiết bị dùng để bảo vệ mạng. Nếu tin tặc điều khiển được tường lửa, họ có thể vào các hệ thống nằm phía sau nó. Các nhà nghiên cứu thấy dấu hiệu liên quan đến Trung Quốc và việc dùng công cụ AI. Tuy nhiên, họ nói chưa thể chứng minh là nhóm hacker Trung Quốc đứng sau, hoặc AI đã viết mã tấn công. Nhà chức trách cho biết chưa có thiệt hại nào do lỗi PHP này được báo cáo tại Hàn Quốc, nhưng đang kêu gọi các công ty cài bản vá bảo mật.
Cần theo dõi điều gì
- Các tường lửa ở Hàn Quốc có thực sự bị xâm nhập hay không, và có bao nhiêu dữ liệu nhạy cảm bị rò rỉ hay chưa.
- Các công ty có cài nhanh bản vá bảo mật PHP hay không.
- Có phát hiện thêm hệ thống bị chiếm hoặc web shell mới hay không.
- Điều tra viên có xác định được ai đứng sau vụ tấn công hay không.
Chú giải
- PHP
- Ngôn ngữ lập trình phổ biến dùng để làm các trang web và máy chủ.
- Web shell
- Chương trình ẩn trên máy chủ, cho phép kẻ tấn công điều khiển hệ thống từ xa.
- PHP2Shell
- Tên lỗi PHP được dùng trong vụ tấn công, cho phép chạy lệnh trên máy chủ từ xa.
- Dream Research
- Nhóm nghiên cứu bảo mật thuộc công ty an ninh mạng Dream ở Israel, đã báo cáo vụ tấn công.