small_SOC 1.png

thumbnail_SOC 1.png

SOC 1.png

Danh sách nền tảng dịch vụ SOC đáp ứng yêu cầu kết nối, chia sẻ thông tin

### **TIN CẢNH BÁO**
- Phần mềm độc hại mới cho phép đối tượng tấn công cài cắm rootkit trên hệ thống Linux được nhằm mục tiêu

- Nhóm tấn công APT 29 khai thác dịch vụ lưu trữ trực tuyến Google Drive và Dropbox 
 

### **ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất 655 lỗ hổng, trong đó có 05 lỗ hổng mức Cao, 31 lỗ hổng mức Trung bình, 15 lỗ hổng mức Thấp và 604 lỗ hổng chưa đánh giá. Trong đó có ít nhất 132 lỗ hổng cho phép chèn và thực thi mã lệnh.

Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:
- Adobe: CVE-2022-34230, CVE-2022-34229,…
- Oracle: CVE-2022-21508, CVE-2022-21428,…
- Wordpress: CVE-2022-2443, CVE-2022-2435,…
- Windows: CVE-2021-42923
- Google: CVE-2022-23745, CVE-2022-1136,…
- Dell: CVE-2022-31234, CVE-2022-22555,…
- IBM: CVE-2021-38936, CVE-2021-29788,…

 

### **SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có 43,136 (tăng so với tuần trước 37,379) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS

**- Tấn công Web**: Trong tuần, có 245 trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: 107 trường hợp tấn công lừa đảo (Phishing), 38 trường hợp tấn công cài cắm mã độc.


**- Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| differentia.ru: 14,688 IP | xjpakmdcfuqe.ru: 191 IP |
|---|---|
| disorderstatus.ru: 4,919 IP | restlesz.su: 151 IP |
| atomictrivia.ru: 2,415 IP | xjpakmdcfuqe.in: 145 IP |
| xjpakmdcfuqe.biz: 735 IP | amnsreiuojy.ru: 70 IP |
| xjpakmdcfuqe.com: 353 IP | hzmksreiuojy.ru: 46 IP |


### **TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có 27 phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử… 

Dưới đây là một số trường hợp trang web giả mạo, người dùng cần nâng cao cảnh giác **KHÔNG TRUY CẬP** vào những website này
| STT | Website lừa đảo | Ghi chú |
|---|---|---|
| 1 | clmm.tv clmm113.me trumbemmomo.club clmm29.fun | Web lừa đảo cờ bạc qua ví điện tử Momo |
| 2 | shopee.nhanqua.online/ | Giả mạo sàn TMĐT Shopee |
| 3 | vn-dienmayxanh.com/sua-tu-lanh-tai-nha-hcm/ suachuadienmayxanh.com.vn/sua-may-lanh/ dienmayxanhhcm24h.com/ baohanhdienmayxanhvn.com/ve-sinh-may-lanh/ cskh-dienmayxanhvn.com/ dien-may-xanh.net trungtammayxanh.com/ve-sinh-may-lanh/ | Giả mạo website Điện máy xanh |
| 4 | nguyenkim.co/dich-vu-sua-chua-may-lanh dienlanhnguyenkim.ctyvn.net/ | Giả mạo website Điện Máy Nguyễn Kim |

 

Chi tiết báo cáo xem tại: 
[2022_CBT29.pdf](https://khonggianmang.vn/uploads/2022_CBT_29_eacc676bf9.pdf)

large_29.jpg

medium_29.jpg

small_29.jpg

thumbnail_29.jpg

29.jpg

Cảnh báo an toàn thông tin tuần 29

### **TIN TỨC AN TOÀN THÔNG TIN**
- **Cảnh bảo:** Phát hiện 11 LOLBAS binary được sử dụng cho mục đích gây hại.
 
- **Chiến dịch tấn công APT:** Nhóm tấn công APT Patchwork sử dụng backdoor Eyeshell nhằm vào các tổ chức tại Trung Quốc.

 

### **ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **530** lỗ hổng, trong đó có **149** lỗ hổng mức Cao, **140** lỗ hổng mức Trung bình, **04** lỗ hổng mức Thấp và **237** lỗ hổng chưa đánh giá. Trong đó có ít nhất **73** lỗ hổng cho phép chèn và thực thi mã lệnh.

Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:
- Apple: CVE-2023-34425, CVE-2023-36495,…
- Linux: CVE-2023-4004, CVE-2023-4010,…
- Google: CVE-2022-4920, CVE-2022-4924,…
- Wordpress: CVE-2023-4141, CVE-2023-4142,…
- Mozilla: CVE-2023-4056, CVE-2023-4057,…
- TP-LINK: CVE-2023-31710
- IBM: CVE-2023-35019, CVE-2022-43831,…




 

### **SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có **51.022** (**tăng** so với tuần trước **48.145**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**- Tấn công Web**: Trong tuần, có **464** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **440** trường hợp tấn công lừa đảo (Phishing), **24** trường hợp tấn công cài cắm mã độc.

**- Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| differentia.ru: 11928 IP 	| xjpakmdcfuqe.ru: 49 IP 	|
|--------------------------------------	|-----------------------------------	|
| disorderstatus.ru: 3129 IP 	| xjpakmdcfuqe.in: 34 IP 	|
| atomictrivia.ru: 1503 IP 	| restlesz.su: 300 IP 	|
| xjpakmdcfuqe.biz: 248 IP 	| amnsreiuojy.ru: 443 IP 	|
| xjpakmdcfuqe.com: 66 IP 	| hzmksreiuojy.ru: 59 IP 	|

 

### **TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **376** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử… 



Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.
| STT 	| Website lừa đảo 	| Ghi chú 	|
|---------------	|--------------------------------------------------------------------------------------------------------------------------------------------------------------	|---------------------------------------------	|
| 1 	| napvidientu.fun shopehltd.com 	| Website giả Ví điện tử Momo 	|
| 2 	| tomo5963.vip 	| Website giả mạo sàn TMĐT Shopee 	|
| 3 	| amg187098.com 	| Website giả mạo sàn TMĐT Lazada 	|
| 4 	| tadcqv.com tadccc.com tadcaz.com 	| Website giả mạo sàn TMĐT Tiki 	|
| 5 	| dichvucongbaohiemxahoi.com dangkyhosotructuyen2023.com handico.vaytienmat-nhanh24h.com m.vnsc-finhay.com … 	| Website giả mạo, lừa đảo 	|

 

Chi tiết báo cáo xem tại: 
[2023_CBT31.pdf](https://khonggianmang.vn/uploads/2023_CBT_31_a4503a06d1.pdf)

medium_viber_image_2023-08-28_09-19-04-513.png

small_viber_image_2023-08-28_09-19-04-513.png

thumbnail_viber_image_2023-08-28_09-19-04-513.png

viber_image_2023-08-28_09-19-04-513.png

Cảnh báo an toàn thông tin tuần 31/2023

Ngày 11/01/2022, Microsoft đã phát hành danh sách bản vá tháng 01 với 96 lỗ hổng bảo mật trong các sản phẩm của mình. Bản phát hành tháng này đặc biệt đáng chú ý các lỗ hổng bảo mật sau:
1. Các lỗ hổng có mức ảnh hưởng Nghiêm trọng:**
 Lỗ hổng bảo mật CVE-2022-21907 trong HTTP Protocol Stack (http.sys) của Windows, cho phép đối tượng tấn công thực thi mã từ xa mà không cần xác thực.
 
2. Các lỗ hổng có mức ảnh hưởng Cao:**

 03 lỗ hổng bảo mật CVE-2022-21846, CVE-2022-21969, CVE-2022-21855 trong Microsoft Exchange Server, cho phép đối tượng tấn công thực thi mã từ xa. Để khai thác lỗ hổng này, kẻ tấn công cần có quyền truy cập vào mạng mục
tiêu từ đấy có thể chiếm quyền điều khiển máy chủ.

 - Lỗ hổng bảo mật CVE-2022-21857 trong Active Directory, cho phép đối tượng nâng cao đặc quyền.
 - Lỗ hổng bảo mật CVE-2022-21840 trong Microsoft Office, cho phép đối tượng tấn công thực thi mã từ xa.
 - Lỗ hổng bảo mật CVE-2022-21911 trong .NET Framework, cho phép đối tượng tấn công thực hiện tấn công từ chối dịch vụ.
 - Lỗ hổng bảo mật CVE-2022-21836 trong Windows Certificate, cho phép đối tượng tấn công giả mạo.
 - Lỗ hổng bảo mật CVE-2022-21841 trong Microsoft Excel, cho phép đốitượng tấn công thực thi mã từ xa.
 - Lỗ hổng bảo mật CVE-2022-21837 trong Microsoft SharePoint Server, cho phép đối tượng tấn công thực thi mã từ xa.
 - Lỗ hổng bảo mật CVE-2022-21842 trong Microsoft Word, cho phép đối tượng tấn công thực thi mã từ xa.

Chi tiết xem tại 
[210112_MICROSOFTTHANG1.2022.pdf](/uploads/210112_MICROSOFTTHANG_1_2022_14e27885bf.pdf)

thumbnail_PatchTuesday.jpeg

PatchTuesday.jpeg

Lỗ hổng bảo mật ảnh hưởng mức cao và nghiêm trọng trong các sản phẩm Microsoft tháng 1/2022

Ngày 08/02/2022, Microsoft đã phát hành danh sách bản vá tháng 02 với 48 lỗ hổng bảo mật trong các sản phẩm của mình. Bản phát hành tháng này đặc biệt đáng chú ý các lỗ hổng bảo mật có mức ảnh hưởng cao sau:
- 2. Lỗ hổng bảo mật CVE-2022-22005 trong Sharepoint Server 2013-2019 cho phép đối tượng tấn công thực thi mã từ xa với tài khoản xác thực hợp lệ. 
- 3. Lỗ hổng bảo mật CVE-2022-21989 trong Windows Kernel cho phép đối tượng tấn công thực hiện tấn công nâng cao đặc quyền.
- 4. Lỗ hổng bảo mật CVE-2022-21984 trong DNS Server cho phép đối tượng tấn công thực thi mã từ xa.
- 5. Lỗ hổng bảo mật CVE-2022-21995 trong Windows Hyper-V cho phép đối tượng tấn công đã xác thực trên máy khách Hyper-V có thể thực thi mã từ xa trên máy chủ Hyper-V.
- 6.  02 lỗ hổng bảo mật CVE-2022-22718, CVE-2022-21999 trong Windows Print Spooler cho phép đối tượng tấn công thực hiện tấn công nâng cao đặc quyền.
- 7. 02 lỗ hổng bảo mật CVE-2022-22000, CVE-2022-21981 trong Windows Common Log File System Driver cho phép đối tượng tấn công thực hiện tấn công nâng cao đặc quyền.
- 8. Lỗ hổng bảo mật CVE-2022-21996 trong Windows32k cho phép đối tượng tấn công thực hiện tấn công nâng cao đặc quyền.
- 9. Lỗ hổng bảo mật CVE-2022-22715 trong Named Pipe File System cho phép đối tượng tấn công thực hiện tấn công nâng cao đặc quyền.

Chi tiết xem tại 
[220209_MICROSOFTTHANG2.2022.pdf](/uploads/220209_MICROSOFTTHANG_2_2022_c711aeb10d.pdf)

1487250937_patch-tuesday-security_story-1.jpg

medium_1487250937_patch-tuesday-security_story-1.jpg

small_1487250937_patch-tuesday-security_story-1.jpg

thumbnail_1487250937_patch-tuesday-security_story-1.jpg

Lỗ hổng bảo mật ảnh hưởng mức cao và nghiêm trọng trong các sản phẩm Microsoft tháng 2/2022

### **1. TIN TỨC AN TOÀN THÔNG TIN**
- **Cảnh báo:** Mã Độc Backdoor mới từ Triều Tiên đe dọa macOS.
 
- **Chiến dịch tấn công APT:** Nhóm UAC-0050 áp dụng chiến thuật lừa đảo mới trong chiến dịch phát tán mã độc Remcos RAT.

 

### **2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **585** lỗ hổng, trong đó có **254** lỗ hổng mức Cao, **182** lỗ hổng mức Trung bình, **29** lỗ hổng mức Thấp và **120** lỗ hổng chưa đánh giá. Trong đó có ít nhất **56** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

_**Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:**_
- Google: CVE-2023-32889,...
- Wireshark: CVE-2024-0207,...
- Apache: CVE-2023-49299,...
- Wordpress: CVE-2022-48639,...
- Linux: CVE-2023-6270, CVE-2023-0193,... 
- Samsung: CVE-2024-20808,...
- Qualcomm: CVE-2023-33025,...

 

### **3. SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có **52.017** (**giảm** so với tuần trước **55.435**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**- Tấn công Web**: Trong tuần, có **244** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **229** trường hợp tấn công lừa đảo (Phishing), **15** trường hợp tấn công cài cắm mã độc.
 
 

**Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| differentia.ru: 11454 IP | hzmksreiuojy.ru: 185 IP |
|----------------------------|--------------------------|
| disorderstatus.ru: 4934 IP | xjpakmdcfuqe.biz: 133 IP |
| atomictrivia.ru 2230 IP | xjpakmdcfuqe.com: 62 IP |
| amnsreiuojy.ru: 830 IP | xjpakmdcfuqe.ru: 43 IP |
| restlesz.su: 273 IP | xjpakmdcfuqe.in: 37 IP |

 

### **4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **304** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử… 



**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**
| **STT** | **Website lừa đảo** | **Ghi chú** |
|:-------:|:----------------------------------------------------------------------------------------:|:---------------------------------------------------:|
| 1 | khcn-han-muc-tin-dung-ca-nhan.com | Website giả mạo Ngân Hàng TMCP Công Thương Việt Nam |
| 2 | dadw55.com dadw11.com tikivn.live | Website giả mạo sàn TMĐT Tiki |
| 3 | sp8668vn.com shop80pot.com showzyeye.com tb55988.com sp315693vn.com | Website giả mạo sàn TMĐT Shopee |
| 4 | vieclamlazada.com.vn | Website giả mạo sàn TMĐT Lazada |
| 5 | cltxmm.us | Website giả mạo Ví điện tử Momo |
| 6 | vibcskh.com | Website giả mạo Ngân hàng TMCP Quốc tế Việt Nam |
| 7 | nang-han-muc-ido-vpbank.com cskh-the-vpbank.com | Website giả mạo Ngân hàng TMCP Việt Nam Thịnh Vượng |
 

Chi tiết báo cáo xem tại: 
[2024_CBT01.pdf](https://khonggianmang.vn/uploads/2024_CBT_01_b757bf1eb4.pdf)

large_Tuần 1.jpg

medium_Tuần 1.jpg

small_Tuần 1.jpg

thumbnail_Tuần 1.jpg

Tuần 1.jpg

Cảnh báo an toàn thông tin Tuần 01/2024

### **TIN CẢNH BÁO**
- Botnet Mirai tấn công DDoS vào máy chủ Wynncraft Minecraft.
 
- Nhóm tấn công POLONIUM nhằm mục tiêu vào Israel với phần mềm độc hại Creepy.
 

### **ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất 713 lỗ hổng, trong đó có 348 lỗ hổng mức Cao, 204 lỗ hổng mức Trung bình, 18 lỗ hổng mức Thấp và 143 lỗ hổng chưa đánh giá. Trong đó có ít nhất 51 lỗ hổng cho phép chèn và thực thi mã lệnh.

Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:
- Adobe: CVE-2022-42339, CVE-2022-35691,…
- Google: CVE-2022-20429, CVE-2022-20412,…
- Samsung: CVE-2022-39851, CVE-2022-39862,…
- Cisco: CVE-2022-20920, CVE-2022-20915,…
- Zoom: CVE-2022-28762, CVE-2022-28761,…
- Dell: CVE-2022-34390, CVE-2022-34391,…
- Huawei: CVE-2022-41576, CVE-2022-41577,…

 

### **SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có 45,160 (giảm so với tuần trước 47,156) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**- Tấn công Web**: Trong tuần, có 249 trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: 54 trường hợp tấn công thay đổi giao diện (Deface), 150 trường hợp tấn công lừa đảo (Phishing), 35 trường hợp tấn công cài cắm mã độc.


**- Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| | |
|------------------------------------|----------------------------------|
| differentia.ru: 20371 IP | xjpakmdcfuqe.ru: 364 IP |
| disorderstatus.ru: 7284 IP | xjpakmdcfuqe.in: 255 IP |
| atomictrivia.ru: 3509 IP | restlesz.su: 221 IP |
| xjpakmdcfuqe.biz: 1576 IP | amnsreiuojy.ru: 177 IP |
| xjpakmdcfuqe.com: 546 IP | hzmksreiuojy.ru: 76 IP |


### **TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có 218 phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử… 

Dưới đây là một số trường hợp trang web giả mạo, người dùng cần nâng cao cảnh giác **KHÔNG TRUY CẬP** vào những website này
| STT | Website lừa đảo | Ghi chú |
|:---:|:---------------------------------------------------------------------------------------------:|:-----------------------------:|
| 1 | hhwd68.com | Giả mạo website sàn TMĐT Tiki |
| 2 | clmm.pro cltx19.me | Giả mạo ví điện tử MoMo |
| 3 | cskhdienmayxanhvn.com | Giả mạo website Điện máy xanh |
| 4 | shilla.skrfgrl.cn doithecao.com.vn thsdbj.com DangKyTangGiai2022.Com 24plexus.com | Trang web lừa đảo |
 

Chi tiết báo cáo xem tại: 
[2022_CBT41.pdf](https://khonggianmang.vn/uploads/2022_CBT_41_a2ab595dc5.pdf)

large_41.jpg

medium_41.jpg

small_41.jpg

thumbnail_41.jpg

41.jpg

Cảnh báo an toàn thông tin tuần 41

Ngày 25/01/2024 Cục An toàn thông tin đã phát hành Báo cáo kỹ thuật số 1/BC-CATTT về Tình hình an toàn thông tin tháng 12/2023 và thống kê kết nối chia sẻ dữ liệu về mã độc, giám sát. 


Theo đó báo cáo đã cập nhật: 



**01 cảnh báo an toàn thông tin đã phát hành trong tháng 12/2023:**

**Văn bản số 2260/CATTT-NCSC:** về việc lỗ hổng bảo mật ảnh hưởng cao và nghiêm trọng trong các sản phẩm Microsoft công bố tháng 12/2023 phát hàng ngày 18/12/2023.



**Tình hình triển khai công tác phòng chống phần mềm độc hại và chia sẻ dữ liệu mã độc theo Chỉ thị 14/CT-TTg năm 2018**

Cục An toàn thông tin đã giao Trung tâm Giám sát an toàn không gian mạng quốc gia hỗ trợ **15 doanh nghiệp** có giải pháp phòng chống mã độc thực hiện kết nối chia sẻ dữ liệu mã độc theo văn bản 2290/BTTTT-CATTT ngày 17/7/2018 về việc hướng dẫn kết nối, chia sẻ thông tin về mã độc giữa các hệ thống kỹ thuật. 

Đến hết tháng **12/2023** đã có **88** đơn vị (63 Tỉnh/Thành, 25 Bộ/Ngành) triển khai giải pháp phòng chống mã độc tập trung và thực hiện kết nối chia sẻ thông tin về mã độc với Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC).

![1.png](https://khonggianmang.vn/uploads/1_0f49fa70a6.png)

Trong tháng **12/2023**, thông qua kết nối chia sẻ dữ liệu về mã độc từ **88** đơn vị, Hệ thống kỹ thuật của Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) ghi nhận **80/88** đơn vị có kết nối thường xuyên, **80/80** đơn vị chia sẻ về hệ điều hành các máy (tổng số máy là **242.827**).



**Tình hình triển khai công tác giám sát an toàn thông tin và kết nối chia sẻ dữ liệu giám sát theo Chỉ thị 14/CT-TTg năm 2019**

Cục An toàn thông tin đã giao Trung tâm Giám sát an toàn không gian mạng quốc gia hỗ trợ **14 doanh nghiệp** có giải pháp giám sát an toàn thông tin thực hiện kết nối chia sẻ dữ liệu theo văn bản 2973/BTTTT-CATTT ngày 04/9/2019 về việc hướng dẫn triển khai hoạt động giám sát an toàn thông tin trong cơ quan, tổ chức nhà nước.

Đến hết tháng **12/2023** đã có **87** đơn vị (63 Tỉnh/Thành, 24 Bộ/Ngành) triển khai công tác giám sát an toàn thông tin và thực hiện kết nối chia sẻ dữ liệu giám sát với Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC).

![2.png](https://khonggianmang.vn/uploads/2_06783d9c55.png)

Trong tháng **12/2023**, thông qua kết nối chia sẻ dữ liệu giám sát từ **87** đơn vị, Hệ thống kỹ thuật của Trung tâm Giám sát an toàn không gian mạng quốc gia ghi nhận **71/87** đơn vị có kết nối chia sẻ dữ liệu tương đối đầy đủ, **16/87** đơn vị bị mất kết nối chia sẻ dữ liệu. 



**Tình hình lây nhiễm mã độc trên cả nước**


Trong tháng, Hệ thống kỹ thuật của Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) đã ghi nhận **542.084** địa chỉ IP của Việt Nam nằm trong mạng botnet (**tăng 10.15%** so với tháng **11/2023**), trong đó có **162** địa chỉ IP của cơ quan, tổ chức nhà nước (**18** địa chỉ IP Bộ/Ngành, **144** địa chỉ IP Tỉnh/Thành).

![3.png](https://khonggianmang.vn/uploads/3_2d32797feb.png)

Thông tin chi tiết về các địa chỉ IP nằm trong mạng botnet đơn vị chuyên trách về CNTT/ATTT tại Bộ/Ngành, Tỉnh/Thành có thể tra cứu, cập nhật thông tin thường xuyên thông qua tài khoản đã có trên Hệ thống giám sát từ xa do Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) cấp. Thông tin từ Hệ thống cũng có thể tham khảo, sử dụng để đánh giá hiệu quả giải pháp giám sát, phòng chống mã độc tập trung đang triển khai. 



Báo cáo chi tiết xem tại: [Báo cáo kỹ thuật ATTT tháng 12 2023.pdf](https://khonggianmang.vn/uploads/Bao_cao_ky_thuat_ATTT_thang_12_2023_659c1aa9c4.pdf)

large_baocaokithuat2022-01.jpg

medium_baocaokithuat2022-01.jpg

small_baocaokithuat2022-01.jpg

thumbnail_baocaokithuat2022-01.jpg

baocaokithuat2022-01.jpg

Báo cáo kỹ thuật ATTT tháng 12/2023

### **TIN TỨC AN TOÀN THÔNG TIN**
- **Cảnh bảo:** Người dùng macOS nên cẩn trọng với biến thể mới của mã độc RustBucket 
 
- **Chiến dịch tấn công APT:** Từ MuddyC3 đến PhonyC2: Một vũ khí mới trên không gian mạng được phát triển bởi nhóm MuddyWater của Iran.

 

### **ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **675** lỗ hổng, trong đó có **96** lỗ hổng mức Cao, **192** lỗ hổng mức Trung bình, **09** lỗ hổng mức Thấp và **378** lỗ hổng chưa đánh giá. Trong đó có ít nhất **81** lỗ hổng cho phép chèn và thực thi mã lệnh.

Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:
- Microsoft: CVE-2022-29144, CVE-2022-29146,...
- Linux: CVE-2023-1206, CVE-2023-1295,…
- Trend Micro: CVE-2023-32524, CVE-2023-32527,...
- Wordpress: CVE-2020-36742, CVE-2020-36743,...
- Dell: 	CVE-2023-28073, CVE-2023-28065,...
- Apple: CVE-2023-28191, CVE-2023-28202,...
- IBM: 	CVE-2022-34352, CVE-2023-26273,…

 

### **SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có **52.307** (**giảm** so với tuần trước **53.243**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**- Tấn công Web**: Trong tuần, có **249** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **238** trường hợp tấn công lừa đảo (Phishing), **11** trường hợp tấn công cài cắm mã độc.

**- Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| 	| 	|
|:-------------------------------------:	|:-----------------------------------:	|
| differentia.ru: 13022 IP 	| xjpakmdcfuqe.ru: 141 IP 	|
| disorderstatus.ru: 5246 IP 	| xjpakmdcfuqe.in: 92 IP 	|
| atomictrivia.ru: 2487 IP 	| restlesz.su: 336 IP 	|
| xjpakmdcfuqe.biz: 355 IP 	| amnsreiuojy.ru: 549 IP 	|
| xjpakmdcfuqe.com: 193 IP 	| hzmksreiuojy.ru: 62 IP 	|


### **TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **280** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử… 



Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.
| STT 	| Website lừa đảo 	| Ghi chú 	|
|---------------	|-----------------------------------------------	|---------------------------------------------------	|
| 1 	| vaba11.com 	| Website giả mạo sàn TMĐT Tiki 	|
| 2 	| shopepvip.com vvshopp.com 	| Website giả mạo sàn TMĐT Shopee 	|
| 3 	| mxl167280.com 	| Website giả mạo sàn TMĐT Lazada 	|
| 4 	| muahebengiadiiinh2023.weebly.com 	| Website giả mạo Facebook 	|
| 5 	| zzb.lol 	| Website giả mạo Dịch vụ công Quốc Gia 	|
| 6 	| smartphonethongminh.online 	| Website giả mạo, lừa đảo 	|

Chi tiết báo cáo xem tại: 
[2023_CBT26.pdf](https://khonggianmang.vn/uploads/2023_CBT_26_9eea2c020e.pdf)

medium_26.png

small_26.png

thumbnail_26.png

26.png

Cảnh báo an toàn thông tin tuần 26/2023

Ngày **09/04/2024**, Microsoft đã phát hành danh sách bản vá tháng **04** với **147 lỗ hổng** an toàn thông tin trong các sản phẩm.



**Một số lỗ hổng an toàn thông tin có mức ảnh hưởng Nghiêm trọng và Cao cần chú ý:**



-	Lỗ hổng an toàn thông tin **CVE-2024-20678** trong Remote Procedure Call Runtime (RPC) cho phép đối tượng tấn công thực thi mã từ xa.

 

-	Lỗ hổng an toàn thông tin **CVE-2024-29988** trong SmartScreen cho phép đối tượng tấn công vượt qua cơ chế bảo vệ. 

 

-	**03** lỗ hổng an toàn thông tin **CVE-2024-21322, CVE-2024-21323, CVE2024-29053** trong Microsoft Defender for IoT cho phép đối tượng tấn công thực thi mã từ xa. 

 

-	Lỗ hổng an toàn thông tin **CVE-2024-20670** trong Outlook for Windows làm lộ lọt NTML hash, cho phép đối tượng tấn công thực hiện tấn công giả mạo (spoofing). 

 

-	Lỗ hổng an toàn thông tin **CVE-2024-26256** trong thư viện nguồn mở libarchive cho phép đối tượng tấn công thực thi mã từ xa. 

 

-	Lỗ hổng an toàn thông tin **CVE-2024-26257** trong Microsoft Excel cho phép đối tượng tấn công thực thi mã từ xa. 

 

-	**07** lỗ hổng an toàn thông tin **CVE-2024-26221, CVE-2024-26222, CVE-2024-26223, CVE-2024-26224, CVE-2024-26227, CVE-2024-26231, CVE2024-26233** trong Windows DNS Server cho phép đối tượng tấn công thực thi mã từ xa. 

 

-	Lỗ hổng an toàn thông tin **CVE-2024-26234** trong Proxy Driver cho phép đối tượng tấn công thực hiện tấn công giả mạo (spoofing). 


 

Chi tiết cảnh báo xem tại 
[20240410_MICROSOFTTHANG04.2024.PDF](https://khonggianmang.vn/uploads/20240410_MICROSOFTTHANG_04_2024_09324258c1.PDF)

large_thumb lỗ hổng microsoft.jpg

medium_thumb lỗ hổng microsoft.jpg

small_thumb lỗ hổng microsoft.jpg

thumbnail_thumb lỗ hổng microsoft.jpg

thumb lỗ hổng microsoft.jpg

Lỗ hổng bảo mật có mức ảnh hưởng cao và nghiêm trọng trong các sản phẩm Microsoft công bố tháng 04/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

**Chiến dịch tấn công APT:** Nhóm APT FIN7 sử dụng các quảng cáo độc hại trên Google để phát tán mã độc NetSupport RAT.

**Cảnh báo:** Google đã vá lỗ hổng an toàn thông tin Zero-Day thứ năm trên Chrome trong năm nay.
 
 

**_Chiến dịch tấn công APT: Nhóm APT FIN7 sử dụng các quảng cáo độc hại trên Google để phát tán mã độc NetSupport RAT._**
![20240520085404230.jpg](https://khonggianmang.vn/uploads/20240520085404230_1979fdfcd6.jpg)

 

Một nhóm APT có động cơ tài chính, được biết đến với tên gọi FIN7, đã bị phát hiện sử dụng các quảng cáo Google giả mạo các thương hiệu nổi tiếng để phát tán mã độc NetSupport RAT thông qua bộ cài đặt MSIX. Các thương hiệu bị giả mạo bao gồm AnyDesk, WinSCP, BlackRock, Asana, Concur, The Wall Street Journal, Workable, và Google Meet.

 
					
Trong suốt thời gian hoạt động, FIN7 đã phát triển và củng cố các kỹ thuật tấn công của mình, bao gồm sử dụng các loại mã độc như BIRDWATCH, Carbanak, DICELOADER, POWERPLANT, POWERTRASH, và TERMITE,... Đáng chú ý, FIN7 thường sử dụng hình thức tấn công spear-phishing để phát tán mã độc đến hệ thống/mạng lưới của nạn nhân. Gần đây, nhóm này đã bắt đầu sử dụng kỹ thuật quảng cáo độc hại (malvertising) làm bước đầu trong chuỗi tấn công.

 

Vào tháng 12/2023, Microsoft đã ghi nhận việc FIN7 lợi dụng quảng cáo trên Google để lừa người dùng tải xuống gói cài đặt MSIX độc hại, từ đó thực thi mã độc NetSupport RAT và Gracewire.

 

Chiến dịch tấn công bằng quảng cáo độc hại của FIN7 diễn ra cùng lúc với làn sóng tấn công vào các đối tác doanh nghiệp của nhóm SocGholish. Nhóm SocGholish sử dụng các kỹ thuật tấn công living-off-the-land nhằm thu thập thông tin xác thực và sơ đồ hóa mô hình kết nối nội bộ giữa các doanh nghiệp.

 

**_Một số IoC được ghi nhận_**
![20240520093100185.png](https://khonggianmang.vn/uploads/20240520093100185_064297a99c.png)
**_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_**

 

**_Cảnh báo: Google đã vá lỗ hổng an toàn thông tin Zero-Day thứ năm trên Chrome trong năm nay._** 	
![20240520085411410.jpg](https://khonggianmang.vn/uploads/20240520085411410_3702e74a91.jpg)

 

Google đã phát hành bản vá bảo mật cho trình duyệt Chrome để vá lỗ hổng an toàn thông tin zero-day thứ năm đã bị khai thác trong môi trường thực tế kể từ đầu năm nay. Lỗ hổng này có mã CVE-2024-4671, là một lỗi "Use After Free" (tạm dịch: "Sử dụng sau khi giải phóng bộ nhớ"). Đây là một loại lỗi liên quan đến bộ nhớ, có thể khiến bộ nhớ bị hỏng hoặc cho phép sửa đổi dữ liệu trong bộ nhớ, dẫn đến việc người dùng bị tước bỏ hoàn toàn các đặc quyền trên hệ thống hoặc phần mềm bị ảnh hưởng. Lỗ hổng tồn tại trên thành phần Visuals, chịu trách nhiệm xử lý việc kết xuất và hiển thị nội dung trên trình duyệt.

 

Lỗ hổng này đã bị khai thác trong môi trường thực tế và hiện đã được khắc phục trong phiên bản 124.0.6367.201/.202 cho Mac/Windows và phiên bản 124.0.6367.201 cho Linux. Đối với người dùng thuộc kênh “Extended Stable”, lỗ hổng sẽ được vá trong phiên bản 124.0.6367.201 cho Mac và Windows.

 
	
Đây là lỗ hổng thứ năm được phát hiện trên trình duyệt Google Chrome kể từ đầu năm nay, với các lỗ hổng khác được phát hiện trong cuộc thi Pwn2Own diễn ra vào tháng 3/2024 tại Vancouver.

 
				
**Danh sách các lỗ hổng zero-day đã được phát hiện cụ thể là như sau:**
![20240520092436293.jpg](https://khonggianmang.vn/uploads/20240520092436293_262d59d5e4.jpg)

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **446** lỗ hổng, trong đó có **69** lỗ hổng mức Cao, **134** lỗ hổng mức Trung bình, **32** lỗ hổng mức Thấp và **211** lỗ hổng chưa đánh giá. Trong đó có ít nhất **117** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công. 

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng tới các sản phẩm của **D-Link, GitLab và giao thức DHCP**, cụ thể như sau:

 

**CVE-2015-2041 (Điểm CVSS: 10.0 – Nghiêm trọng):** Lỗ hổng an toàn thông tin tồn tại trên firmware của thiết bị “D-Link DIR-645 Wired/Wireless Router Rev. Ax” cho phép đối tượng tấn công thực thi mã tùy ý thông qua interface HNAP. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công như Lazarus Group, TeamnTNT và Kinsing; đáng chú ý, trong tháng 04/2024, lỗ hổng này đã bị khai thác bởi botnet Goldoon.

 

**CVE-2023-7028 (Điểm CVSS: 7.5 – Cao):** Lỗ hổng tồn tại trên GitLab CE/EE cho phép đối tượng tấn công đặt lại mật khẩu người dùng sử dụng email không liên kết với tài khoản, từ đó chiếm dụng tài khoản của người dùng. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**CVE-2024-3661 (Điểm CVSS: 7.6 – Trung bình):** Lỗ hổng tồn tịa trên giao thức DHCP cho phép đối tượng tấn công nằm trong cùng mạng với người dùng có thể đọc, gây gián đoạn, chỉnh sửa lưu lượng mạng mặc cho hệ thống mạng được bảo vệ bởi VPN. Quá trình khai thác diễn ra thành công do DCHP có thể thêm luồng điều hướng (route) vào bảng routing table của client thông qua lựa chọn classless static route (121). Các biện pháp bảo mất VPN dựa vào route để điều hướng lưu lượng mạng sẽ bị lộ lọt dữ liệu thông qua interface vật lý. Hiện lỗ hổng này đang bị khai thác trong thực tế.

 

**_Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần_**
![Bảng CBT19-01.png](https://khonggianmang.vn/uploads/Bang_CBT_19_01_86334ce748.png)

 

**3. SỐ LIỆU, THỐNG KÊ**

- **Tấn công DRDoS:** Trong tuần có **40.375** (tăng so với tuần trước **40.281**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.
- **Tấn công Web:** Trong tuần, có **96** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **76** trường hợp tấn công lừa đảo (Phishing), **20** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**
![Bảng CBT19-02.png](https://khonggianmang.vn/uploads/Bang_CBT_19_02_afd82bd1dc.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **259** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

**_Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác._**
![Bảng CBT19-03.png](https://khonggianmang.vn/uploads/Bang_CBT_19_03_8ce55beebe.png)
 

Chi tiết báo cáo xem tại: 
[2024_CBT19.pdf](https://khonggianmang.vn/uploads/2024_CBT_19_e287821553.pdf)

large_Tuần 19.jpg

medium_Tuần 19.jpg

small_Tuần 19.jpg

thumbnail_Tuần 19.jpg

Tuần 19.jpg

Cảnh báo an toàn thông tin Tuần 19/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

**- Chiến dịch tấn công APT:** Nhóm APT Trung Quốc "Mustang Panda" thực hiện chiến dịch tấn công nhằm vào Việt Nam.

**- Cảnh báo:** Sleepy Pickle - Mối đe dọa mới đối với các mô hình Machine Learning.

**- Thông tin:** Hệ thống công nghệ thông tin của Bưu điện Việt Nam đã hoạt động trở lại.

 

_**Chiến dịch tấn công APT: Nhóm APT Trung Quốc "Mustang Panda" thực hiện chiến dịch tấn công nhằm vào Việt Nam**_

![viber_image_2024-06-17_15-45-03-274.jpg](https://khonggianmang.vn/uploads/viber_image_2024_06_17_15_45_03_274_4090a7554c.jpg)

Gần đây, các chuyên gia bảo mật đã phát hiện một chiến dịch gián điệp mạng tinh vi của nhóm APT Mustang Panda nhằm vào nhiều tổ chức tại Việt Nam. 

 

Nhóm APT này có nguồn gốc từ Trung Quốc, nổi tiếng với các kỹ thuật xâm nhập phức tạp nhằm tấn công vào các mạng lưới của chính phủ, tổ chức phi lợi nhuận và các cơ sở giáo dục.

 

Trong chiến dịch gần đây, Mustang Panda đã sử dụng các mồi nhử liên quan đến lĩnh vực giáo dục và thuế, đồng thời, tận dụng các công cụ hợp pháp như "forfiles.exe" để thực thi các file độc hại từ máy chủ C&C. Nhóm này cũng khai thác PowerShell, VBScript và các file batch để triển khai các hoạt động này, cho thấy sự thành thạo trong việc né tránh các biện pháp bảo mật.

 

Trong chiến dịch gần đây nhắm vào Việt Nam, nhóm này đã sử dụng các file mỗi nhử liên quan đến thuế vào tháng 05/2024 và trước đó là các file về giáo dục vào tháng 04/2024.

 

Cả hai chiến dịch đều bắt đầu từ email lừa đảo có đính kèm file độc hại, nhằm lừa người dùng mở và kích hoạt mã độc. Phân tích chuyên sâu về chiến dịch của Mustang Panda vào tháng 05/2024 cho thấy nhóm này đã sử dụng kỹ thuật đặt hai đuôi file để che giấu bản chất độc hại của chúng. Payload được ngụy trang dưới dạng file PDF, nhưng thực chất chứa các lệnh PowerShell để tải xuống và thực thi mã độc từ máy chủ từ xa. 

 

Kỹ thuật DLL sideloading đã được Mustang Panda áp dụng để ẩn các hành vi độc hại vào trong tiến trình tuần tự của hệ thống, từ đó giảm thiểu nguy cơ bị phát hiện và duy trì kết nối đến thiết bị bị ảnh hưởng. Chiến dịch tấn công này một lần nữa làm rõ mối đe dọa ngày càng gia tăng từ các nhóm sở hữu kỹ thuật tấn công tinh vi. Bằng cách khai thác các lỗ hổng an toàn thông tin và thực hiện các cuộc tấn công mưu mô, nhóm đã chứng minh khả năng xâm nhập và gây nguy hiểm lên hệ thống mục tiêu.

 

**Danh sách một số IoC được ghi nhận**
![viber_image_2024-06-17_16-33-43-606.jpg](https://khonggianmang.vn/uploads/viber_image_2024_06_17_16_33_43_606_da97fcda20.jpg)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Sleepy Pickle - Mối đe dọa mới đối với các mô hình Machine Learning**_

![viber_image_2024-06-17_15-44-56-567.jpg](https://khonggianmang.vn/uploads/viber_image_2024_06_17_15_44_56_567_6c328caf9e.jpg)

Gần đây, định dạng Pickle đang gây lo ngại về an toàn thông tin với phát hiện về kỹ thuật tấn công mới "Sleepy Pickle". Pickle thường được dùng để tuần tự hóa và phân phối mô hình học máy (ML), trở thành mục tiêu hấp dẫn cho các cuộc tấn công vì có thể bị lợi dụng để thực thi mã tùy ý khi giải tuần tự hóa. Các chuyên gia khuyến nghị người dùng chỉ nên tải mô hình từ nguồn tin cậy, sử dụng các mô hình có chữ ký số hoặc chuyển đổi từ các định dạng an toàn như Jax với cơ chế from_tf=True.

 

"Sleepy Pickle" là một kỹ thuật tấn công đặc biệt nhắm vào mô hình học máy bằng cách chèn payload độc hại vào file Pickle. Quá trình này thường được thực hiện thông qua các công cụ mã nguồn mở như Fickling. Sau đó, file Pickle độc hại này được phát tán đến nạn nhân thông qua nhiều phương pháp khác nhau, bao gồm:

 

**-** Adversary-in-the-Middle (AitM): Đối tượng tấn công đứng giữa quá trình truyền dữ liệu để chỉnh sửa hoặc chèn payload vào.

**-** Phishing: Dụ dỗ người dùng mở file Pickle độc hại qua email hoặc tin nhắn giả mạo. Xâm nhập chuỗi cung ứng: Chèn mã độc vào các file hợp lệ trong quá trình phân phối.

**-** Khai thác lỗ hổng hệ thống: Sử dụng các lỗ hổng bảo mật để tải file Pickle độc hại lên hệ thống mục tiêu.

 

"Sleepy Pickle" đặc biệt nguy hiểm vì nó cho phép kẻ tấn công duy trì quyền truy cập ẩn vào hệ thống ML. Mô hình bị lây nhiễm trong quá trình file Pickle được nạp vào Python, khiến kỹ thuật này hiệu quả hơn so với việc trực tiếp tải lên mô hình độc hại lên các nền tảng như Hugging Face. Điều này cho phép kẻ tấn công thay đổi hoạt động của mô hình hoặc kết quả tạo ra một cách linh hoạt mà không cần phải thuyết phục người dùng tải xuống và thực thi mô hình độc hại.

 

Để phòng chống các cuộc tấn công như "Sleepy Pickle" và các cuộc tấn công chuỗi cung ứng khác, các chuyên gia khuyến nghị tránh sử dụng file Pickle để phân phối mô hình đã tuần tự hóa. Thay vào đó, chỉ nên sử dụng các mô hình từ các tổ chức đáng tin cậy và dựa vào các định dạng tệp an toàn hơn như SafeTensors. Việc tuân theo các khuyến nghị này sẽ giúp giảm thiểu rủi ro và bảo vệ hệ thống học máy khỏi các mối đe dọa tiềm ẩn.

 

_**Thông tin: Hệ thống công nghệ thông tin của Bưu điện Việt Nam đã hoạt động trở lại**_

![thông tin.jpg](https://khonggianmang.vn/uploads/thong_tin_2962e69544.jpg)

Sau 3 ngày kể từ khi bị tin tặc tấn công mã hóa dữ liệu, hệ thống công nghệ thông tin phục vụ khách hàng và hoạt động quản lý vận hành của Bưu điện Việt Nam đã phục hồi.

 

Theo thông báo của Tổng công ty Bưu điện Việt Nam (Vietnam Post), đến thời điểm 22h00 ngày 7/6/2024, hệ thống công nghệ thông tin phục vụ khách hàng và hoạt động quản lý vận hành của Bưu điện Việt Nam đã được phục hồi. Mọi hoạt động liên quan đến các dịch vụ đã cơ bản hoạt động bình thường và chưa ghi nhận bất cứ dấu hiệu thiệt hại về tài chính nào.

 

Hiện ứng dụng My Vietnam Post Plus vẫn đang được đồng bộ. Bưu điện Việt Nam cho biết sẽ có thông báo đến khách hàng trong thời gian sớm nhất.

 

Trước đó, vào 03h10 ngày 4/6/2024, hệ thống công nghệ thông tin của Tổng công ty Bưu điện Việt Nam đã bị tin tặc tấn công mã hóa dữ liệu (ransomware). Ngay khi phát hiện sự cố, Bưu điện Việt Nam đã nhanh chóng kích hoạt kịch bản hành động, bám sát theo hướng dẫn của Cục An toàn thông tin (Bộ Thông tin và Truyền thông), tập trung toàn lực để xử lý sự cố trong thời gian sớm nhất, đảm bảo tối đa quyền lợi khách hàng, giảm thiểu việc gián đoạn trong cung cấp dịch vụ.

 

Với sự hỗ trợ kịp thời và tích cực của Cục An toàn thông tin (Bộ Thông tin và Truyền thông), Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) - Bộ Công an, sự phối hợp chặt chẽ, hỗ trợ kịp thời của các đơn vị chuyên trách ATTT, cùng sự nỗ lực của đội ngũ cán bộ kỹ thuật, kỹ sư công nghệ, Bưu điện Việt Nam đã cô lập sự cố, bảo vệ dữ liệu, từng bước phục dựng hệ thống song song với việc điều tra, phân tích chuyên sâu nguyên nhân.

 

Đại diện Bưu điện Việt Nam cho biết, sự cố gây ảnh hưởng trực tiếp đến việc thực hiện các hoạt động liên quan đến dịch vụ bưu chính chuyển phát. Trong khi đó, các dịch vụ tài chính bưu chính, hành chính công và phân phối hàng hóa vẫn hoạt động bình thường.

 

**2. ĐIỂM YẾU, LỖ HỔNG**


Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **690** lỗ hổng, trong đó có **127** lỗ hổng mức Cao, **311** lỗ hổng mức Trung bình, **14** lỗ hổng mức Thấp và **238** lỗ hổng chưa đánh giá. Trong đó có ít nhất **133** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **Telerik, ngôn ngữ lập trình PHP và Oracle**, cụ thể là như sau:

 

**CVE-2024-4358 (Điểm CVSS: 9.8 - Nghiêm trọng):** Là lỗ hổng bỏ qua bước xác thực tồn tại trên Progress Telerik Report Server phiên bản cũ hơn 2024 Q1 (10.0.24.305) trên IIS, cho phép đối tượng tấn công có thể truy cập và thực hiện các hành vi trái phép trên chức năng hạn chế của máy chủ. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**CVE-2024-4577 (Điểm CVSS: 9.8 - Nghiêm trọng):** Là lỗ hổng tồn tại trong ngôn ngữ lập trình PHP trên Apache và PHP-CGI của Windows. Lỗ hổng xảy ra do Windows sử dụng hành vi "Best-Fit" để thay thế ký tự trong command line cung cấp tới hàm Win32API. Đối tượng tấn công có thể khai thác lỗ hổng để truyền các tùy chỉnh độc hại tớ binary PHP qua đó biết được mã nguồn, thực thi đoạn mã PHP tùy ý trên máy chủ. Hiện lỗ hồng đã có mã khai thác và đang bị khai thai thác trong thực tế.

 

**CVE-2017-3506 (Điểm CVSS: 7.4 - Cao):** Lỗ hổng tồn tại trên thành phần Oracle WebLogic Server của Oracle Fusion Middleware cho phép đối tượng tấn công với khả năng truy cập vào hệ thống mạng của máy chủ qua giao thức HTTP, có thể truy cập và thực hiện các hành vi trái phép tới dữ liệu máy chủ. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**
![Bảng CBT24-01.png](https://khonggianmang.vn/uploads/Bang_CBT_24_01_6d81f7c0c0.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**


**Tấn công DRDoS:** Trong tuần có **40.304** (**giảm** so với tuần trước **40.819**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

 

**Tấn công Web:** Trong tuần, có **170** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **150** trường hợp tấn công lừa đảo (Phishing), **20** trường hợp tấn công cài cắm mã độc.

 

_**Danh sách địa chỉ được sử dụng trong các mạng botnet**_
![Bảng CBT24-02.png](https://khonggianmang.vn/uploads/Bang_CBT_24_02_1e6828896b.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**


Trong tuần đã có **814** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT24-03.png](https://khonggianmang.vn/uploads/Bang_CBT_24_03_2e3b8d39ba.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT24.pdf](https://khonggianmang.vn/uploads/2024_CBT_24_ecf5f8ed0c.pdf)

large_Tuần 24.jpg

medium_Tuần 24.jpg

small_Tuần 24.jpg

thumbnail_Tuần 24.jpg

Tuần 24.jpg

Cảnh báo an toàn thông tin Tuần 24/2024

### **TIN TỨC AN TOÀN THÔNG TIN**
- **Cảnh bảo:** VMWare phát hành bản vá cho lỗ hổng RCE nghiêm trọng trên vCenter Server.
 
- **Chiến dịch tấn công APT:** Nhóm APT Tortoiseshell khởi động chiến dịch tấn công mới bằng mã độc IMAPLoader.


 

### **ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **750** lỗ hổng, trong đó có **143** lỗ hổng mức Cao, **118** lỗ hổng mức Trung bình, **0** lỗ hổng mức Thấp và **489** lỗ hổng chưa đánh giá. Trong đó có ít nhất **170** lỗ hổng cho phép chèn và thực thi mã lệnh.

Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:
- Linux: CVE-2023-5633, CVE-2023-46813,…
- Apple: CVE-2023-32359, CVE-2023-40445,…
- Apache: CVE-2023-31122, CVE-2023-46288,…
- Wordpress: CVE-2023-4668, CVE-2023-3342,…
- VMware: CVE-2023-34045, CVE-2023-34046,…
- Google: CVE-2023-40116, CVE-2023-40117,…
- IBM: CVE-2023-38275, CVE-2023-38276,…





 

### **SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có **54.241** (**giảm** so với tuần trước **55.542**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**- Tấn công Web**: Trong tuần, có **1119** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **1101** trường hợp tấn công lừa đảo (Phishing), **18** trường hợp tấn công cài cắm mã độc.

**- Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| differentia.ru: 17674 IP | hzmksreiuojy.ru: 277 IP |
|----------------------------|--------------------------|
| disorderstatus.ru: 8027 IP | xjpakmdcfuqe.biz: 285 IP |
| atomictrivia.ru: 3765 IP | xjpakmdcfuqe.com: 168 IP |
| amnsreiuojy.ru: 957 IP | xjpakmdcfuqe.ru: 106 IP |
| restlesz.su: 325 IP | xjpakmdcfuqe.in: 78 IP |



 

### **TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**
Trong tuần đã có **287** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử… 



Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.
| **STT** | **Website lừa đảo** | **Ghi chú** |
|:---:|:---:|:---:|
| 1 | thevip-khcn-vpb.com nang-han-muc-vip-vpbank.com | Website giả mạo Ngân hàng TMCP Việt Nam Thịnh Vượng |
| 2 | hpy88yu.com | Website giả mạo sàn TMĐT Lazada |
| 3 | hotrovayvoneximbak.com | Website giả mạo Ngân Hàng TMCP Xuất Nhập Khẩu Việt Nam |
| 4 | shop-ama-zon.net | Website giả mạo Amazon |
| 5 | bigc.net.vn | Website giả mạo BigC Việt Nam |

 

Chi tiết báo cáo xem tại: 
[2023_CBT43.pdf](https://khonggianmang.vn/uploads/2023_CBT_43_d45e6c922c.pdf)

medium_IMG_7925.PNG

small_IMG_7925.PNG

thumbnail_IMG_7925.PNG

IMG_7925.PNG

Cảnh báo an toàn thông tin tuần 43/2023

**1. TIN TỨC AN TOÀN THÔNG TIN**

**- Chiến dịch tấn công APT:** UNC3886 khai thác lỗ hổng Zero-Day trên Fortinet và VMware để triển khai chiến dịch gián điệp kéo dài.

**- Cảnh báo:** VMware cập nhật bản vá cho Cloud Foundation, vCenter Server, và vSphere ESXi.

 

_**Chiến dịch tấn công APT: UNC3886 khai thác lỗ hổng Zero-Day trên Fortinet và VMware để triển khai chiến dịch gián điệp kéo dài**_

![Chiến dịch APT.jpg](https://khonggianmang.vn/uploads/Chien_dich_APT_6f8b09641b.jpg)

Nhóm APT Trung Quốc UNC3886 đã bị phát hiện đang khai thác các lỗ hổng zero-day trên các thiết bị của Fortinet, Ivanti và VMware, sử dụng nhiều cơ chế duy trì kết nối để thực hiện hành vi gián điệp trên các thiết bị bị xâm nhập. 

 

Các lỗ hổng bị khai thác bao gồm CVE-2022-41328 (Fortinet FortiOS), CVE-2022-22948 (VMware vCenter) và CVE-2023-20867 (VMware Tools), nhằm triển khai mã độc backdoor và đánh cắp thông tin xác thực. Nhóm UNC3886 chủ yếu nhằm vào các tổ chức ở Bắc Mỹ, Đông Nam Á và Châu Đại Dương, bao gồm các ngành viễn thông, công nghệ, hàng không vũ trụ, quốc phòng, năng lượng và các tổ chức chính phủ.

 

Nhóm UNC3886 đã sử dụng các rootkit như Reptile và Medusa để tránh bị phát hiện bởi các biện pháp bảo mật. Medusa được triển khai trên các máy ảo khách bằng bộ cài SEAELF. Khác với Reptile chỉ cung cấp giao diện tương tác với các chức năng rootkit, Medusa có khả năng ghi lại thông tin xác thực của người dùng từ các lần đăng nhập thành công, giúp nhóm này di chuyển dễ dàng trên hệ thống bị xâm nhập.

 

Ngoài ra, nhóm này còn phát tán mã độc backdoor MOPSLED và RIFLESPINE, sử dụng các dịch vụ GitHub và Google Drive làm kênh chỉ huy và điều khiển (C&C). MOPSLED, có khả năng là biến thể cải tiến của mã độc Crosswalk, là một mã độc module dựa trên shellcode, kết nối qua HTTP để tải xuống các plugin từ máy chủ C&C. Trong khi đó, RIFLESPINE là một công cụ đa nền tảng sử dụng Google Drive để truyền tải tệp và thực thi lệnh.

 

Các chuyên gia bảo mật cũng cho biết, UNC3886 đã triển khai các client SSH bị cài mã độc để thu thập thông tin xác thực sau khi khai thác CVE-2023-20867, đồng thời sử dụng Medusa để thiết lập các máy chủ SSH tùy chỉnh cho cùng mục đích.

 

Một số chủng mã độc khác được ghi nhận trong chiến dịch tấn công của nhóm này nhằm vào VMware bao gồm:

**•**	Phiên bản trojan của daemon TACACS hợp pháp có chức năng ghi lại thông tin xác thực.

**•**	VIRTUALSHINE, một mã độc backdoor dựa trên socket VMware VMCI, cho phép đối tượng tấn công truy cập vào bash shell.

**•**	VIRTUALPIE, một mã độc backdoor Python có khả năng truyền tải tệp, thực thi mã tùy ý và thực hiện reverse shell.

**•**	VIRTUALSPHERE, một module điều khiển liên quan đến mã độc backdoor dựa trên VMCI.

 

**Danh sách một số IoC được ghi nhận**
![Danh sách IoC.png](https://khonggianmang.vn/uploads/Danh_sach_Io_C_d0c68aca4e.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: VMware cập nhật bản vá cho Cloud Foundation, vCenter Server, và vSphere ESXi**_

![Cảnh báo.jpg](https://khonggianmang.vn/uploads/Canh_bao_f98a5494db.jpg)

Trong tuần vừa qua, VMware đã phát hành các bản vá nhằm khắc phục các lỗ hổng nghiêm trọng ảnh hưởng đến Cloud Foundation, vCenter Server và vSphere ESXi, có thể bị khai thác bởi đối tượng tấn công để leo thang đặc quyền và thực thi mã từ xa.
Cụ thể, các lỗ hổng bao gồm:

**•** **CVE-2024-37079 & CVE-2024-37080 (Điểm CVSS: 9.8)** – Các lỗ hổng tràn heap (heap-overflow) trong việc triển khai giao thức DCE/RPC, cho phép đối tượng tấn công với quyền truy cập mạng tới vCenter Server thực thi mã từ xa thông qua các gói tin cụ thể.

**•** **CVE-2024-37081 (Điểm CVSS: 7.8)** – Lỗ hổng cho phép đối tượng tấn công leo thang đặc quyền cục bộ trong VMware vCenter do cấu hình sai sudo, cho phép người dùng cục bộ đã xác thực khai thác để lấy quyền root.

 

Đây không phải lần đầu VMware phải giải quyết các vấn đề về giao thức DCE/RPC. Trước đó, vào tháng 10/2023, họ đã vá một lỗ hổng bảo mật khác (**CVE-2023-34048**) cũng có khả năng thực thi mã từ xa.

 

CVE-2024-37079 và CVE-2024-37080 đã được phát hiện bởi một cơ quan bảo mật tại Trung Quốc. Trong khi đó, CVE-2024-37081 được phát hiện bởi một chuyên gia bảo mật tại Deloitte Romania.

 

Cả ba lỗ hổng này ảnh hưởng tới vCenter Server phiên bản 7.0 và 8.0, và đã được vá trong các phiên bản 7.0 U3r, 8.0 U1e và 8.0 U2d.
Hiện chưa có báo cáo về việc các lỗ hổng này bị khai thác trong thực tế. Tuy nhiên, người dùng cần nhanh chóng cập nhật bản vá để tránh những rủi ro tiềm ẩn.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **991** lỗ hổng, trong đó có **244** lỗ hổng mức Cao, **448** lỗ hổng mức Trung bình, **28** lỗ hổng mức Thấp và **271** lỗ hổng chưa đánh giá. Trong đó có ít nhất **275** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **Microsoft và ngôn ngữ lập trình PH**, cụ thể là như sau:

 

**CVE-2024-26169 (Điểm CVSS: 7.8 – Cao):** Lỗ hổng tồn tại trên Microsoft Windows Error Reporting cho phép đối tượng tấn công leo thnag đặc quyền. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**CVE-2024-4577 (Điểm CVSS: 9.8 – Nghiêm trọng):** Là lỗ hổng tồn tại trong ngôn ngữ lập trình PHP trên Apache và PHP-CGI của Windows. Lỗ hổng xảy ra do Windows sử dụng hành vi “Best-Fit” để thay thế kí tự trong command line cung cấp tới hàm Win32 API. Đối tượng tấn công có thể khai thác lỗ hổng để truyền các tùy chỉnh độc hại tới binary PHP qua đó biết được mã nguồn, thực thi đoạn mã PHP tùy ý trên máy chủ. Hiện lỗ hổng đã có mã khai thác và đang bị khai thai thác trong thực tế.

 

**CVE-2024-30078 (Điểm CVSS: 8.8 – Cao):** Là lỗ hổng tồn tại trên driver Wi-Fi của Microsoft Windows cho phép đối tượng tấn công thực thi mã từ xa sử dụng các gói tin độc hại. Hiện lỗ hổng đang bị khai thác trong thực tế.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**
![Bảng CBT25-01.png](https://khonggianmang.vn/uploads/Bang_CBT_25_01_5baa62c012.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

**Tấn công DRDoS:** Trong tuần có **39.057** (**giảm** so với tuần trước **40.304**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **121** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **105** trường hợp tấn công lừa đảo (Phishing), **16** trường hợp tấn công cài cắm mã độc.

 

_**Danh sách địa chỉ được sử dụng trong các mạng botnet**_
![Bảng CBT25-02.png](https://khonggianmang.vn/uploads/Bang_CBT_25_02_b9176c4c5e.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **965** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT25-03.png](https://khonggianmang.vn/uploads/Bang_CBT_25_03_1a30f35300.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT25.pdf](https://khonggianmang.vn/uploads/2024_CBT_25_32ceacddc3.pdf)

large_Tuần 25.jpg

medium_Tuần 25.jpg

small_Tuần 25.jpg

thumbnail_Tuần 25.jpg

Tuần 25.jpg

Cảnh báo an toàn thông tin Tuần 25/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

**- Chiến dịch tấn công APT:** Nhóm APT Void Banshee khai thác lỗ hổng Microsoft MHTML để phát tán mã độc Atlantida Stealer.

**- Cảnh báo:** Cisco cảnh báo về lỗ hổng nghiêm trọng ảnh hưởng đến phiên bản On-Prem của phần nềm Smart Software Manager.

**- Thông tin:** Cảnh báo rủi ro an toàn thông tin liên quan đến sản phẩm của CrowdStrike.


 

_**Chiến dịch tấn công APT: Nhóm APT Void Banshee khai thác lỗ hổng Microsoft MHTML để phát tán mã độc Atlantida Stealer**_

![Chiến dịch APT.jpg](https://khonggianmang.vn/uploads/Chien_dich_APT_64ac4f9be5.jpg)

Nhóm APT Void Banshee đã bị phát hiện lợi dụng một lỗ hổng mới được công bố chi tiết trong động cơ trình duyệt Microsoft MHTML (khai thác lỗi zero-day) để phát tán mã độc đánh cắp thông tin có tên Atlantida.

 

Lỗ hổng này có mã CVE-2024-38112, được sử dụng trong chuỗi tấn công nhiều giai đoạn với các tệp đường dẫn internet (URL) làm trọng điểm. Microsoft đã đề cập đến lỗ hổng này trong bản vá Patch Tuesday gần đây. Theo Microsoft, đây là một lỗi giả mạo (spoofing) tồn tại trong động cơ trình duyệt MSHTML (hay Trident) được sử dụng trong trình duyệt Internet Explorer. Tuy nhiên, Zero Day Initiative (ZDI) lại cho rằng đây là một lỗ hổng thực thi mã từ xa.

 

Trong chiến dịch của nhóm APT, các email spear-phishing có chứa đường dẫn đến các tệp ZIP được lưu trên trang web của nhóm tấn công đã được sử dụng. Các tệp ZIP này chứa các tệp URL khai thác lỗ hổng CVE-2024-38112 để điều hướng người dùng đến một trang web lưu trữ tệp HTML Application (HTA) độc hại.

 

Không có nhiều thông tin về nhóm APT Void Banshee, ngoại trừ việc nhóm này có lịch sử nhằm mục tiêu vào khu vực Bắc Mỹ, Châu Âu và Đông Nam Á để thực hiện các chiến dịch đánh cắp dữ liệu và trục lợi tài chính.

 

Thông tin về nhóm và việc khai thác lỗ hổng này được công bố sau khi Cloudflare tiết lộ rằng nhiều nhóm tấn công đang nhanh chóng kết hợp các khai thác PoC (proof-of-concept) vào chiến dịch của mình. Trong trường hợp của lỗ hổng CVE-2024-27198, lỗ hổng đã bị khai thác chỉ sau 22 phút kể từ lúc thông tin được công bố.

 

Ngoài ra, thông tin trong bài viết này cũng tiếp nối sự phát hiện về một chiến dịch tấn công khác sử dụng quảng cáo trên Facebook để phát tán mã độc SYS01stealer thông qua các giao diện Windows giả, nhằm chiếm đoạt tài khoản doanh nghiệp trên Facebook và tiếp tục phát tán mã độc.

 

**Danh sách một số IoC được ghi nhận**
![Danh sách IoC 29.png](https://khonggianmang.vn/uploads/Danh_sach_Io_C_29_31b3d94315.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Palo Alto Networks phát hành bản vá cho lỗi nghiêm trọng trên công cụ di rời Expedition**_

![Cảnh báo Cisco.png](https://khonggianmang.vn/uploads/Canh_bao_Cisco_c203d61d10.png)

Trong tuần qua, Cisco đã phát hành bản vá cho hai lỗ hổng an toàn thông tin nghiêm trọng ảnh hưởng đến Smart Software Manager On-Prem (Cisco SSM On-Prem), trong đó có một lỗ hổng nghiêm trọng cho phép đối tượng tấn công thay đổi mật khẩu của bất kỳ người dùng nào, bao gồm cả tài khoản quản trị viên.

 

Lỗ hổng có mã CVE-2024-20419 (Điểm CVSS: 10.0) xuất phát từ việc triển khai không đúng cách quy trình thay đổi mật khẩu trên Smart Software Manager On-Prem (Cisco SSM On-Prem). Lỗ hổng này cho phép đối tượng tấn công gửi các yêu cầu HTTP được tinh chỉnh đến thiết bị bị ảnh hưởng để khai thác lỗ hổng. Khi khai thác thành công, đối tượng tấn công có thể truy cập vào giao diện web UI hoặc API với quyền của người dùng bị xâm phạm.

 

Lỗ hổng này ảnh hưởng đến tất cả các phiên bản Cisco SSM On-Prem từ 8-202206 trở xuống và đã được vá trong phiên bản 8-202212. Riêng phiên bản 9 của giải pháp này không bị ảnh hưởng.

 

Cisco thông báo rằng không có biện pháp khắc phục nào ngoài việc cập nhật bản vá, và hiện chưa có ghi nhận về việc lỗ hổng này bị khai thác trong môi trường thực tế. Ngoài ra, Cisco cũng đã khắc phục một lỗ hổng nghiêm trọng khác trong Secure Email Gateway (SEG), mã CVE-2024-20401 (Điểm CVSS: 9.8). Lỗ hổng này liên quan đến việc ghi file cho phép đối tượng tấn công tạo thêm người dùng với quyền root và gây ra sự cố nghiêm trọng cho thiết bị bằng cách gửi các email có file đính kèm độc hại. Để lỗ hổng này phát huy tác dụng, thiết bị SEG phải đang chạy phiên bản Cisco AsyncOS bị ảnh hưởng và đáp ứng các điều kiện sau:

 

**-** Chức năng phân tích file (thuộc Cisco Advanced Malware Protection) hoặc chức năng lọc nội dung phải được bật và áp dụng cho chính sách email gửi tới.

**-** Phiên bản của công cụ Content Scanner Tools cũ hơn 23.3.0.4823.

 

Bản vá cho lỗ hổng CVE-2024-20401 đã có sẵn trong các phiên bản Content Scanner Tools từ 23.3.0.4823 trở lên và được tích hợp mặc định trong Cisco AsyncOS cho Cisco Secure Email Software các phiên bản từ 15.5.1-055 trở lên.

 

_**Thông tin: Cảnh báo rủi ro an toàn thông tin liên quan đến sản phẩm của CrowdStrike**_

![7388630.png](https://khonggianmang.vn/uploads/7388630_13034da04e.png)

Trong quá trình giám sát an toàn thông tin trên không gian mạng, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC), thuộc Cục An toàn thông tin, Bộ Thông tin và Truyền thông, đã phát hiện rủi ro an toàn thông tin liên quan đến sản phẩm của CrowdStrike. Sự cố trên đã gây ảnh hưởng tới nhiều cơ quan, tổ chức trên thế giới, trong đó bao gồm Đức, Singapore, Tây Ban Nha, Ấn Độ, Israel, Nam Phi,….

 

Cụ thể, các máy tính chạy hệ điều hành Windows 10 và cài đặt phần mềm Falcon Sensor của hãng CrowdStrike đều gặp lỗi màn hình xanh (Blue Screen Of Death – BSOD và không thể khởi động lại để hoạt động bình thường. Điều này gây ảnh hưởng tới hệ thống thông tin và hoạt động của cá nhân, cơ quan, tổ chức. Nhà phát triển CrowdStrike đã đưa ra thông báo xác nhận rủi ro và thực hiện khôi phục phần mềm Falcon Sensor để tránh gây thêm ảnh hưởng tới thiết bị của người dùng.

 

**Hướng dẫn khắc phục đối với các thiết bị đã bị ảnh hưởng:**

 

Bước 1: Khởi động lại máy tính và vào chế độ Safe Mode hoặc Windows Recovery Environment.

Bước 2: Truy cập thư mục “C:\Windows\System32\drivers\CrowdStrike”

Bước 3: Xóa bỏ các tập tin có định dạng “C-00000291*.sys” (tập tin có định dạng .sys và tên bắt đầu bẵng chuỗi C-00000291)

Bước 4: Khởi động lại máy tính và sử dụng như bình thường.

 

Nhằm đảm bảo an toàn thông tin cho hệ thống thông tin của Quý Đơn vị, góp phần bảo đảm an toàn cho không gian mạng Việt Nam, Cục An toàn thông tin khuyến nghị Quý Đơn vị thực hiện:

 

**1.**	Kiểm tra, rà soát hệ thống thông tin đang sử dụng có khả năng bị ảnh hưởng bởi rủi ro an toàn thông tin trên. Chủ động theo dõi các thông tin liên quan nhằm thực hiện khắc phục rủi ro trong trường hợp bị ảnh hưởng.

**2.**	Tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu bị khai thác, tấn công mạng; đồng thời thường xuyên theo dõi kênh cảnh báo của các cơ quan chức năng và các tổ chức lớn về an toàn thông tin để phát hiện kịp thời các nguy cơ tấn công mạng.

**3.**	Trong trường hợp cần thiết có thể liên hệ đầu mối hỗ trợ của Cục An toàn thông tin: Trung tâm Giám sát an toàn không gian mạng quốc gia, điện thoại 02432091616, thư điện tử: ncsc@ais.gov.vn.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **989** lỗ hổng, trong đó có **406** lỗ hổng mức Cao, **277** lỗ hổng mức Trung bình, **18** lỗ hổng mức Thấp và **288** lỗ hổng chưa đánh giá. Trong đó có ít nhất **121** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **OpenSSH, GeoServer và ngôn ngữ lập trình PHP**, cụ thể là như sau:

 

**- CVE-2024-36401 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên GeoServer cho phép đối tượng tấn công thực thi mã từ xa thông qua việc truyền vào dữ liệu độc hại tới các phiên GeoServer cấu hình mặc định. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế

 

**- CVE-2024-6387 (Điểm CVSS: 8.1 – Cao):** Lỗ hổng tồn tại trên máy chủ OpenSSH cho phép đối tượng tấn công khai thác lỗi Race Condition, cho phép đối tượng tấn công truy cập và thực hiện các hành vi trái phép. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**- CVE-2024-4577 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên ngôn ngữ lập trình PHP phiên bản 8.1.* (cũ hơn 8.1.29), 8.2.* (cũ hơn 8.2.20), 8.3.* (cũ hơn 8.3.8), khi được sử dụng trong Apache và PHP-CGI của Windows. Đối tượng tấn công có thể khai thác lỗ hổng bằng cách gửi đi các tham số độc hại cho PHP duyệt, qua đó có thể làm lộ mã nguồn của script, thực thi code PHP tùy ý trên máy chủ. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong môi trường thực tế.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**
![Bảng CBT 29_B1.png](https://khonggianmang.vn/uploads/Bang_CBT_29_B1_429f4e3f7c.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

**Tấn công DRDoS:** Trong tuần có **42.408** (**tăng** so với tuần trước **40.952**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**Tấn công Web:** Trong tuần, có **100** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **89** trường hợp tấn công lừa đảo (Phishing), **11** trường hợp tấn công cài cắm mã độc.

 

_**Danh sách địa chỉ được sử dụng trong các mạng botnet**_
![Bảng CBT 29_B2.png](https://khonggianmang.vn/uploads/Bang_CBT_29_B2_17735072e2.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **1.353** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT 29_B3.png](https://khonggianmang.vn/uploads/Bang_CBT_29_B3_f84a4cc70d.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT29.pdf](https://khonggianmang.vn/uploads/2024_CBT_29_32b001d150.pdf)

large_Tuần 29.jpg

medium_Tuần 29.jpg

small_Tuần 29.jpg

thumbnail_Tuần 29.jpg

Tuần 29.jpg

Cảnh báo an toàn thông tin Tuần 29/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

**- Chiến dịch tấn công APT:** Nhóm APT XDSpy tấn công các cơ quan tại Nga và Moldova bằng chiến dịch tấn công lừa đảo.

**- Cảnh báo:** Nguy cơ đe dọa Linux Kernel bằng hình thức tấn công cross-cache SLUBStick.

 

_**Chiến dịch tấn công APT: Nhóm APT XDSpy tấn công các cơ quan tại Nga và Moldova bằng chiến dịch tấn công lừa đảo**_

![APT.jpg](https://khonggianmang.vn/uploads/APT_b175a4a575.jpg)

Các cơ quan tại Nga và Moldova gần đây đã trở thành mục tiêu của một chiến dịch tấn công lừa đảo do nhóm XDSpy thực hiện. Thông tin này được một cơ quan bảo mật xác định trong tháng 07/2024 và ghi nhận mục tiêu của chiến dịch là phát tán mã độc DSDownloader.

 

Chuỗi tấn công của nhóm XDSpy sử dụng các email spear-phishing để lây nhiễm hệ thống với mã độc XDDown có nhiệm vụ tải xuống các plugin bổ trợ với chức năng thu thập thông tin hệ thống, liệt kê file trong ổ C, theo dõi các ổ rời, trích xuất file trên hệ thống và thu thập mật khẩu. Trong năm qua, XDSpy đã nhắm vào các tổ chức tại Nga, sử dụng dropper ngôn ngữ C# có tên UTask với nhiệm vụ tải xuống module dưới dạng file thực thi để tiếp tục tải thêm các payload độc hại từ máy chủ C&C.

 

Trong chiến dịch tấn công lần này, XDSpy sử dụng email lừa đảo với nội dung liên quan tới các thỏa thuận để phát tán file RAR có chứa một file thực thi hợp pháp và một file DLL độc hại. File DLL này được thực thi bằng kỹ thuật DLL side-loading, sử dụng file thực thi đi kèm. Sau khi thực thi, mã độc DSDownloader sẽ được tải xuống và thực thi, qua đó mở ra một file bù nhìn có vai trò đánh lạc hướng người dùng trong lúc mã độc tải xuống mã độc bổ trợ từ máy chủ C&C. Ngoài ra, payload này không còn khả dụng để tải xuống vào thời điểm phân tích.

 

Thông tin về chiến dịch tấn công của XDSpy được công bố trong bối cảnh một cơ quan bảo mật tại Ukraine cảnh báo về sự gia tăng đột biến của các cuộc tấn công lừa đảo do nhóm UAC-0057 (hay còn gọi là GhostWriter, UNC1151) thực hiện. Nhóm này sử dụng mã độc PicassoLoader để cài đặt Cobalt Strike Beacon trên các hệ thống bị tấn công.

 

Ngoài ra, chiến dịch của XDSpy còn được tiết lộ sau khi phát hiện một chiến dịch mới của nhóm Turla, sử dụng file .LNK độc hại làm backdoor không file để thực thi các script PowerShell từ một máy chủ hợp pháp đã bị xâm nhập, từ đó vô hiệu hóa các tính năng bảo mật của hệ thống bị tấn công.

 

**Danh sách một số IoC được ghi nhận**
![DS IoC.png](https://khonggianmang.vn/uploads/DS_Io_C_e9a8503232.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Nguy cơ đe dọa Linux Kernel bằng hình thức tấn công cross-cache SLUBStick**_

![Cảnh báo SLUBStick.jpeg](https://khonggianmang.vn/uploads/Canh_bao_SLUB_Stick_da157bf9c1.jpeg)

Gần đây, các chuyên gia bảo mật đã phát hiện một hình thức tấn công cross-cache mới trên Linux Kernel có tên SLUBStick, với tỷ lệ thành công lên đến 99% trong việc chuyển đổi lỗi heap hạn chế thành khả năng đọc/ghi bộ nhớ tùy ý, từ đó cho phép leo thang đặc quyền hoặc thoát khỏi các môi trường container.

 

Phát hiện này được thực hiện trên các phiên bản Linux Kernel 5.9 và 6.2, với việc sử dụng 09 lỗ hổng CVE khác nhau trên cả hệ thống 32-bit và 64-bit.

 

Đặc biệt, hình thức tấn công này vẫn hoạt động hiệu quả ngay cả khi các phương pháp bảo mật hiện đại như Supervisor Mode Execution Prevention (SMEP), Supervisor Mode Access Prevention (SMAP), và Kernel Address Space Layout Randomization (KASLR) đang được kích hoạt.

 

Chi tiết về SLUBStick sẽ được trình bày trong hội nghị “Usenix Security Symposium” vào tháng 8 năm 2024, nơi các nhà nghiên cứu sẽ minh họa khả năng nâng cao đặc quyền và thoát khỏi môi trường container trên hệ thống Linux với các cơ chế bảo mật tiên tiến.

 

**Chi tiết về SLUBStick**

Linux Kernel quản lý bộ nhớ một cách hiệu quả và an toàn bằng cách phân bổ và giải phóng các khối bộ nhớ gọi là “slabs” cho các cấu trúc dữ liệu khác nhau. Tuy nhiên, quá trình quản lý bộ nhớ này có thể tồn tại lỗi, cho phép đối tượng tấn công thao túng cấu trúc dữ liệu, dẫn đến các cuộc tấn công cross-cache. SLUBStick khai thác các lỗ hổng heap như double-free, user-after-free, hoặc ghi ngoài giới hạn để thao túng quá trình cấp phát bộ nhớ. Các lỗ hổng này bao gồm: CVE-2023-21400, CVE-2023-3609, CVE-2022-32250, CVE-2022-29582, CVE-2022-27666, CVE-2022-2588, CVE-2022-0995, CVE-2021-4157, và CVE-2021-3492.

 

Tiếp theo, SLUBStick sử dụng một kênh phụ thời gian (timing side channel) để xác định chính xác thời điểm phân bổ bộ nhớ, cho phép đối tượng tấn công dự đoán và kiểm soát việc tái sử dụng bộ nhớ. Quá trình chuyển đổi lỗi heap thành khả năng đọc/ghi bộ nhớ tùy ý được thực hiện qua ba bước:

 

**1.**	Giải phóng các khối bộ nhớ cụ thể và chờ kernel tái sử dụng chúng.

**2.**	Cấp phát lại các khối này một cách có kiểm soát, đảm bảo chúng được sử dụng cho các cấu trúc dữ liệu quan trọng như bảng trang.

**3.**	Khi các khối bộ nhớ đã được chiếm dụng, đối tượng tấn công ghi đè các mục nhập bảng trang, từ đó có thể đọc và ghi vào bất kỳ vị trí bộ nhớ nào.

 

**Ảnh hưởng thực tiễn**

 

SLUBStick yêu cầu quyền truy cập cục bộ vào máy mục tiêu với khả năng thực thi mã, và cần tồn tại lỗi heap trên Linux kernel để khai thác và đạt được quyền truy cập đọc/ghi bộ nhớ. Mặc dù điều này có thể khiến tấn công có vẻ không thực tế, nhưng nó cung cấp lợi ích đáng kể cho các đối tượng tấn công. SLUBStick không chỉ cho phép leo thang đặc quyền, vượt qua các bảo mật kernel, và thoát khỏi môi trường kiểm thử, mà còn có thể là một phần trong chuỗi tấn công phức tạp.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **404** lỗ hổng, trong đó có **139** lỗ hổng mức Cao, **160** lỗ hổng mức Trung bình, **11** lỗ hổng mức Thấp và **94** lỗ hổng chưa đánh giá. Trong đó có ít nhất **55** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **Acronis, VMware và Microsoft**, cụ thể là như sau:

 

**- CVE-2023-45249 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên Acronis Cyber Infrastructure do việc sử dụng mật khẩu mặc định cho giải pháp, cho phép đối tượng tấn công thực thi mã từ xa. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

**- CVE-2024-37085 (Điểm CVSS: 7.2 – Cao):** Lỗ hổng tồn tại trên VMware ESXi cho phép đối tượng tấn công với quyền Active Directory phù hợp có thể bỏ qua bước xác thực của hệ thống, qua đó truy cập và thực hiện các hành vi trái phép. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong môi trường thực tế trong các chiến dịch tấn công Ransomware bởi các nhóm tấn công Storm-1567, babuk, LockBit, lockbit.

 

**- CVE-2024-21338 (Điểm CVSS: 7.8 – Cao):** Lỗ hổng tồn tại trên Microsoft Windows 11, Windows 10 trên tầng Kernel, cho phép đối tượng tấn công leo thang đặc quyền hệ thống. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**
![Bảng CBT31-01.png](https://khonggianmang.vn/uploads/Bang_CBT_31_01_417f94ba2d.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

**Tấn công DRDoS:** Trong tuần có **41.696** (**tăng** so với tuần trước **41.090**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**Tấn công Web:** Trong tuần, có **169** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **151** trường hợp tấn công lừa đảo (Phishing), **18** trường hợp tấn công cài cắm mã độc.

 

_**Danh sách địa chỉ được sử dụng trong các mạng botnet**_
![Bảng CBT31-02.png](https://khonggianmang.vn/uploads/Bang_CBT_31_02_50e02b987f.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **1.073** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT31-03.png](https://khonggianmang.vn/uploads/Bang_CBT_31_03_7c59071c14.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT31.pdf](https://khonggianmang.vn/uploads/2024_CBT_31_7548fefc87.pdf)

large_Tuần 31.jpg

medium_Tuần 31.jpg

small_Tuần 31.jpg

thumbnail_Tuần 31.jpg

Tuần 31.jpg

Cảnh báo an toàn thông tin Tuần 31/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

 

**- Chiến dịch tấn công APT:** Chiến dịch “VEILDrive” lợi dụng các dịch vụ của Microsoft để phát tán mã độc và né tránh bị phát hiện.

**- Cảnh báo:** Synology phát hành bản vá cho lỗi RCE nghiêm trọng “không chạm” đe dọa hàng triệu thiết bị NAS.

 

_**Chiến dịch tấn công APT: Chiến dịch “VEILDrive” lợi dụng các dịch vụ của Microsoft để phát tán mã độc và né tránh bị phát hiện**_

![APT 45.jpeg](https://khonggianmang.vn/uploads/APT_45_8e418840fc.jpeg)
 

Các chuyên gia bảo mật đã phát hiện một chiến dịch tấn công có tên “VEILDrive” lợi dụng các dịch vụ của Microsoft như Teams, SharePoint, Quick Assist, và OneDrive nhằm phát tán mã độc và thực hiện các cuộc tấn công spear-phishing. Việc này giúp nhóm tấn công tránh bị phát hiện bởi các hệ thống giám sát thông thường.

 

Chiến dịch được ghi nhận lần đầu vào tháng 9/2024 khi các chuyên gia ứng cứu sự cố an toàn thông tin nhằm vào một tổ chức hạ tầng trọng yếu tại Mỹ, được mã hóa danh tính là “Org C.” Chiến dịch được cho là bắt đầu từ tháng trước, với mục tiêu chính là phát tán mã độc dựa trên Java và sử dụng OneDrive làm nền tảng C&C.

 

Nhóm tấn công khởi đầu chiến dịch bằng cách gửi tin nhắn trên Microsoft Teams tới bốn nhân viên của Org C, giả danh nhân viên IT và yêu cầu truy cập từ xa vào thiết bị của họ thông qua công cụ Quick Assist.

 

Điểm đặc biệt là các tin nhắn này không được gửi từ một tài khoản mới tạo mà từ tài khoản của một tổ chức khác đã bị khai thác trước đó, gọi là Org A. Sau khi có được sự tin tưởng từ các nhân viên, nhóm tấn công tiếp tục chia sẻ một đường dẫn tải xuống trên SharePoint cho tệp ZIP “Client_v8.16L.zip” được lưu trữ trên hạ tầng của một tổ chức thứ ba, gọi là Org B. Bên trong tệp ZIP này có chứa LiteManager, một công cụ truy cập từ xa, cùng các tệp khác. Sau khi truy cập thành công, kẻ tấn công sử dụng quyền truy cập để thiết lập lịch tác vụ nhằm thực thi LiteManager định kỳ.

 

Sau đó, đối tượng tấn công gửi cho người dùng một đường dẫn tải xuống trên SharePoint, dẫn tới tệp “Client_v8.16L.zip” được lưu trên hệ thống của một tổ chức khác. Bên trong tệp này chứa nhiều tệp tin, bao gồm LiteManager, một công cụ truy cập từ xa. Sau khi tải xuống, đối tượng tấn công thiết lập lịch trình tự động để LiteManager có thể chạy định kỳ trên hệ thống, đảm bảo duy trì quyền truy cập từ xa mà không cần sự can thiệp thủ công.

 

Tiếp đó, một tệp ZIP khác có tên “Cliento.zip” cũng được tải xuống với phương thức tương tự, chứa mã độc dạng Java Archive (.JAR) cùng bộ công cụ Java Development Kit (JDK) để kích hoạt mã độc này. Mã độc sử dụng tài khoản OneDrive do đối tượng kiểm soát, đăng nhập bằng thông tin xác thực Entra ID được mã hóa sẵn, và dùng OneDrive làm C&C để tải và thực thi các lệnh PowerShell trên hệ thống bị nhiễm thông qua Microsoft Graph API. Một phương án dự phòng cũng được tích hợp, với một socket HTTPS kết nối đến máy ảo Azure từ xa để nhận và thực thi lệnh PowerShell.

 

Được biết, đây không phải là lần đầu Quick Assist bị khai thác cho mục đích tấn công. Trước đó, vào tháng 5/2024, Microsoft đã cảnh báo về nhóm Storm-1811, giả danh nhân viên hỗ trợ kỹ thuật qua Quick Assist để phát tán mã độc tống tiền Black Basta. Thông tin về chiến dịch VEILDrive được công bố sau khi Windows thông báo phát hiện các cuộc tấn công lợi dụng dịch vụ lưu trữ tệp như SharePoint, OneDrive, và Dropbox làm phương thức né tránh các hệ thống phát hiện thông thường.

 

**Danh sách một số IoC được ghi nhận**

![Danh sách IoC 45.png](https://khonggianmang.vn/uploads/Danh_sach_Io_C_45_f931c0ba3f.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Synology phát hành bản vá cho lỗi RCE nghiêm trọng “không chạm” đe dọa hàng triệu thiết bị NAS**_

![Cảnh báo Synology.jpeg](https://khonggianmang.vn/uploads/Canh_bao_Synology_e741d83121.jpeg)

 

Synology vừa phát hành bản vá cho lỗi nghiêm trọng gây ảnh hưởng tới DiskStation và BeePhotos, lỗ hổng này cho phép đối tượng tấn công khai thác thực thi mã từ xa.

 

Lỗ hổng này có mã CVE-2024-10443 và có tên RISK:STATION, đã được công khai tại cuộc thi Pwn2Own tại Ireland vào năm 2024. Cụ thể, đây là lỗ hổng "không chạm" và không yêu cầu xác thực, cho phép đối tượng tấn công chiếm quyền root trên thiết bị NAS mà không cần người dùng thực hiện bất kỳ thao tác nào. Điều này có nghĩa là đối tượng tấn công có thể xâm nhập vào hệ thống từ xa và phát tán mã độc mà không cần tương tác từ phía người dùng.

 

Các phiên bản bị ảnh hưởng bao gồm BeePhotos for BeeStation OS 1.0, BeePhotos for BeeStation OS 1.1, Synology Photos 1.6 cho DSM 7.2 và Synology Photos 1.7 cho DSM 7.2.

 

Hiện tại, Synology chưa công bố chi tiết kỹ thuật về lỗ hổng này để đảm bảo người dùng có thời gian cập nhật bản vá. Ước tính có khoảng 1-2 triệu thiết bị Synology đang nằm trong diện bị đe dọa trên không gian mạng.

 

Thông báo của Synology được đưa ra trong bối cảnh QNAP cũng đang xử lý ba lỗ hổng nghiêm trọng ảnh hưởng đến các dịch vụ QuRouter, SMB Service, và HBS 3 Hybrid Backup Sync. Ba lỗ hổng này đã xuất hiện tại cuộc thi Pwn2Own và có mã như sau:

 

**•**	CVE-2024-50389 – Đã được vá trong QuRouter phiên bản mới hơn 2.4.5.032

**•**	CVE-2024-50387 – Đã được vá trong SMB Service phiên bản 4.15.002 và các phiên bản mới hơn

**•**	CVE-2024-50388 – Đã được vá trong HBS 3 Hybrid Backup Sync phiên bản mới hơn 25.1.1.673

 

Mặc dù chưa có ghi nhận về việc các lỗ hổng trên bị khai thác trong thực tế, người dùng vẫn nên cập nhật bản vá ngay khi có thể. Trong bối cảnh các cuộc tấn công nhằm vào thiết bị NAS để phát tán mã độc ngày càng gia tăng, đặc biệt là ransomware, việc bảo mật thiết bị trở nên quan trọng hơn bao giờ hết.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **833** lỗ hổng, trong đó có **292** lỗ hổng mức Cao, **467** lỗ hổng mức Trung bình, **27** lỗ hổng mức Thấp và **47** lỗ hổng chưa đánh giá. Trong đó có ít nhất **120** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **Microsoft, Fortinet và X.org**, cụ thể là như sau:

 

**•	CVE-2024-38094 (Điểm CVSS: 7.2 – Cao):** Lỗ hổng tồn tại trên Microsoft SharePoint cho phép đối tượng tấn công thực thi mã từ xa. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công

 

**•	CVE-2024-47575 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên FortiManager cho phép đối tượng thực thi mã từ xa. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công. 

 

**•	CVE-2024- 9632 (Điểm CVSS: 7.8 – Cao):** Lỗ hổng tồn tại trên máy chủ X.org cho phép đối tượng tấn công với quyền truy cập nội bộ vào máy chủ có thể khai thác lỗi buffer overflow, qua đó cho phép đối tượng thực hiện tấn công từ chối dịch vụ, leo thang đặc quyền. Hiện lỗ hổng chưa có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**

![Bảng CBT45-01.png](https://khonggianmang.vn/uploads/Bang_CBT_45_01_504ca2de3f.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

 

**Tấn công DRDoS:** Trong tuần có **32.599** (**giảm** so với tuần trước **32.883**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **33** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **33** trường hợp tấn công lừa đảo (Phishing), **0** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**

![Bảng CBT45-02.png](https://khonggianmang.vn/uploads/Bang_CBT_45_02_0503c16478.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần, hệ thống của Cục An toàn thông tin đã ghi nhận **5.213** phản ánh trường hợp lừa đảo trực tuyến do người dùng Internet Việt Nam gửi về. Trong đó:

 

**- 258** trường hợp phản ánh được tiếp nhận thông qua hệ thống Trang cảnh báo an toàn thông tin Việt Nam (canhbao.khonggianmang.vn).

**- 4.955** trường hợp phản ánh cuộc gọi, tin nhắn lừa đảo thông qua tổng đài 156/5656

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_

![Bảng CBT45-03.png](https://khonggianmang.vn/uploads/Bang_CBT_45_03_987de77189.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT45.pdf](https://khonggianmang.vn/uploads/2024_CBT_45_94e8b27e5a.pdf)

large_Tuần 45.jpg

medium_Tuần 45.jpg

small_Tuần 45.jpg

thumbnail_Tuần 45.jpg

Tuần 45.jpg

Cảnh báo an toàn thông tin Tuần 45/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

 

**- Chiến dịch tấn công APT:** Ghi nhận nhóm tấn công thuộc Triều Tiên triển khai mã độc OtterCookie trong chiến dịch tấn công “Contagious Interview”.

**- Cảnh báo:** Ghi nhận phương thức tấn công “DoubleClickjacking” bỏ qua bảo mật Clickjacking trên website.

 

_**Chiến dịch tấn công APT: Ghi nhận nhóm tấn công thuộc Triều Tiên triển khai mã độc OtterCookie trong chiến dịch tấn công “Contagious Interview”**_

![APT1.jpeg](https://khonggianmang.vn/uploads/APT_1_f4e8faa89e.jpeg)

 

Nhóm đối tượng tấn công thuộc Triều Tiên đằng sau chiến dịch tấn công “Contagious Interview” gần đây đã được quan sát thấy trong lúc phát tán mã độc JavaScript có tên OtterCookie.

 

Chiến dịch tấn công còn có tên khác là DeceptiveDevelopment sử dụng kỹ thuật social engineering với nhóm đối tượng giả danh thành các nhân viên tuyển dụng để lừa người dùng đang tìm kiếm việc làm tải xuống mã độc như một bước trong quá trình phỏng vấn.

 

Các mã độc được cài vào trong gói npm hoặc ứng dụng họp video được lưu trên GitHub hoặc registry chính thức của gói, qua đó cho phép đối tượng phát tán mã độc như BeaverTail và InvisibleFerret. Hiện nhóm tấn công này đang được theo dõi dưới tên CL-STA-0240.

 

Vào tháng 09/2024, cơ quan bảo mật Group-IB đã công bố thông tin chi tiết về chuỗi tấn công, nhằm tô điểm việc sử dụng phiên bản cải tiến của BeaverTail có tính module bằng cách tách rời chức năng đánh cắp dữ liệu của mã độc ra một bộ script Python có tên CivetQ.

 

Đáng chú ý, chiến dịch Contagious Interview hiện đang đươc cho là tách biệt với chiến dịch “Operation Dream Job”, cũng là một chiến dịch tấn công thực hiện bởi nhóm tấn công Triều Tiên với cùng phương thức lây nhiễm thông qua các mồi nhử liên quan tới việc làm.

 

Ngoài ra, trong phát hiện mới nhất, mã độc JavaScript được sử dụng để thực thi BeaverTail còn có chức năng tải xuống và thức thi mã độc OtterCookie, được phát hiện vào tháng 09/2024 và có phiên bản mới hơn vào tháng 11/2024.

 

Mã độc OtterCookie khi được thực thi sẽ kết nối tới máy chủ C&C thông qua thư viện JavaScript “Socket.IO”, sau đó sẽ chờ chỉ thị mới.

 

Mã độc được thiết kế để thực thi các câu lệnh shell có nhiệm vụ đánh cắp dữ liệu như file, nội dung trong clipboard và khóa ví tiền ảo.

 

Chiến dịch tấn công này được công bố trong bối cảnh các nhóm tấn công đang gia tăng nỗ lực cập nhật bộ công cụ sử dụng mà vẫn giữ lại chuỗi tấn công, điều này chứng tỏ chiến dịch tấn công có tính hiệu quả cao.

 

**Danh sách một số IoC được ghi nhận**

![Danh sách IoC 1.png](https://khonggianmang.vn/uploads/Danh_sach_Io_C_1_80f37b4d1b.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**_Cảnh báo: Ghi nhận phương thức tấn công “DoubleClickjacking” bỏ qua bảo mật Clickjacking trên website_**

![Cảnh báo Double-Clickjacking.jpeg](https://khonggianmang.vn/uploads/Canh_bao_Double_Clickjacking_7b80619313.jpeg)

 

Gần đây, các chuyên gia bảo mật đã ghi nhận và công bố chi tiết của một lớp lỗ hổng dựa trên thời gian phổ biến sử dụng trình tự double-click để thực hiện tấn công clickjacking và chiếm dụng tài khoản trên các website.

 

Kỹ thuật này hiện được đặt tên là DoubleClickjacking. Cụ thể, thay vì dựa vào một lần click, kỹ thuật sử dụng trình tự double-click cho phép thao túng UI để vượt qua các biện pháp bảo mật clickjacking hiện có, bao gồm cả header X-Frame-Options hay cookie SameSite: Lax/Strict. Kỹ thuật tấn công Clickjacking, hay còn gọi là chỉnh sửa UI, là một kỹ thuật trong đó người dùng bị lừa vào việc bấm vào một yếu tố trông như an toàn trên website (thường là nút xác nhận), từ đó dẫn tới việc triển khai mã độc trên hệ thống hoặc trích xuất dữ liệu quan trọng.

 

Kỹ thuật DoubleClickjacking là một biến thể khai thác khoảng thời gian giữa lúc bắt đầu của lần click và kết thúc của lần click thứ 2 để vượt qua biện pháp bảo mật và chiếm dụng tài khoản của người dùng. Cụ thể các bước như sau:

 

**•**	Người dùng truy cập vào trang web điều khiển bởi đối tượng tấn công có luồng hoạt động là mở lên một cửa sổ browser hoặc một tab mới mà không cần người dùng tương tác, hoặc chỉ cần một lần click chuột.

**•**	Cửa sổ (tab) mới này có thể giả dạng thành một xác thức Captcha, yêu cầu người dùng click 2 lần để hoàn thành chúng.

**•**	Khi người dùng thực hiện điều này, trang web độc hại sử dụng đối tượng trên JavaScript là “Window Location” để điều hướng người dùng tới trang độc hại.

**•**	Cửa sổ trên cùng sẽ được đóng, qua đó người dùng đã vô tình cấp quyền truy cập cho đối tượng bằng cách đồng ý với thông báo cấp quyền trên trang chính.

 

Được biết, lỗ hổng và kỹ thuật này có thể bị loại bỏ bằng cách sử dụng giải pháp client-side cho phép tắt chức năng của các nút quan trọng trên website trừ khi di chuột theo một cách nhất định hoặc khi người dùng bấm nút trên bàn phím.

 

Thông tin về kỹ thuật này được công bố gần một năm sau khi một chuyên gia bảo mật đã chứng mình một biến thể khác của Clickjacking có tên “Cross window forgery” (hay gesture-jacking) hoạt động dựa trên việc người dùng bấm hoặc giữ nút Enter/Space trên một trang web độc hại để thực hiện các tác vụ độc hại như chiếm dụng tài khoản trên website đó.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

 

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **524** lỗ hổng, trong đó có **143** lỗ hổng mức Cao, **299** lỗ hổng mức Trung bình, **24** lỗ hổng mức Thấp và **58** lỗ hổng chưa đánh giá. Trong đó có ít nhất **47** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **Four-Faiths, Palo Alto Networks và Microsoft**, cụ thể là như sau:

 

**•	CVE-2024-3393 (Điểm CVSS: 8.7 – Cao):** Lỗ hổng tồn tại trên chức năng DNS Security của phần mềm Palo Alto Networks PAN-OS cho phép đối tượng tấn công sử dụng các gói tin độc hại để thực hiện tấn công từ chối dịch vụ bằng cách khiến tường lửa khởi động lại. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**•	CVE-2024-12856 (Điểm CVSS: 7.2 – Cao):** Lỗ hổng tồn tại trên router mẫu F3x24 và F3x36 của hãng Four-Faiths. Là lỗi command injection cho phép đối tượng tấn công thực thi lệnh OS tùy ý qua giao thức HTTP khi điều chỉnh thời gian hệ thống trên file apply.cgi. Hiện lỗ hổng chưa có mã khai thác và đang bị khai thác trong thực tế.

 

**•	CVE-2018-0802 (Điểm CVSS: 7.8 – Cao):** Lỗ hổng tồn tại trên Microsoft Office 2007, 2010, 2013, 2016 trên thành phân Equation Editor do sai sót trong quá trình xử lý đối tượng trên bộ nhớ. Đối tượng tấn công khai thác lỗ hổng có thể thực thi mã từ xa. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**

![Bảng CBT 1-01.png](https://khonggianmang.vn/uploads/Bang_CBT_1_01_bc5c0fbaf0.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

 

**Tấn công DRDoS:** Trong tuần có **33.165** (**giảm** so với tuần trước **34.860**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **33** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **33** trường hợp tấn công lừa đảo (Phishing), **0** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**

![Bảng CBT 1-02.png](https://khonggianmang.vn/uploads/Bang_CBT_1_02_ca85a6e24e.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần, hệ thống của Cục An toàn thông tin đã ghi nhận **6.685** phản ánh trường hợp lừa đảo trực tuyến do người dùng Internet Việt Nam gửi về. Trong đó:

 

**- 213** trường hợp phản ánh được tiếp nhận thông qua hệ thống Trang cảnh báo an toàn thông tin Việt Nam (canhbao.khonggianmang.vn).

**- 6.472** trường hợp phản ánh cuộc gọi, tin nhắn lừa đảo thông qua tổng đài 156/5656.

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_

![Bảng CBT 1-03.png](https://khonggianmang.vn/uploads/Bang_CBT_1_03_e7f2382381.png)

 

Chi tiết báo cáo xem tại: 
[2025_CBT01.pdf](https://khonggianmang.vn/uploads/2025_CBT_01_517aab331a.pdf)

large_tuần 1-min.jpg

medium_tuần 1-min.jpg

small_tuần 1-min.jpg

thumbnail_tuần 1-min.jpg

tuần 1-min.jpg

Cảnh báo an toàn thông tin Tuần 01/2025

Ngày 12/4/2022, Microsoft đã phát hành danh sách bản vá tháng 04 với 128 lỗ hổng bảo mật trong các sản phẩm, trong đó có nhiều lỗ hổng bảo mật mức Nghiêm trọng, Cao 

**Lỗ hổng mức Nghiêm trọng**
- Lỗ hổng bảo mật CVE-2022-26809 trong RPC Runtime Library cho phép đối tượng tấn công thực thi mã từ xa với đặc quyền cao trên hệ thống bị ảnh hưởng.
- 02 lỗ hổng bảo mật CVE-2022-24491, CVE-2022-24497 trong Windows Network File System cho phép đối tượng tấn công thực thi mã từ xa với đặc quyền cao.

**Lỗ hổng mức Cao cần chú ý: **
- Lỗ hổng bảo mật CVE-2022-26815 trong Windows DNS Server cho phép đối tượng tấn công thực thi mã từ xa.
- Lỗ hổng bảo mật CVE-2022-26904 trong Windows User Profile Service cho phép đối tượng tấn công thực hiện tấn công nâng cao đặc quyền. Lỗ hổng này đã có mã khai thác công khai trên Internet.
- Lỗ hổng bảo mật CVE-2022-26919 trong Windows LDAP cho phép đối tượng tấn công thực thi mã từ xa.
- Lỗ hổng bảo mật CVE-2022-24521 trong Windows Common Log File System Driver cho phép đối tượng tấn công thực hiện tấn công nâng cao đặc quyền.

Chi tiết cảnh báo xem tại 
[CB_508_2022_Lỗ hổng_Microsoft_Thang4.pdf](https://khonggianmang.vn/uploads/CB_508_2022_Lo_hong_Microsoft_Thang4_8b7be0a394.pdf)



large_Microsoft.jpg

medium_Microsoft.jpg

small_Microsoft.jpg

thumbnail_Microsoft.jpg

Microsoft.jpg

Cảnh báo lỗ hổng bảo mật Cao và Nghiêm trọng trong các sản phẩm Microsoft công bố tháng 04/2022

**1. TIN TỨC AN TOÀN THÔNG TIN**

**- Chiến dịch tấn công APT:** Nhóm APT Trung Quốc sử dụng mã độc MgBot và MACMA để tấn công Đài Loan và tổ chức phi chính phủ Mỹ.

**- Cảnh báo:** Lỗ hổng Zero-day trên Telegram cho phép phát tán APK Android độc hại dưới dạng video.

 

_**Chiến dịch tấn công APT: Nhóm APT Trung Quốc sử dụng mã độc MgBot và MACMA để tấn công Đài Loan và tổ chức phi chính phủ Mỹ.**_

![Chiến dịch APT.jpeg](https://khonggianmang.vn/uploads/Chien_dich_APT_9058b9e90c.jpeg)

Các tổ chức tại Đài Loan và một tổ chức phi chính phủ (NGO) của Mỹ đặt tại Trung Quốc đã trở thành mục tiêu của nhóm APT Daggerfly, một nhóm tấn công mạng được Bắc Kinh hậu thuẫn. Nhóm này sử dụng các công cụ mã độc đã được nâng cấp để thực hiện các cuộc tấn công.

 

Chiến dịch này cho thấy Daggerfly cũng tham gia vào hoạt động gián điệp nội bộ. Trong đó, Daggerfly đã khai thác lỗ hổng CVE-2024-38112 tồn tại trên máy chủ Apache HTTP để phát tán mã độc MgBot. Lỗ hổng này đã được Microsoft khắc phục trong bản vá Patch Tuesday gần nhất, được đánh giá là một lỗ hổng spoofing trong động cơ trình duyệt MSHTML của Internet Explorer.


 

Daggerfly, còn được biết đến với tên Bronze Highland và Evasive Panda, đã hoạt động từ năm 2012 và từng sử dụng mã độc MgBot trong các chiến dịch thu thập thông tin từ các nhà cung cấp dịch vụ viễn thông tại Châu Phi.

 

Ngoài mã độc MgBot, Daggerfly còn sử dụng phiên bản cải tiến của mã độc MgBot trên hệ điều hành macOS có tên MACMA. MACMA được phát hiện lần đầu vào tháng 11/2021 bởi nhóm Threat Analysis Group của Google, mã độc này phát tán qua các cuộc tấn công watering hole nhắm vào người dùng tại Hong Kong bằng cách khai thác lỗ hổng trên trình duyệt Safari. Được biết MACMA tái sử dụng mã nguồn từ các nhà phát triển ELF/Android, cho thấy khả năng nó cũng đã nhằm vào điện thoại Android.

 

Ngoài hai mã độc trên, Daggerfly còn sử dụng thêm mã độc Nightdoor (hay NetMM và Suzafk), một mã độc gài vào hệ thống sử dụng Google Drive API làm C&C và đã được sử dụng trong các cuộc tấn công watering hole nhằm vào người dùng Tây Tạng kể từ tháng 9 năm 2023. 

 

Thông tin về nhóm Daggerfly và chiến dịch này được công bố ngay sau khi Trung tâm Ứng phó Khẩn cấp Virus Máy tính Quốc gia (CVERC) của Trung Quốc cáo buộc rằng Volt Typhoon, được Five Eyes xác định là nhóm gián điệp mạng của Trung Quốc, thực tế đây là một chiến dịch tin giả do các cơ quan tình báo Mỹ dựng lên nhằm bôi nhọ Trung Quốc.

 

**Danh sách một số IoC được ghi nhận**
![DS IoC.png](https://khonggianmang.vn/uploads/DS_Io_C_399abf7c3c.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Lỗ hổng Zero-day trên Telegram cho phép phát tán APK Android độc hại dưới dạng video**_

![Cảnh báo Telegram.jpg](https://khonggianmang.vn/uploads/Canh_bao_c7e214377d.jpg)

Một lỗ hổng Zero-day trên Telegram, được gọi là “EvilVideo,” đã bị khai thác để gửi các file APK độc hại dưới dạng video đến thiết bị Android. Lỗ hổng này đã được rao bán từ ngày 06/6/2024 bởi một đối tượng có tên là “Ancryno” trên diễn đàn XSS hacking tiếng Nga, và được cho là ảnh hưởng đến các phiên bản Telegram cũ hơn v10.14.4.

 

Lỗ hổng này được phát hiện sau khi một minh họa PoC được chia sẻ trên kênh Telegram công khai, giúp các chuyên gia bảo mật tại ESET tiếp cận được payload độc hại. Sau khi phân tích, ESET xác nhận lỗ hổng hoạt động như mô tả và đã thông báo cho Telegram vào ngày 26/6 và một lần nữa vào ngày 04/7. Lỗ hổng này đã được vá trong phiên bản v10.14.5 phát hành vào ngày 11/7/2024.

 

Hiện chưa có thông tin rõ ràng về việc lỗ hổng có bị khai thác trong thực tế hay không, tuy nhiên, các chuyên gia đã phát hiện máy chủ C&C sử dụng bởi payload có địa chỉ “infinityhackscharan.ddns[.]net”.

 

**Chi tiết về việc khai thác lỗ hổng Zero-day**

Lỗ hổng “EvilVideo” ảnh hưởng đến phiên bản Android của Telegram và cho phép đối tượng tấn công tạo ra các tệp APK độc hại được gửi tới người dùng dưới dạng video. Lỗ hổng này sử dụng API của Telegram để tạo các tin nhắn giả dạng video dài 30 giây.

 

Với cài đặt mặc định, ứng dụng Telegram trên Android sẽ tự động tải xuống các tệp phương tiện như ảnh và video. Do đó, người dùng chỉ cần mở kênh chứa tin nhắn payload là đã có thể bị nhiễm mã độc ngay lập tức. Nếu tắt tính năng tự động tải xuống, người dùng vẫn có nguy cơ lây nhiễm chỉ bằng một lần click vào video. Khi video giả được mở, Telegram sẽ hiện thông báo yêu cầu chọn trình phát video bên ngoài. Nếu người dùng đồng ý, payload sẽ được thực thi. Tiếp theo, người dùng sẽ được yêu cầu cài đặt một ứng dụng dạng APK thông qua Telegram, ứng dụng này có tên là “xHamster Premium Mod”.

 

Việc khai thác lỗ hổng này yêu cầu người dùng thực hiện nhiều bước để payload độc hại có thể được thực thi trên thiết bị, vì vậy nguy cơ thành công của cuộc tấn công là tương đối thấp.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **613** lỗ hổng, trong đó có **132** lỗ hổng mức Cao, **234** lỗ hổng mức Trung bình, **18** lỗ hổng mức Thấp và **229** lỗ hổng chưa đánh giá. Trong đó có ít nhất **68** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **Progress, OpenSSH và Rejetto**, cụ thể là như sau:

 

**- CVE-2024-6327 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên Progress Telerik Report Server, xảy ra do quy trình giải tuần tự thiếu bảo mật của sản phẩm. Đối tượng tấn công khai thác lỗ hổng có thể thực thi mã từ xa trên hệ thống. Hiện lỗ hổng đang bị khai thác trong thực tế.

 

**- CVE-2024-6387 (Điểm CVSS: 8.1 – Cao):** Lỗ hổng tồn tại trên máy chủ OpenSSH cho phép đối tượng tấn công khai thác lỗi Race Condition, cho phép đối tượng tấn công truy cập và thực hiện các hành vi trái phép. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**- CVE-2024-23692 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên Rejetto HTTP File Server, đối tượng tấn công có thể khai thác lỗ hổng bằng cách gửi tới hệ thống các yêu cầu HTTP độc hại, qua đó có thể thực thi mã tùy ý. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**
![Bảng CBT30-01.png](https://khonggianmang.vn/uploads/Bang_CBT_30_01_014491af0a.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

**Tấn công DRDoS:** Trong tuần có **41.090** (**giảm** so với tuần trước **42.408**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**Tấn công Web:** Trong tuần, có **118** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **109** trường hợp tấn công lừa đảo (Phishing), **9** trường hợp tấn công cài cắm mã độc.

 

_**Danh sách địa chỉ được sử dụng trong các mạng botnet**_
![Bảng CBT30-02.png](https://khonggianmang.vn/uploads/Bang_CBT_30_02_8b33aabf98.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **1.573** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT30-03.png](https://khonggianmang.vn/uploads/Bang_CBT_30_03_9b11dc23d2.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT30.pdf](https://khonggianmang.vn/uploads/2024_CBT_30_e40c892174.pdf)

large_Tuần 30.jpg

medium_Tuần 30.jpg

small_Tuần 30.jpg

thumbnail_Tuần 30.jpg

Tuần 30.jpg

Cảnh báo an toàn thông tin Tuần 30/2024

### **TIN CẢNH BÁO**
- Lỗ hổng Spring4Shell bị khai thác để triển khai botnet Mirai

- Nhóm tấn công APT Deep Panda sử dụng Fire Chili Windows rootkit trong các cuộc tấn công


### **ĐIỂM YẾU, LỖ HỔNG**
Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất 498 lỗ hổng, trong đó có 32 lỗ hổng mức cao, 85 lỗ hổng mức trung bình, 11 lỗ hổng mức thấp và 370 lỗ hổng chưa đánh giá. Trong đó có ít nhất 62 lỗ hổng cho phép chèn và thực thi mã lệnh.
Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:
- Google: CVE-2022-0452, CVE-2022-0453,…
- Gitlab: CVE-2021-39908, CVE-2022-0740,…
- Wordpress: CVE-2022-0403, CVE-2022-0537,…
- Dell: CVE-2022-23155, CVE-2022-24426,…
- Cisco: CVE-2022-20665, CVE-2022-20675
- GitHub: CVE-2021-40656, CVE-2022-0405,…
- IBM: CVE-2022-22404, CVE-2020-4668,…


### **SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có 81,297 (tăng so với tuần trước 82,258) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS

**- Tấn công Web**: Trong tuần, có 148 trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: 82 trường hợp tấn công lừa đảo (Phishing), 66 trường hợp tấn công cài cắm mã độc.

**- Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| 			differentia.ru: 			 31,749 			IP 		 	| 			xjpakmdcfuqe.ru: 			841 IP 		 	|
|---	|---	|
| 			disorderstatus.ru: 			13,792 			IP 		 	| 			xjpakmdcfuqe.in: 			635 IP 		 	|
| 			atomictrivia.ru: 			 6,572 			IP 		 	| 			amnsreiuojy.ru: 			369 IP 		 	|
| 			xjpakmdcfuqe.biz: 			1,667 			IP 		 	| 			restlesz.su: 			241 IP 		 	|
| 			xjpakmdcfuqe.com: 			1,087 			IP 			 			 		 	| 			op2605msm.ru: 			71 IP 		 	|



### **TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**
Trong tuần đã có 147 phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. 

Dưới đây là một số trường hợp trang web giả mạo, người dùng cần nâng cao cảnh giác **KHÔNG TRUY CẬP** vào những website này


| 			TT 		 	| 			Website 			lừa đảo 		 	| 			Ghi 			chú 		 	|
|---	|---	|---	|
| 			1 		 	| 			﻿hxxps://shopmall0.com 			 hxxps://186666.vip 		 	| 			Giả 			mạo sàn TMĐT Shopee 		 	|
| 			2 		 	| 			hxxps://cltxcaidu.me 		 hxxps://game99.me 			 hxxps://chanle123.me 			 hxxps://cltx2424.me 			 hxxps://momo789.me 			 hxxps://cltx204.club 			 hxxp://clmm55.club 			 hxxps://clmm99.me 			 hxxps://clmm810.club 		 	| 			Web 			lừa đảo cờ bạc qua ví điện tử Momo 		 	|
| 			3 		 	| 			hxxps://tik5555.com 		 	| 			Giả 			mạo sàn TMĐT Tiki 		 	|
| 			4 		 	| 			hxxp://vcbtlgabink.com 		 	| 			Giả 			mạo website Ngân Hàng TMCP Ngoại thương Việt Nam 		 	|


 


Chi tiết báo cáo xem tại: 
[2022_CBT14.pdf](https://khonggianmang.vn/uploads/2022_CBT_14_4b1887a3b2.pdf)

large_14.jpg

medium_14.jpg

small_14.jpg

thumbnail_14.jpg

14.jpg

Cảnh báo an toàn thông tin tuần 14

### **TIN CẢNH BÁO**
- Lỗ hổng bảo mật ảnh hưởng nghiêm trọng trong Apache Commons Text.
 
- Phát hiện nhiều chiến dịch tấn công khai thác lỗ hổng Vmware để triển khai công cụ khai thác tiền điện tử và phần mềm ransomware.
 

### **ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **687** lỗ hổng, trong đó có **343 **lỗ hổng mức Cao, **283** lỗ hổng mức Trung bình, **10** lỗ hổng mức Thấp và **51** lỗ hổng chưa đánh giá. Trong đó có ít nhất **73** lỗ hổng cho phép chèn và thực thi mã lệnh.

Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:
- Adobe: CVE-2022-38450, CVE-2022-42339,…
- Google: CVE-2022-2985, CVE-2022-38669,…
- Gitlab: CVE-2022-2884, CVE-2022-2992,…
- Fortinet: CVE-2022-40684, CVE-2022-33872,…
- Zoom: CVE-2022-28762, CVE-2022-28761,…
- Dell: CVE-2022-5355, CVE-2022-34437,…
- Huawei: CVE-2022-38980, CVE-2022-38982,…

 

### **SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có **44,601** (giảm so với tuần trước 45,160) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**- Tấn công Web**: Trong tuần, có **247** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **212** trường hợp tấn công lừa đảo (Phishing), **35** trường hợp tấn công cài cắm mã độc.


**- Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| | |
|---------------------------------------|-----------------------------------|
| differentia.ru: 19480 IP | xjpakmdcfuqe.ru: 521 IP |
| disorderstatus.ru: 9239 IP | xjpakmdcfuqe.in: 412 IP |
| atomictrivia.ru: 4393 IP | restlesz.su: 150 IP |
| xjpakmdcfuqe.biz: 1152 IP | amnsreiuojy.ru: 268 IP |
| xjpakmdcfuqe.com: 737 IP | hzmksreiuojy.ru: 59 IP |


### **TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **207** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử… 

Dưới đây là một số trường hợp trang web giả mạo, người dùng cần nâng cao cảnh giác **KHÔNG TRUY CẬP** vào những website này
| STT | Website lừa đảo | Ghi chú |
|:---:|:----------------------------------------------------------------------------------------------------------------------:|:-------------------------------:|
| 1 | amazon.amazonptj.com | Giả mạo website sàn TMĐT Amazon |
| 2 | Nghiencltx.com clmm.team chanle79.me cl247.me clmm88.co bemcll.me | Giả mạo ví điện tử MoMo |
| 3 | xtb111.com | Giả mạo website Điện máy xanh |
| 4 | aliexshop.vip hoangkim1.org rihcos.com 199.192.22.67:5769 cltx.in minhngocc789.com m.yocvn.com | Trang web lừa đảo |
 

Chi tiết báo cáo xem tại: 
[2022_CBT42.pdf](https://khonggianmang.vn/uploads/2022_CBT_42_78d3574210.pdf)

large_42.jpg

medium_42.jpg

small_42.jpg

thumbnail_42.jpg

42.jpg

Cảnh báo an toàn thông tin tuần 42

### **TIN CẢNH BÁO**
- Tin tặc Iran sử dụng backdoor Marlin trong chiến dịch “Out to Sea

- Nhóm tấn công APT Tunnel Vision khai thác lỗ hổng Log4j để cài cắm ransomware trên các máy chủ Vmware Horizon chưa được vá

### **ĐIỂM YẾU, LỖ HỔNG**

Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:
- Google: CVE-2021-39668, CVE-2021-39672,…
- Adobe: CVE-2022-23200, CVE-2022-24086,…
- Foxit: CVE-2022-24954, CVE-2022-24955,…
- Linux: CVE-2022-24958, CVE-2022-24959,…
- HP: CVE-2020-6917, CVE-2020-6922,…
- IBM: CVE-2021-39079, CVE-2021-39080,...
- Vmware: CVE-2021-22050, CVE-2021-22040,…

### **SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có **65,056** (tăng so với tuần trước **63,103**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS

**- Tấn công Web**: Trong tuần, có **215** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **63** trường hợp tấn công thay đổi giao diện, **73** trường hợp tấn công lừa đảo (Phishing), **79** trường hợp tấn công cài cắm mã độc.

**- Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
|                   	|                    	|
|-------------------	|--------------------	|
| differentia.ru    	| a.asense.in        	|
| disorderstatus.ru 	| ww2.bbbjdnxbgp3.ru 	|
| atomictrivia.ru   	| a.deltaheavy.ru    	|
| morphed.ru        	| sdk.asense.in      	|
| ydbnsrt.me        	| soplifan.ru        	|

 
### **TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**
Trong tuần đã có **109** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. 

Dưới đây là một số trường hợp trang web giả mạo, người dùng cần nâng cao cảnh giác.
| STT  	| Website lừa                         	| Ghi chú                      	|
|------	|-------------------------------------	|------------------------------	|
| 1    	| westernonionvietnam24-24.weebly.com 	| Giả mạo website WesternUnion 	|
| 2    	| 8512579.com                         	| Giả mạo website Carrefour    	|

Chi tiết báo cáo xem tại: 
[2022_CBT07.pdf](https://khonggianmang.vn/uploads/2022_CBT_07_96cfb04e9e.pdf)


medium_CBT_07.png

small_CBT_07.png

thumbnail_CBT_07.png

CBT_07.png

Cảnh báo an toàn thông tin tuần 07

### **TIN TỨC AN TOÀN THÔNG TIN**
- **Cảnh bảo:** Lỗ hổng bảo mật “By-Design” trong Microsoft Azure cho phép đối tượng tấn công thu thập thông tin tài khoản. 
 
- **Chiến dịch tấn công APT:** Google cảnh báo về nhóm tấn công APT ARCHIPELAGO có liên quan đến Bắc Triều Tiên.

 

### **ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **651** lỗ hổng, trong đó có **73** lỗ hổng mức Cao, **54** lỗ hổng mức Trung bình, **01** lỗ hổng mức Thấp và **523** lỗ hổng chưa đánh giá. Trong đó có ít nhất **123** lỗ hổng cho phép chèn và thực thi mã lệnh.

Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:
- Google: CVE-2023-1810, CVE-2023-1811,…
- Linux: CVE-2023-1855, CVE-2023-1838,…
- Apache: CVE-2023-26269, CVE-2023-28706,...
- Wordpress: CVE-2023-23996, CVE-2023-23998,...
- IBM: CVE-2023-27284, CVE-2023-26283,...
- Samsung: CVE-2023-28613.
- Ubuntu: CVE-2020-11935. 

 

### **SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có **47,608** (**tăng** so với tuần trước **48,402**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**- Tấn công Web**: Trong tuần, có **156** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **141** trường hợp tấn công lừa đảo (Phishing), **15** trường hợp tấn công cài cắm mã độc.

**- Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| 	| 	|
|:-------------------------------------:	|:-----------------------------------:	|
| differentia.ru: 10368 IP 	| xjpakmdcfuqe.ru:214 IP 	|
| disorderstatus.ru: 5196 IP 	| xjpakmdcfuqe.in:269 IP 	|
| atomictrivia.ru: 2480 IP 	| restlesz.su: 257 IP 	|
| xjpakmdcfuqe.biz: 339 IP 	| amnsreiuojy.ru: 531 IP 	|
| xjpakmdcfuqe.com: 260 IP 	| hzmksreiuojy.ru: 42 IP 	|


### **TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **275** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử… 



Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.
| STT 	| Website lừa đảo 	| Ghi chú 	|
|---------------	|-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------	|---------------------------------------------------	|
| 1 	| vie-tcapital.com 	| Website giả mạo Ngân hàng TMCP Bản Việt 	|
| 2 	| lashopp061.com 	| Website giả mạo sàn TMĐT Shopee 	|
| 3 	| vinfast888.net phattai6666.com rik11.fun alibabavn.shop congtykiman.org vincomonevip.net trungtamthuongmaihanoi.com minhchinhmega.com … 	| Website giả mạo, lừa đảo 	|


Chi tiết báo cáo xem tại: 
[2023_CBT14.pdf](https://khonggianmang.vn/uploads/2023_CBT_14_b83476ec6e.pdf)

medium_14.png

small_14.png

thumbnail_14.png

14.png

Cảnh báo an toàn thông tin tuần 14/2023

### **TIN TỨC AN TOÀN THÔNG TIN**
- **Cảnh bảo:** 1.5 triệu người dùng Google Play có nguy cơ bị tấn công bởi hai phần mềm gián điệp.
 
- **Chiến dịch tấn công APT:** Nhóm APT Charming Kitten khai thác mã độc NokNok để tấn công người dùng macOS.

 

### **ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **557** lỗ hổng, trong đó có **46** lỗ hổng mức Cao, **77** lỗ hổng mức Trung bình, **01** lỗ hổng mức Thấp và **433** lỗ hổng chưa đánh giá. Trong đó có ít nhất **79** lỗ hổng cho phép chèn và thực thi mã lệnh.

Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:
- Microsoft: CVE-2021-31982, CVE-2021-34506,...
- Linux: CVE-2023-3117, CVE-2023-2880,…
- Google: CVE-2023-20753, CVE-2023-20755,...
- Wordpress: CVE-2020-36736, CVE-2020-36737,...
- Huawei: CVE-2021-46890, CVE-2021-46891,...
- Cisco: CVE-2023-20133, CVE-2023-20180,...
- IBM: 	CVE-2021-39014, CVE-2023-26273,…

 

### **SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có **48.557** (**giảm** so với tuần trước **52.307**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**- Tấn công Web**: Trong tuần, có **246** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **233** trường hợp tấn công lừa đảo (Phishing), **13** trường hợp tấn công cài cắm mã độc.

**- Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| 	| 	|
|:-------------------------------------:	|:-----------------------------------:	|
| differentia.ru: 10795 IP 	| xjpakmdcfuqe.ru: 53 IP 	|
| disorderstatus.ru: 3344 IP 	| xjpakmdcfuqe.in: 30 IP 	|
| atomictrivia.ru: 1537 IP 	| restlesz.su: 272 IP 	|
| xjpakmdcfuqe.biz: 240 IP 	| amnsreiuojy.ru: 276 IP 	|
| xjpakmdcfuqe.com: 80 IP 	| hzmksreiuojy.ru: 36 IP 	|


### **TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **334** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử… 



Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.
| STT 	| Website lừa đảo 	| Ghi chú 	|
|:-------------:	|:------------------------------------:	|:---------------------------------------------------------------:	|
| 1 	| vn8788.com 	| Website giả mạo sàn TMĐT Tiki 	|
| 2 	| thienshinhan.com 	| Website giả mạo Ngân hàng TNHH MTV Shinhan Việt Nam 	|
| 3 	| smartphonethongminh.online 	| Website giả mạo, lừa đảo 	|

Chi tiết báo cáo xem tại: 
[2023_CBT27.pdf](https://khonggianmang.vn/uploads/2023_CBT_27_60b14504e2.pdf)

medium_27.png

small_27.png

thumbnail_27.png

27.png

Cảnh báo an toàn thông tin tuần 27/2023

### **1. TIN TỨC AN TOÀN THÔNG TIN**
- **Cảnh báo:** Phát hiện lỗ hổng RCE nghiêm trọng trên tường lửa SRX và Switch EX của Juniper.
 
- **Chiến dịch tấn công APT:** Lỗ hổng Zero-Day trong Ivanti VPN bị khai thác để phát tán 5 loại mã độc.

 

### **2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **972** lỗ hổng, trong đó có **445** lỗ hổng mức Cao, **318** lỗ hổng mức Trung bình, **26** lỗ hổng mức Thấp và **183** lỗ hổng chưa đánh giá. Trong đó có ít nhất **266** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

_**Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:**_
- Microsoft: CVE-2024-20672,…
- Apple: CVE-2023-42826,…
- Adobe: CVE-2024-20714, …
- Wordpress: CVE-2023-51502,…
- Linux: CVE-2023-6040, CVE-2022-2586,…
- Tenda: CVE-2023-50585,…
- IBM: CVE-2023-47140, CVE-2023-47145,…

 

### **3. SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có **52.856** (**tăng** so với tuần trước **52.017**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**- Tấn công Web**: Trong tuần, có **96** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **80** trường hợp tấn công lừa đảo (Phishing), **16** trường hợp tấn công cài cắm mã độc.
 
 

**Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| differentia.ru: 12497 IP | hzmksreiuojy.ru: 191 IP |
|----------------------------|--------------------------|
| disorderstatus.ru: 4731 IP | xjpakmdcfuqe.biz: 156 IP |
| atomictrivia.ru 2242 IP | xjpakmdcfuqe.com: 47 IP |
| amnsreiuojy.ru: 955 IP | xjpakmdcfuqe.ru: 45 IP |
| restlesz.su: 294 IP | xjpakmdcfuqe.in: 47 IP |

 

### **4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **518** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử… 



**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**
| **STT** | **Website lừa đảo** | **Ghi chú** |
|:-------:|:------------------------------------------------------------------------------:|:--------------------------------------------------------------:|
| 1 | dv-ca-nhan-vpbank.com nang-cap-vip-vpbank.com dc-nang-cap-vpbank.com | Website giả mạo Ngân hàng TMCP Việt Nam Thịnh Vượng |
| 2 | nanghanmucthevib.com | Website giả mạo Ngân hàng TMCP Quốc tế Việt Nam |
| 3 | tikivn.in dadw22.com zla963.top | Website giả mạo sàn TMĐT Tiki |
| 4 | shvnb.kfcvnpay.com | Website giả mạo Ngân hàng TMCP Sài Gòn - Hà Nội |
| 5 | vayagribank.online vayvontheoluong.site | Website giả mạo Ngân hàng nông nghiệp và phát triển nông thôn |
| 6 | shoplazada.net | Website giả mạo sàn TMĐT Lazada |
| 7 | quydautuvingroup.com vingroupinvest.com | Website giả mạo Tập đoàn Vingroup |

 

Chi tiết báo cáo xem tại: 
[2024_CBT02.pdf](https://khonggianmang.vn/uploads/2024_CBT_02_f10b10dc88.pdf)

large_Tuần 2.jpg

medium_Tuần 2.jpg

small_Tuần 2.jpg

thumbnail_Tuần 2.jpg

Tuần 2.jpg

Cảnh báo an toàn thông tin Tuần 02/2024

### **1. TIN TỨC AN TOÀN THÔNG TIN**
- **Cảnh báo:** Lỗ hổng nghiêm trọng khiến máy chủ Jenkins đối mặt với nguy cơ bị tấn công thực thi mã từ xa.
 
- **Chiến dịch tấn công APT:** Microsoft đưa ra cảnh báo về việc mở rộng phạm vi tấn công lừa đảo lên các tổ chức toàn cầu của nhóm APT29.

 

### **2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **616** lỗ hổng, trong đó có **170** lỗ hổng mức Cao, **211** lỗ hổng mức Trung bình, **16** lỗ hổng mức Thấp và **219** lỗ hổng chưa đánh giá. Trong đó có ít nhất **145** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

_**Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:**_
- Linux: CVE-2023-6531, CVE-2024-0775,…
- Google: CVE-2024-0804, CVE-2024-0805,…
- Apple: CVE-2024-23203, CVE-2024-23204,…
- Wordpress: CVE-2022-40700, CVE-2023-7063,…
- Gitlab: CVE-2024-0402, CVE-2023-5933,…
- Microsoft: CVE-2024-21326, CVE-2024-21385,…
- IBM: CVE-2023-45193, CVE-2023-47152,…

 

### **3. SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có **53.422** (**tăng** so với tuần trước **52.500**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**- Tấn công Web**: Trong tuần, có **50** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **42** trường hợp tấn công lừa đảo (Phishing), **08** trường hợp tấn công cài cắm mã độc.
 
 

**Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| differentia.ru: 20246 IP | hzmksreiuojy.ru: 285 IP |
|----------------------------|--------------------------|
| disorderstatus.ru: 9840 IP | xjpakmdcfuqe.biz: 478 IP |
| atomictrivia.ru 4724 IP | xjpakmdcfuqe.com: 349 IP |
| amnsreiuojy.ru: 1451 IP | xjpakmdcfuqe.ru: 304 IP |
| restlesz.su: 278 IP | xjpakmdcfuqe.in: 266 IP |

 

### **4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **281** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử… 



**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**
| **STT** | **Website lừa đảo** | **Ghi chú** |
|:-------:|:-------------------:|:------------------------------------------:|
| 1 | aeshopvn.com | Website giả mạo Công ty TNHH Aeon Việt Nam |
| 2 | ssvnshop.com | Website giả mạo sàn TMĐT Shopee |
| 3 | tiki98.vn | Website giả mạo sàn TMĐT Tiki |
| 4 | vingroup.fit | Website giả mạo Tập đoàn Vingroup |

 

Chi tiết báo cáo xem tại: 
[2024_CBT04.pdf](https://khonggianmang.vn/uploads/2024_CBT_04_0998a25e0d.pdf)

large_Tuần 4.jpg

medium_Tuần 4.jpg

small_Tuần 4.jpg

thumbnail_Tuần 4.jpg

Tuần 4.jpg

Cảnh báo an toàn thông tin Tuần 04/2024

### **TIN TỨC AN TOÀN THÔNG TIN**
- **Cảnh bảo:** Tài khoản Facebook Business có thể bị đánh cắp bởi mã độc NodeStealer.
 
- **Chiến dịch tấn công APT:** Nhóm Muddy Water của Iran thực hiện chiến dịch tấn công Spear-phishing nhằm vào Israel.


 

### **ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **720** lỗ hổng, trong đó có **77** lỗ hổng mức Cao, **67** lỗ hổng mức Trung bình, **10** lỗ hổng mức Thấp và **566** lỗ hổng chưa đánh giá. Trong đó có ít nhất **102** lỗ hổng cho phép chèn và thực thi mã lệnh.
 

Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:
- Linux: CVE-2023-1192, CVE-2023-1476,…
- Microsoft: CVE-2023-36022, CVE-2023-36029,…
- Cisco: CVE-2023-20042, CVE-2023-20086,…
- Wordpress: CVE-2023-5821, CVE-2023-46153,…
- Nvidia: CVE-2023-31016, CVE-2023-31017,…
- Google: CVE-2023-21356, CVE-2023-21361,…
- IBM: CVE-2023-35896, CVE-2023-40685,…





 

### **SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có **55.896** (**tăng** so với tuần trước **54.241**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**- Tấn công Web**: Trong tuần, có **1222** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **1214** trường hợp tấn công lừa đảo (Phishing), **08** trường hợp tấn công cài cắm mã độc.

**- Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| differentia.ru: 17341 IP | hzmksreiuojy.ru: 251 IP |
|----------------------------|--------------------------|
| disorderstatus.ru: 4610 IP | xjpakmdcfuqe.biz: 279 IP |
| atomictrivia.ru: 2213 IP | xjpakmdcfuqe.com: 98 IP |
| amnsreiuojy.ru: 887 IP | xjpakmdcfuqe.ru: 53 IP |
| restlesz.su: 305 IP | xjpakmdcfuqe.in: 28 IP |



 

### **TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **358** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử… 



Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.
| **STT** | **Website lừa đảo** | **Ghi chú** |
|:-------:|:--------------------------------------------------------------------------------:|:--------------------------------------------------------:|
| 1 | tah2a.com tiki5688.shop kdsf11.com | Website giả mạo sàn TMĐT Tiki |
| 2 | vn55866shp.com spohopenm.org vn66733shop.com shopee.vntheme.com | Website giả mạo sàn TMĐT Shopee |
| 3 | lottefinancev.cc | Website giả mạo LOTTE |
| 4 | travelokaaaa.com | Website giả mạo Traveloka |
| 5 | vib-tindung.click | Website giả mạo Ngân hàng TMCP Quốc tế Việt Nam |
| 6 | suppliersbhx.com | Website giả mạo Công ty cổ phần Thương mại Bách Hóa Xanh |

 

Chi tiết báo cáo xem tại: 
[2023_CBT44.pdf](https://khonggianmang.vn/uploads/2023_CBT_44_31ebe57ffa.pdf)

medium_IMG_7926.PNG

small_IMG_7926.PNG

thumbnail_IMG_7926.PNG

IMG_7926.PNG

Cảnh báo an toàn thông tin tuần 44/2023

Ngày 14/12/2022, Microsoft đã phát hành danh sách bản vá tháng 12 với **52** lỗ hổng bảo mật trong các sản phẩm.

**Một số lỗ hổng mức Cao cần chú ý:**



- Lỗ hổng bảo mật **CVE-2022-44698** trong Windows SmartScreen cho phép đối tượng tấn công thực hiện tấn công vượt qua cơ chế bảo mật. Lỗ hổng này đang bị khai thác trong thực tế. 



- Lỗ hổng bảo mật **CVE-2022-41076** trong PowerShell cho phép đối tượng tấn công thực thi mã từ xa. Lỗ hổng này ảnh hưởng đến nhiều sản phẩm như: Microsoft Exchange Server, Skype for Business Server,… 



- Lỗ hổng bảo mật **CVE-2022-44713** trong Microsoft Outlook for Mac cho phép đối tượng tấn công thực hiện tấn công giả mạo (spoofing). 



- Lỗ hổng bảo mật **CVE-2022-44699** trong Azure Network Watcher Agent cho phép đối tượng tấn công thực hiện tấn công vượt qua cơ chế bảo mật. 



- Lỗ hổng **CVE-2022-44710** trong DirectX Graphics Kernel cho phép đối tượng tấn công thực hiện nâng cao đặc quyền. Lỗ hổng này đã có mã khai thác được công bố rộng rãi trên Internet. 



- 02 lỗ hổng bảo mật **CVE-2022-44690**, **CVE-2022-44693** trong Microsoft SharePoint Server cho phép đối tượng tấn công thực thi mã từ xa. 



- 02 lỗ hổng bảo mật **CVE-2022-44678**, **CVE-2022-44681** trong Windows Print Spooler cho phép đối tượng tấn công thực hiện nâng cao đặc quyền. 



- 02 lỗ hổng bảo mật **CVE-2022-44708**, **CVE-2022-41115** trong Microsoft Edge (Chromium-based) cho phép đối tượng tấn công thực hiện nâng cao đặc quyền. 



- Lỗ hổng bảo mật **CVE-2022-44673** trong Windows Client Server Run-Time Subsystem (CSRSS) cho phép đối tượng tấn công thực hiện nâng cao đặc quyền.



Chi tiết cảnh báo xem tại 
[2022_Microsoftthang12.2022.pdf](https://khonggianmang.vn/uploads/2022_Microsoftthang12_2022_4ce3fa4f75.pdf)

Lỗ hổng bảo mật có mức ảnh hưởng cao và nghiêm trọng trong các sản phẩm Microsoft công bố tháng 12/2022

**1. TIN TỨC AN TOÀN THÔNG TIN**

 

**- Chiến dịch tấn công APT:** Nhóm APT PlushDaemon nhằm vào nhà cung cấp VPN của Hàn Quốc trong chiến dịch tấn công gây ảnh hưởng tới chuỗi cung ứng.

**- Cảnh báo:** Phát hiện kỹ thuật Syncjacking cho phép đối tượng tấn công chiếm quyền điều khiển thiết bị của người dùng thông qua tiện ích mở rộng của Chrome.

 

_**Chiến dịch tấn công APT: Nhóm APT PlushDaemon nhằm vào nhà cung cấp VPN của Hàn Quốc trong chiến dịch tấn công gây ảnh hưởng tới chuỗi cung ứng**_

![APT5.jpeg](https://khonggianmang.vn/uploads/APT_5_93582c2eb5.jpeg)

 

Gần đây, một cơ quan bảo mật đã phát hiện và ghi nhận hai chiến dịch tấn công có tính phức tạp nhằm vào một nhóm APT mới được phát hiện có tên Silent Lynx. Nhóm APT này có liên kết tới Kazakhstan đã thực hiện chiến dịch tấn công nhằm vào các tổ chức chính phủ thuộc quốc gia láng giềng và Kyrgyzstan với chuỗi tấn công đa giai đoạn để thực hiện mục tiêu thu thập thông tin về tình hình kinh tế, ngoại giao.

 

Cụ thể, Silent Lynx đã nhằm tới các tổ chức quan trọng như đại sứ quán, viện nghiên cứu và các tổ chức tài chính của các quốc gia thuộc chương trình SPECA. Trong chiến dịch mới nhất nhằm vào Kyrgyzstan, nhóm này đã sử dụng kỹ thuật spear-phishing để xâm nhập đầu vào, sử dụng các văn bản mồi như có nội dung liên quan tới sự kiện của Liên Hợp Quốc và các văn bản về đãi ngộ cho nhân viên được phát hành bởi chính phủ.

 

Trong các email này có chứa file .RAR độc hại có chứa reverse shell viết bằng Golang cùng với văn bản Word dùng làm ngụy trang hoặc một file ISO độc hại có chứa loader C++ cùng với file PDF ngụy trang.

 

Ngoài spear-phishing, nhóm APT này cũng sử dụng kết hợp nhiều kỹ thuật, công cụ khác trong các giai đoạn của chiến dịch, cụ thể là như sau:

**•**	Sử dụng loader độc hại: Loader đứa chưa trong file C++ cho phép đối tượng tấn công thực thi mã từ xa và triển khai backdoor trên hệ thống người dùng.

**•**	Sử dụng bot PowerShell: Script PowerShell sau khi được thực thi sẽ kết nối tới máy chủ C&C dựa trên bot của Telegram, cho phép đối tượng tấn công thực thi các câu lệnh hệ thống từ xa và trích xuất dữ liệu nhạy cảm của người dùng.

**•**	Mã độc Golang: Cụ thể là reverse shell có chức năng thiết lập kết nối duy trì sử dụng khóa registry của Windows Run, sau đó sử dụng câu lệnh “curl” để tải xuống các payload bổ sung từ domain độc hại.

 

Mục tiêu chính của Silent Lynx là xâm nhập, thu thập thông tin của các tổ chức chính phủ của các quốc tại Trung Á nhằm mục đích do thám. Được biết, nhóm này phụ thuộc vào bot của Telegram để triển khai C&C và trích xuất dữ liệu được thu thập. Ngoài ra, cơ quan bảo mật phát hiện nhóm này cũng đã chỉ một số điểm chung của nhóm với YoroTrooper về việc sử dụng công cụ PowerShell và mục tiêu thực hiện chiến dịch tấn công.

 

**Danh sách một số IoC được ghi nhận**

![Danh sách IoC 5.png](https://khonggianmang.vn/uploads/Danh_sach_Io_C_5_bec3e87127.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**_Cảnh báo: Phát hiện kỹ thuật Syncjacking cho phép đối tượng tấn công chiếm quyền điều khiển thiết bị của người dùng thông qua tiện ích mở rộng của Chrome_**

![Cảnh báo Chrome.jpeg](https://khonggianmang.vn/uploads/Canh_bao_Chrome_2df92b632b.jpeg)

 

Các chuyên gia bảo mật đã ghi nhận một kỹ thuật tấn công mới có tên “Browser Syncjacking” cho phép đối tượng tấn công sử dụng tiện ích mở rộng của Chrome để chiếm quyền điều khiển thiết bị. Kỹ thuật tấn công này được phát hiện bởi SquareX và có nhiều bước thực hiện, trong đó gồm có: chiếm dụng profile của Chrome, chiếm quyền điều khiển trình duyệt và có thể dẫn tới chiếm dụng thiết bị hoàn toàn.

 

Điểm đặc biệt của kỹ thuật này là khả năng ẩn mình mặc cho nó có nhiều giai đoạn, chỉ yêu cầu quyền hạn tối thiểu và không cần người dùng phải tương tác gì khác ngoài việc cài đặt tiện ích độc hại. Chuỗi tấn công của kỹ thuật bắt đầu bằng việc tạo một domain Google Workspace độc hại có chứa nhiều profile người dùng với các chức năng bảo mật như MFA bị tắt. Domain này sẽ được dùng để tạo một profile khác trên thiết bị của người dùng bị tấn công.

 

Sau khi lừa người dùng cài đặt tiện ích mở rộng, đối tượng tấn công sẽ đăng nhập người dùng vào một trong các profile này trên tab trình duyệt chạy ẩn phía sau; cùng lúc đó, tiện ích sẽ mở lên một trang hỗ trợ của Google, và với quyền Đọc/Ghi của nó, tiện ích sẽ nhúng nội dung vào trang, yêu cầu người dùng bật chức năng đồng bộ hóa trên Chrome.

 

Sau khi thực hiện tác vụ trên, mọi dữ liệu lưu trên trình duyệt sẽ bị phơi bày cho đối tượng tấn công truy cập và sẽ chiếm quyền điều khiển trình duyệt của người dùng thông qua profile được cài cắm trước đó.

 

Kỹ thuật tấn công này nghiêm trọng ở việc đối tượng tấn công có thể khai thác Native Messaging Api của Chrome để thiết lập một kênh truyền thông tin trực tiếp giữa tiện ích độc hại và hệ điều hành của người dùng. Qua đó, đối tượng có thể duyệt thư mục, chỉnh sửa file, cài mã độc, thực thi mã từ xa, lưu lại dữ liệu nhập vào bởi người dùng, trích xuất dữ liệu và thậm chí là kích hoạt webcam, mic trên thiết bị.

 

Theo ý kiến của chuyên gia bảo mật, khả năng ẩn mình của kỹ thuật này khiến cho người dùng thông thường khó có thể phát hiện hành vi độc hại đang diễn ra trên thiết bị của mình do nó không có bất kì dấu hiệu trực tiếp nào.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

 

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **762** lỗ hổng, trong đó có **249** lỗ hổng mức Cao, **361** lỗ hổng mức Trung bình, **27** lỗ hổng mức Thấp và **125** lỗ hổng chưa đánh giá. Trong đó có ít nhất 116 lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **Apple, Mitel, và Fortinet**, cụ thể là như sau:

 

**•	CVE-2025-24085 (Điểm CVSS: 7.8 – Cao):** Lỗ hổng tồn tại trên các sản phẩm của hãng Apple sử dụng hệ điều hành iOS, iPadOS, macOS, watchOS và tvOS cho phép đối tượng tấn công thực hiện tấn công leo thang đặc quyền. Hiện lỗ hổng chưa có mã khai thác và đang bị khai thác trong thực tế.

 

**•	CVE-2024-41710 (Điểm CVSS: 6.8 – Cao):** Lỗ hổng tồn tại trên các thiết bị SIP của hãng Mitel cho phép đối tượng tấn công với quyền quản trị có thể thực hiện tấn công argument injection để dẫn tới việc thực thi mã từ xa. Hiện lỗ hổng chưa có mã khai thác và đang bị khai thác trong thực tế.

 

**•	CVE-2024-55591 (Điểm CVSS: 9.6 – Nghiêm trọng):** Lỗ hổng tồn tại trên Fortinet FortiOS và FortiProxy cho phép đối tượng tấn công thực hiện tấn công leo thang đặc quyền để đạt được quyền super-admin thông qua các yêu cầu độc hại gửi tới module Node.js websocket. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**

![Bảng CBT5-01.png](https://khonggianmang.vn/uploads/Bang_CBT_5_01_7d05d683b0.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

 

**Tấn công DRDoS:** Trong tuần có **31.525** (**giảm** so với tuần trước **35.155**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **18** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **18** trường hợp tấn công lừa đảo (Phishing), **0** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**

![Bảng CBT5-02.png](https://khonggianmang.vn/uploads/Bang_CBT_5_02_f5c556b1de.png)


 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần, hệ thống của Cục An toàn thông tin đã ghi nhận **1.525** phản ánh trường hợp lừa đảo trực tuyến do người dùng Internet Việt Nam gửi về. Trong đó:

 

**- 54** trường hợp phản ánh được tiếp nhận thông qua hệ thống Trang cảnh báo an toàn thông tin Việt Nam (canhbao.khonggianmang.vn).

**- 1.471** trường hợp phản ánh cuộc gọi, tin nhắn lừa đảo thông qua tổng đài 156/5656.

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_

![Bảng CBT5-03.png](https://khonggianmang.vn/uploads/Bang_CBT_5_03_cdaf51d4c8.png)

 

Chi tiết báo cáo xem tại: 
[2025_CBT05.pdf](https://khonggianmang.vn/uploads/2025_CBT_05_d58966b4b4.pdf)

large_Tuần 5-min.jpg

medium_Tuần 5-min.jpg

small_Tuần 5-min.jpg

thumbnail_Tuần 5-min.jpg

Tuần 5-min.jpg

Cảnh báo an toàn thông tin Tuần 05/2025

_**Trong quá trình giám sát an toàn thông tin trên không gian mạng, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC), thuộc Cục An toàn thông tin, Bộ Thông tin và Truyền thông, đã phát hiện và ghi nhận các thông tin liên quan đến chiến dịch tấn công mạng được thực hiện bởi nhóm tấn công APT MirrorFace. Mục tiêu của nhóm MirrorFace là các tổ chức chính trị, các viện nghiên cứu, nhà sản xuất.**_

 

![37e22d7b-6696-42d2-ab3a-b3dbea70a14aTấn công có chủ đích vào các cơ sở trọng yếu gia tăng trong những tháng cuối năm.jpg](https://khonggianmang.vn/uploads/37e22d7b_6696_42d2_ab3a_b3dbea70a14a_Tan_cong_co_chu_dich_vao_cac_co_so_trong_yeu_gia_tang_trong_nhung_thang_cuoi_nam_1b1ac4b198.jpg)

 

Chiến dịch tấn công trên không gian mạng của nhóm tấn công MirrorFace nhằm vào các tổ chức tài chính, viện nghiện cứu và nhà sản xuất. Nhóm đã thực hiện khai thác các lỗ hổng an toàn thông tin trên sản phẩm Array AG và FortiGate nhằm phát tán mã độc NOOPDOOR.

 

Mã độc NOOPDOOR là một shellcode được gài vào ứng dụng hợp pháp trên hệ thống và có hai biến thể dưới dạng file .XML và .DLL. Cả hai biến thể này chỉ khác về bước xâm nhập và giống nhau về chức năng, cho phép nhóm MirrorFace thiết lập kết nối thông qua cổng 443, cổng 47000 để tải xuống file, thực thi câu lệnh,…

 

![atp-15325103631061622353086-8-0-400-698-crop-15330028631531077681840.webp](https://khonggianmang.vn/uploads/atp_15325103631061622353086_8_0_400_698_crop_15330028631531077681840_7121528752.webp)

 

Sau khi phát tán mã độc trong chiến dịch tấn công, nhóm này thực hiện các hành trái phép như: truy cập vào nơi lưu trữ thông tin xác thực của hệ thống mạng, phát tán mã độc tới các thiết bị khác trong mạng cục bộ; thực hiện các hành vi theo dõi, trích xuất thông tin người dùng. Ngoài ra, MirrorFace còn sử dụng công cụ GO Simple Tunnel trong chiến dịch. 

 

Để tránh bị phát hiện, nhóm đối tượng đã khai thác MSBuild để thực thi file .XML chứa mã độc; ghi đè dữ liệu độc hại lên registry của file; chỉnh sửa timestamp; thêm luật vào tường lửa hệ thống để cho phép mã độc được kết nối tới các cổng nhất định; ẩn đi các dịch vụ được kích hoạt; xóa đi ghi chép của Windows Event; xóa file mã độc sau khi khai thác. Chiến dịch sử dụng kỹ thuật DLL side-loading và khai thác MSBuild để thực thi mã độc trên hệ thống.

 

**Dưới đây là một số IoC liên quan đến các tấn công gần đây**
![Screenshot 2024-08-12 090758.png](https://khonggianmang.vn/uploads/Screenshot_2024_08_12_090758_8cec3fd4e4.png)
_Danh sách IoC được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

![cybersecurity-looks-to-the-cloud-to-protect-data-at-sea.tmb-1920x690.webp](https://khonggianmang.vn/uploads/cybersecurity_looks_to_the_cloud_to_protect_data_at_sea_tmb_1920x690_a562f351b8.webp)

 

Nhằm đảm bảo an toàn thông tin cho hệ thống thông tin của Quý Đơn vị, góp phần bảo đảm an toàn cho không gian mạng Việt Nam, **Cục An toàn thông tin khuyến nghị** Quý Đơn vị thực hiện:

 

**1.** Kiểm tra, rà soát hệ thống thông tin đang sử dụng có khả năng bị ảnh hưởng bởi chiến dịch tấn công trên. Chủ động theo dõi các thông tin liên quan đến đến chiến dịch nhằm thực hiện ngăn chặn nhằm tránh nguy cơ bị tấn công. 

 

**2.** Tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu bị khai thác, tấn công mạng; đồng thời thường xuyên theo dõi kênh cảnh báo của các cơ quan chức năng và các tổ chức lớn về an toàn thông tin để phát hiện kịp thời các nguy cơ tấn công mạng.

 

**3.** Trong trường hợp cần thiết có thể liên hệ đầu mối hỗ trợ của Cục An toàn thông tin: Trung tâm Giám sát an toàn không gian mạng quốc gia, điện thoại 02432091616, thư điện tử: ncsc@ais.gov.vn.

 

**Chi tiết báo cáo xem tại**
[1.20240801_APTMIRRORFACE.PDF](https://khonggianmang.vn/uploads/1_20240801_APTMIRRORFACE_8b52ea9713.PDF)

large_MirrorFace.jpg

medium_MirrorFace.jpg

small_MirrorFace.jpg

thumbnail_MirrorFace.jpg

MirrorFace.jpg

Cảnh báo chiến dịch tấn công của nhóm APT “MirrorFace”

### **TIN CẢNH BÁO**
- Google phát hành bản cập nhật khẩn cấp cho Chrome để vá lỗ hổng bảo mật Zero-day

- Nhóm tấn công Trung Quốc nhằm mục tiêu vào Ukraine


### **ĐIỂM YẾU, LỖ HỔNG**

Một số lỗ hổng trên các sản phẩm/dịch vụ phổ biến tại Việt Nam:
- Apple: CVE-2022-22593, CVE-2022-22613,…
- Linux: CVE-2022-0742, CVE-2022-1011,…
- IBM: CVE-2021-39046, CVE-2021-29899,…
- Totolink: CVE-2022-26188, CVE-2022-26187,…
- Netgear: CVE-2022-24655, CVE-2022-27946,…
- VMware: CVE-2022-22952, CVE-2022-22951
- Adobe: CVE-2022-24091, CVE-2022-24092


### **SỐ LIỆU, THỐNG KÊ**

**- Tấn công DRDoS**: Trong tuần có 83,255 (tăng so với tuần trước 81,152) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS

**- Tấn công Web**: Trong tuần, có 129 trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: 82 trường hợp tấn công lừa đảo (Phishing), 47 trường hợp tấn công cài cắm mã độc.

**- Danh sách IP/tên miền độc hại có nhiều kết nối từ Việt Nam**
| 			differentia.ru: 			 26,354 IP 		 	| 			xjpakmdcfuqe.ru: 			619 IP 		 	|
|---	|---	|
| 			disorderstatus.ru: 			12,412 IP 		 	| 			xjpakmdcfuqe.in: 			500 IP 		 	|
| 			atomictrivia.ru: 			 5,921 IP 		 	| 			amnsreiuojy.ru: 			263 IP 		 	|
| 			xjpakmdcfuqe.biz: 			1,232 IP 		 	| 			restlesz.su: 			205 IP 		 	|
| 			xjpakmdcfuqe.com: 			848 IP 			 			 		 	| 			hzmksreiuojy.ru: 			120 IP 		 	|



### **TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**
Trong tuần đã có 136 phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. 

Dưới đây là một số trường hợp trang web giả mạo, người dùng cần nâng cao cảnh giác **KHÔNG TRUY CẬP** vào những website này


| 			TT 		 	| 			Website 			lừa đảo 		 	| 			Ghi 			chú 		 	|
|---	|---	|---	|
| 			1 		 	| 			﻿hxxps://nhantientructuyennganhangquocte.weebly.com 		 	| 			Giả 			mạo website 			Western Union 		 	|
| 			2 		 	| 			﻿ 			hxxp://vcbdaiebink.com 			 hxxp://vcbdigbinkain.com 			 hxxp://vcbdigbinkdn.com 			 hxxp://vcbdigbinkid.com 			 hxxp://vcbdigbinkisd.com 			 hxxp://vcbdigbinklt.com 			 hxxp://vcbdiglabink.com 			 hxxp://vcbdigvlubink.com 			 hxxp://vcbdiglkibink.com 			 hxxp://vcbdigbinkad.com 		 	| 			Giả 			mạo website Ngân Hàng TMCP Ngoại thương Việt Nam 		 	|
| 			3 		 	|hxxps://shoppeg.com | 			Giả 			mạo sàn TMĐT Shopee 		 	|


 


Chi tiết báo cáo xem tại: 
[220330_CBT12.pdf](https://khonggianmang.vn/uploads/220330_CBT_12_f6571183f3.pdf)

large_12.jpg

12.jpg

Cảnh báo an toàn thông tin tuần 12

Tin liên quan