UK — The Register
Nghi phạm tấn công Trung Quốc tự phát triển khai thác PHP2Shell và chiếm quyền root 25 máy chủ
Bảo mật2 phút đọc
Các tin tặc nghi là người Trung Quốc đã tạo ra một đoạn mã khai thác riêng có tên PHP2Shell. Chúng dùng nó để chiếm quyền quản trị (root) của 25 máy chủ, trong đó có tường lửa Palo Alto Networks liên quan đến một tổ chức thuộc chính phủ Mỹ.
Chuyện gì đã xảy ra
Theo công ty an ninh mạng Dream, nhóm tin tặc bắt đầu tấn công vào ngày 23 tháng 10. Mục tiêu của chúng là các tổ chức ở Mỹ, Nhật Bản, Đài Loan và Hàn Quốc. Chúng đặc biệt nhắm vào tường lửa liên quan đến chính phủ Mỹ. Sau khi vào được một tường lửa, chúng đã đi sâu vào mạng nội bộ, chiếm thêm một máy chủ khác và mở một chiến dịch tấn công vào Active Directory, hệ thống quản lý tài khoản của nhiều công ty.
Các con số chính
- Tổng cộng 25 máy chủ đã bị chiếm quyền root.
- Tường lửa đầu tiên bị chiếm ngày 23 tháng 10, nhưng sau đó máy bị treo, có thể do khoảng 900 MB lưu lượng tấn công.
- Tường lửa thứ hai bị chiếm vào ngày 24 tháng 10.
- Cả hai lỗi PHP2Shell đều có điểm CVSS 9.2, tức là mức nghiêm trọng rất cao.
- Toàn bộ chuỗi tấn công chỉ mất chưa đến 15 phút.
Tìm hiểu thêm
PHP2Shell là lỗi trong PHP, một ngôn ngữ lập trình dùng để chạy nhiều trang web và máy chủ. Lỗi này cho phép kẻ tấn công chạy lệnh trên máy chủ mà không cần đăng nhập. Tin tặc còn kết hợp nó với lỗi Fragnesia trong nhân Linux, lõi điều khiển trung tâm của hệ điều hành. Lỗi này giúp kẻ tấn công nâng quyền từ người dùng thường lên quyền root, tức là quyền cao nhất trên máy.
Vì sao chuyện này quan trọng
Vụ việc cho thấy các lỗi bảo mật có thể bị khai thác rất nhanh và rất nguy hiểm. Các thiết bị bảo vệ mạng như tường lửa lại chính là nơi bị tấn công. Dream và Palo Alto Networks đều cho rằng kẻ tấn công có thể vẫn còn quyền truy cập từ xa vào mạng của các tổ chức bị hại. Vì vậy, quản trị viên cần kiểm tra và vá lỗi ngay.
Cần theo dõi
Chú giải
- PHP2Shell
- Lỗi bảo mật trong PHP cho phép kẻ tấn công chạy lệnh trên máy chủ mà không cần đăng nhập.
- Dream
- Công ty khởi nghiệp an ninh mạng dùng AI có trụ sở tại Israel, đã phát hiện và báo cáo vụ tấn công này.
- Palo Alto Networks
- Công ty sản xuất tường lửa và thiết bị bảo mật mạng.
- PAN-OS
- Hệ điều hành dùng trên các tường lửa của Palo Alto Networks.
- Fragnesia
- Lỗi trong nhân Linux cho phép nâng quyền từ người dùng thường lên quyền root.
- CISA
- Cơ quan An ninh mạng và Hạ tầng của Mỹ, theo dõi và công bố các lỗ hổng đang bị khai thác.