Ngày **12/11/2024**, Microsoft đã phát hành danh sách bản vá tháng **11** với tổng **92** lỗ hổng an toàn thông tin gồm có **89** lỗ hổng an toàn thông tin trong các sản phẩm của hãng Microsoft và **03** lỗ hổng an toàn thông tin trong các sản phẩm thuộc bên thứ ba có ảnh hưởng tới Microsoft, trong đó có **04** lỗ hổng mức Nghiêm trọng và **84** lỗ hổng mức độ Cao. 

 

**Bản phát hành tháng này đặc biệt đáng chú ý vào các lỗ hổng an toàn thông tin có mức ảnh hưởng cao và nghiêm trọng sau:**

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-43639** trong Windows Kerberos cho phép đối tượng tấn công thực thi mã từ xa.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-43498** trong .NET và Visual Studio cho phép đối tượng tấn công thực thi mã từ xa. 

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-49039** trong Windows Task Scheduler cho phép đối tượng tấn công thực hiện leo thang đặc quyền. Lỗ hổng hiện đang bị khai thác trong thực tế.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-43625** trong Microsoft Windows VMSwitch cho phép đối tượng tấn công thực hiện leo thang đặc quyền.
	
 

**- 05** lỗ hổng an toàn thông tin **CVE-2024-49026, CVE-2024-49027, CVE-2024-49028, CVE-2024-49029, CVE-2024-49030** trong Microsoft Excel cho phép đối tượng tấn công thực thi mã từ xa.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-49019** trong Active Directory Certificate Services phép đối tượng tấn công thực hiện leo thang đặc quyền. Thông tin chi tiết về lỗ hổng đã được công bố công khai.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-49040** trong Microsoft Exchange Server cho phép đối tượng tấn công thực hiện tấn công giả mạo (spoofing). Thông tin chi tiết về lỗ hổng đã được công bố công khai.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-43451** trong Windows gây lộ lọt mã băm NTLM, cho phép đối tượng tấn công thực hiện tấn công giả mạo (spoofing). Lỗ hổng hiện đang bị khai thác trong thực tế.

 

Chi tiết cảnh báo xem tại: 
[BC_Microsoft_Thang11.pdf](https://khonggianmang.vn/uploads/BC_Microsoft_Thang11_dfa86db02c.pdf)

large_Thumbnail Lỗ hổng Microsoft .jpg

medium_Thumbnail Lỗ hổng Microsoft .jpg

small_Thumbnail Lỗ hổng Microsoft .jpg

thumbnail_Thumbnail Lỗ hổng Microsoft .jpg

Thumbnail Lỗ hổng Microsoft .jpg

Lỗ hổng bảo mật có mức ảnh hưởng cao và nghiêm trọng trong các sản phẩm Microsoft công bố tháng 11/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

 

**- Chiến dịch tấn công APT:** Chiến dịch “VEILDrive” lợi dụng các dịch vụ của Microsoft để phát tán mã độc và né tránh bị phát hiện.

**- Cảnh báo:** Synology phát hành bản vá cho lỗi RCE nghiêm trọng “không chạm” đe dọa hàng triệu thiết bị NAS.

 

_**Chiến dịch tấn công APT: Chiến dịch “VEILDrive” lợi dụng các dịch vụ của Microsoft để phát tán mã độc và né tránh bị phát hiện**_

![APT 45.jpeg](https://khonggianmang.vn/uploads/APT_45_8e418840fc.jpeg)
 

Các chuyên gia bảo mật đã phát hiện một chiến dịch tấn công có tên “VEILDrive” lợi dụng các dịch vụ của Microsoft như Teams, SharePoint, Quick Assist, và OneDrive nhằm phát tán mã độc và thực hiện các cuộc tấn công spear-phishing. Việc này giúp nhóm tấn công tránh bị phát hiện bởi các hệ thống giám sát thông thường.

 

Chiến dịch được ghi nhận lần đầu vào tháng 9/2024 khi các chuyên gia ứng cứu sự cố an toàn thông tin nhằm vào một tổ chức hạ tầng trọng yếu tại Mỹ, được mã hóa danh tính là “Org C.” Chiến dịch được cho là bắt đầu từ tháng trước, với mục tiêu chính là phát tán mã độc dựa trên Java và sử dụng OneDrive làm nền tảng C&C.

 

Nhóm tấn công khởi đầu chiến dịch bằng cách gửi tin nhắn trên Microsoft Teams tới bốn nhân viên của Org C, giả danh nhân viên IT và yêu cầu truy cập từ xa vào thiết bị của họ thông qua công cụ Quick Assist.

 

Điểm đặc biệt là các tin nhắn này không được gửi từ một tài khoản mới tạo mà từ tài khoản của một tổ chức khác đã bị khai thác trước đó, gọi là Org A. Sau khi có được sự tin tưởng từ các nhân viên, nhóm tấn công tiếp tục chia sẻ một đường dẫn tải xuống trên SharePoint cho tệp ZIP “Client_v8.16L.zip” được lưu trữ trên hạ tầng của một tổ chức thứ ba, gọi là Org B. Bên trong tệp ZIP này có chứa LiteManager, một công cụ truy cập từ xa, cùng các tệp khác. Sau khi truy cập thành công, kẻ tấn công sử dụng quyền truy cập để thiết lập lịch tác vụ nhằm thực thi LiteManager định kỳ.

 

Sau đó, đối tượng tấn công gửi cho người dùng một đường dẫn tải xuống trên SharePoint, dẫn tới tệp “Client_v8.16L.zip” được lưu trên hệ thống của một tổ chức khác. Bên trong tệp này chứa nhiều tệp tin, bao gồm LiteManager, một công cụ truy cập từ xa. Sau khi tải xuống, đối tượng tấn công thiết lập lịch trình tự động để LiteManager có thể chạy định kỳ trên hệ thống, đảm bảo duy trì quyền truy cập từ xa mà không cần sự can thiệp thủ công.

 

Tiếp đó, một tệp ZIP khác có tên “Cliento.zip” cũng được tải xuống với phương thức tương tự, chứa mã độc dạng Java Archive (.JAR) cùng bộ công cụ Java Development Kit (JDK) để kích hoạt mã độc này. Mã độc sử dụng tài khoản OneDrive do đối tượng kiểm soát, đăng nhập bằng thông tin xác thực Entra ID được mã hóa sẵn, và dùng OneDrive làm C&C để tải và thực thi các lệnh PowerShell trên hệ thống bị nhiễm thông qua Microsoft Graph API. Một phương án dự phòng cũng được tích hợp, với một socket HTTPS kết nối đến máy ảo Azure từ xa để nhận và thực thi lệnh PowerShell.

 

Được biết, đây không phải là lần đầu Quick Assist bị khai thác cho mục đích tấn công. Trước đó, vào tháng 5/2024, Microsoft đã cảnh báo về nhóm Storm-1811, giả danh nhân viên hỗ trợ kỹ thuật qua Quick Assist để phát tán mã độc tống tiền Black Basta. Thông tin về chiến dịch VEILDrive được công bố sau khi Windows thông báo phát hiện các cuộc tấn công lợi dụng dịch vụ lưu trữ tệp như SharePoint, OneDrive, và Dropbox làm phương thức né tránh các hệ thống phát hiện thông thường.

 

**Danh sách một số IoC được ghi nhận**

![Danh sách IoC 45.png](https://khonggianmang.vn/uploads/Danh_sach_Io_C_45_f931c0ba3f.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Synology phát hành bản vá cho lỗi RCE nghiêm trọng “không chạm” đe dọa hàng triệu thiết bị NAS**_

![Cảnh báo Synology.jpeg](https://khonggianmang.vn/uploads/Canh_bao_Synology_e741d83121.jpeg)

 

Synology vừa phát hành bản vá cho lỗi nghiêm trọng gây ảnh hưởng tới DiskStation và BeePhotos, lỗ hổng này cho phép đối tượng tấn công khai thác thực thi mã từ xa.

 

Lỗ hổng này có mã CVE-2024-10443 và có tên RISK:STATION, đã được công khai tại cuộc thi Pwn2Own tại Ireland vào năm 2024. Cụ thể, đây là lỗ hổng "không chạm" và không yêu cầu xác thực, cho phép đối tượng tấn công chiếm quyền root trên thiết bị NAS mà không cần người dùng thực hiện bất kỳ thao tác nào. Điều này có nghĩa là đối tượng tấn công có thể xâm nhập vào hệ thống từ xa và phát tán mã độc mà không cần tương tác từ phía người dùng.

 

Các phiên bản bị ảnh hưởng bao gồm BeePhotos for BeeStation OS 1.0, BeePhotos for BeeStation OS 1.1, Synology Photos 1.6 cho DSM 7.2 và Synology Photos 1.7 cho DSM 7.2.

 

Hiện tại, Synology chưa công bố chi tiết kỹ thuật về lỗ hổng này để đảm bảo người dùng có thời gian cập nhật bản vá. Ước tính có khoảng 1-2 triệu thiết bị Synology đang nằm trong diện bị đe dọa trên không gian mạng.

 

Thông báo của Synology được đưa ra trong bối cảnh QNAP cũng đang xử lý ba lỗ hổng nghiêm trọng ảnh hưởng đến các dịch vụ QuRouter, SMB Service, và HBS 3 Hybrid Backup Sync. Ba lỗ hổng này đã xuất hiện tại cuộc thi Pwn2Own và có mã như sau:

 

**•**	CVE-2024-50389 – Đã được vá trong QuRouter phiên bản mới hơn 2.4.5.032

**•**	CVE-2024-50387 – Đã được vá trong SMB Service phiên bản 4.15.002 và các phiên bản mới hơn

**•**	CVE-2024-50388 – Đã được vá trong HBS 3 Hybrid Backup Sync phiên bản mới hơn 25.1.1.673

 

Mặc dù chưa có ghi nhận về việc các lỗ hổng trên bị khai thác trong thực tế, người dùng vẫn nên cập nhật bản vá ngay khi có thể. Trong bối cảnh các cuộc tấn công nhằm vào thiết bị NAS để phát tán mã độc ngày càng gia tăng, đặc biệt là ransomware, việc bảo mật thiết bị trở nên quan trọng hơn bao giờ hết.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **833** lỗ hổng, trong đó có **292** lỗ hổng mức Cao, **467** lỗ hổng mức Trung bình, **27** lỗ hổng mức Thấp và **47** lỗ hổng chưa đánh giá. Trong đó có ít nhất **120** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **Microsoft, Fortinet và X.org**, cụ thể là như sau:

 

**•	CVE-2024-38094 (Điểm CVSS: 7.2 – Cao):** Lỗ hổng tồn tại trên Microsoft SharePoint cho phép đối tượng tấn công thực thi mã từ xa. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công

 

**•	CVE-2024-47575 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên FortiManager cho phép đối tượng thực thi mã từ xa. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công. 

 

**•	CVE-2024- 9632 (Điểm CVSS: 7.8 – Cao):** Lỗ hổng tồn tại trên máy chủ X.org cho phép đối tượng tấn công với quyền truy cập nội bộ vào máy chủ có thể khai thác lỗi buffer overflow, qua đó cho phép đối tượng thực hiện tấn công từ chối dịch vụ, leo thang đặc quyền. Hiện lỗ hổng chưa có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**

![Bảng CBT45-01.png](https://khonggianmang.vn/uploads/Bang_CBT_45_01_504ca2de3f.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

 

**Tấn công DRDoS:** Trong tuần có **32.599** (**giảm** so với tuần trước **32.883**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **33** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **33** trường hợp tấn công lừa đảo (Phishing), **0** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**

![Bảng CBT45-02.png](https://khonggianmang.vn/uploads/Bang_CBT_45_02_0503c16478.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần, hệ thống của Cục An toàn thông tin đã ghi nhận **5.213** phản ánh trường hợp lừa đảo trực tuyến do người dùng Internet Việt Nam gửi về. Trong đó:

 

**- 258** trường hợp phản ánh được tiếp nhận thông qua hệ thống Trang cảnh báo an toàn thông tin Việt Nam (canhbao.khonggianmang.vn).

**- 4.955** trường hợp phản ánh cuộc gọi, tin nhắn lừa đảo thông qua tổng đài 156/5656

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_

![Bảng CBT45-03.png](https://khonggianmang.vn/uploads/Bang_CBT_45_03_987de77189.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT45.pdf](https://khonggianmang.vn/uploads/2024_CBT_45_94e8b27e5a.pdf)

large_Tuần 45.jpg

medium_Tuần 45.jpg

small_Tuần 45.jpg

thumbnail_Tuần 45.jpg

Tuần 45.jpg

Cảnh báo an toàn thông tin Tuần 45/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

 

**- Chiến dịch tấn công APT:** Nhóm APT Evasive Panda sử dụng bộ công cụ CloudScout để đánh cắp cookie phiên đăng nhập từ các dịch vụ đám mây.

**- Cảnh báo:** Lỗ hổng RCE trên Microsoft Sharepoint bị khai thác để xâm nhập vào hệ thống mạng của doanh nghiệp.

 

_**Chiến dịch tấn công APT: Nhóm APT Evasive Panda sử dụng bộ công cụ CloudScout để đánh cắp cookie phiên đăng nhập từ các dịch vụ đám mây**_

![APT 44.jpeg](https://khonggianmang.vn/uploads/APT_41a7c015f0.jpeg)

 

Gần đây, các tổ chức chính phủ và tôn giáo tại Đài Loan đã trở thành mục tiêu của nhóm APT Evasive Panda có nguồn gốc từ Trung Quốc. Trong chiến dịch tấn công này, Evasive Panda sử dụng bộ công cụ hậu khai thác có tên CloudScout để xâm nhập và thu thập dữ liệu. Bộ công cụ này có khả năng thu thập dữ liệu từ nhiều dịch vụ đám mây khác nhau nhờ vào các cookie phiên web bị đánh cắp. Thông qua một plugin, CloudScout hoạt động đồng bộ với MgBot – bộ khung mã độc đặc trưng của nhóm Evasive Panda.

 

ESET phát hiện rằng mã độc dựa trên nền tảng .NET này đã xuất hiện từ khoảng tháng 05/2022 đến tháng 02/2023, với tổng cộng 10 module viết bằng C#, trong đó có ba module chuyên thu thập dữ liệu từ Google Drive, Gmail và Outlook. Evasive Panda, còn được biết đến với tên gọi Bronze Highland, Daggerfly, và StormBamboo, là một nhóm gián điệp mạng chuyên tấn công vào các tổ chức tại Đài Loan và Hồng Kông. Nhóm này cũng nổi tiếng với các cuộc tấn công watering hole và chuỗi cung ứng, đặc biệt nhắm vào cộng đồng người Tây Tạng.

 

Điểm nổi bật của nhóm APT Evasive Panda là khả năng triển khai nhiều phương thức tấn công, bao gồm khai thác các lỗ hổng bảo mật mới công bố và tấn công chuỗi cung ứng bằng DNS poisoning, nhằm xâm nhập vào mạng lưới nạn nhân và triển khai MgBot và Nightdoor.

 

Phân tích cho thấy, các module CloudScout được thiết kế để chiếm dụng các phiên đã được xác thực trên trình duyệt web bằng cách đánh cắp cookie và sử dụng chúng để truy cập trái phép vào Google Drive, Gmail và Outlook. Các module này được triển khai qua một plugin của MgBot viết bằng C++.

 

CloudScout được xây dựng dựa trên gói CommonUtilities, cung cấp các thư viện cần thiết ở cấp độ thấp cho các module hoạt động, bao gồm:

 

**•** HTTPAccess – hàm xử lý kết nối giao thức HTTP;

 

**•** ManagedCookie – hàm quản lý cookie cho các yêu cầu web giữa CloudScout và dịch vụ mục tiêu;

 

**•** Logger;

 

**•** SimpleJSON.

 

Dữ liệu được thu thập từ ba module – bao gồm danh sách thư mục thư, email (kèm theo tệp đính kèm), và các tệp có định dạng nhất định (.doc, .docx, .xls, .xlsx, .ppt, .pptx, .pdf và .txt) – sẽ được nén thành file ZIP trước khi trích xuất thông qua MgBot hoặc Nightdoor. Những cơ chế bảo mật mới do Google phát hành, như Device Bound Session Credentials (DBSC) và App-Bound Encryption, dự kiến sẽ làm cho các mã độc dựa trên cookie trở nên lỗi thời.

 

Thông tin về nhóm tấn công Evasive Panda và bộ công cụ CloudScout được công bố trong bối cảnh chính phủ Canada cáo buộc một nhóm tấn công có liên quan đến Trung Quốc đã tiến hành các hoạt động do thám kéo dài nhiều tháng trên nhiều lĩnh vực tại quốc gia này.

 

**Danh sách một số IoC được ghi nhận**

![Danh sách IoC.jpg](https://khonggianmang.vn/uploads/Danh_sach_Io_C_4144272ba2.jpg)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Lỗ hổng RCE trên Microsoft Sharepoint bị khai thác để xâm nhập vào hệ thống mạng của doanh nghiệp**_

![Cảnh báo Microsoft SharePoint.jpeg](https://khonggianmang.vn/uploads/Canh_bao_Microsoft_Share_Point_4bce350063.jpeg)

 

Gần đây, các chuyên gia bảo mật đã ghi nhận lỗ hổng RCE (thực thi mã từ xa) có mã CVE-2024-38094 bị khai thác trong thực tế nhằm đạt quyền truy cập tới hệ thống mạng doanh nghiệp.

 

Lỗ hổng CVE-2024-38094 (Điểm CVSS: 7.2) là một lỗ hổng RCE ảnh hưởng đến Microsoft SharePoint, nền tảng web phổ biến được sử dụng làm hệ thống mạng nội bộ, quản lý tài liệu và công cụ hợp tác có khả năng tích hợp với Microsoft 365. Microsoft đã phát hành bản vá vào ngày 9/7/2024 trong đợt cập nhật Patch Tuesday tháng 7. Lỗ hổng này cũng đã được CISA thêm vào danh sách KEV vào tuần trước, nhưng chi tiết về cách khai thác chưa được tiết lộ.

 

Theo phân tích, đã phát hiện đối tượng tấn công đã lợi dụng lỗ hổng này để truy cập trái phép vào máy chủ SharePoint và cài đặt webshell, sử dụng mã khai thác PoC đã được công khai.

 

Sau khi truy cập được vào hệ thống, đối tượng tấn công tiến hành leo thang đặc quyền bằng cách chiếm quyền của một tài khoản dịch vụ Microsoft Exchange có quyền quản trị domain, từ đó gia tăng khả năng kiểm soát. Tiếp đến, đối tượng cài đặt phần mềm diệt virus Huorong nhằm tạo xung đột, vô hiệu hóa các giải pháp bảo mật hiện có và giúp họ cài đặt Impacket để di chuyển ngang qua hệ thống. Với quyền kiểm soát, đối tượng sử dụng Mimikatz để thu thập thông tin xác thực, FRP để truy cập từ xa và thiết lập các tác vụ định kỳ để duy trì kết nối.

 

Trong bối cảnh lỗ hổng đang bị khai thác trong thực tế như trên, các quản trị viên hệ thống được khuyến nghị cập nhật SharePoint sớm nhất có thể để đảm bảo an toàn cho hệ thống.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **958** lỗ hổng, trong đó có **306** lỗ hổng mức Cao, **430** lỗ hổng mức Trung bình, **13** lỗ hổng mức Thấp và **209** lỗ hổng chưa đánh giá. Trong đó có ít nhất **153** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **FortiManager, Google Chrome và Labstack**, cụ thể là như sau:

 

**• CVE-2024-47575 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên FortiManager cho phép đối tượng thực thi mã từ xa. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công.

 

**•	CVE-2024-4947 (Điểm CVSS: 8.8 – Cao):** Lỗ hổng tồn tại trên Google Chrome là lỗ Type Confusion trên V8 cho phép đối tượng tấn công thực thi mã từ xa trong môi trường sandbox. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công.

 

**•	CVE-2022-40083 (Điểm CVSS: 9.6 – Nghiêm trọng):** Lỗ hổng tồn tại Labstack Echo là lỗi điều hướng mở cho phép đối tượng tấn công thực hiện SSRF lên hệ thống. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**

![Bảng CBT-01.png](https://khonggianmang.vn/uploads/Bang_CBT_01_39361ccaa1.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

 

**Tấn công DRDoS:** Trong tuần có **32.883** (**giảm** so với tuần trước **36.974**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **33** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **33** trường hợp tấn công lừa đảo (Phishing), **0** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**

![Bảng CBT-02.png](https://khonggianmang.vn/uploads/Bang_CBT_02_5d00f46ece.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần, hệ thống của Cục An toàn thông tin đã ghi nhận 2.784 phản ánh trường hợp lừa đảo trực tuyến do người dùng Internet Việt Nam gửi về. Trong đó:

 

**- 201** trường hợp phản ánh được tiếp nhận thông qua hệ thống Trang cảnh báo an toàn thông tin Việt Nam (canhbao.khonggianmang.vn).

**- 2.583** trường hợp phản ánh cuộc gọi, tin nhắn lừa đảo thông qua tổng đài 156/5656

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT-03.png](https://khonggianmang.vn/uploads/Bang_CBT_03_6776404e66.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT44.pdf](https://khonggianmang.vn/uploads/2024_CBT_44_c16e3ef30d.pdf)

large_Tuần 44.jpg

medium_Tuần 44.jpg

small_Tuần 44.jpg

thumbnail_Tuần 44.jpg

Tuần 44.jpg

Cảnh báo an toàn thông tin Tuần 44/2024

_**Thực hiện chức năng giám sát an toàn thông tin trên không gian mạng, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC), Cục An toàn thông tin, Bộ Thông tin và Truyền thông, đã phát hiện và ghi nhận mã khai thác của lỗ hổng CVE-2024-21216 cho phép đối tượng tấn công chiếm quyền kiểm soát Oracle WebLogic Server.**_

 

![Oracle 1.jpeg](https://khonggianmang.vn/uploads/Oracle_1_3deb5a988f.jpeg)

 

Lỗ hổng **CVE-2024-21216** (Điểm CVSS: 3.8 - Nghiêm trọng) cho phép đối tượng tấn công xác thực chiếm quyền kiểm soát Oracle WebLogic Server. 

 

Cụ thể, lỗ hổng tồn tại trên sản phẩm Oracle WebLogic Server của Oracle Fusion Middleware (thành phần: Core) bao gồm các phiên bản 12.2.1.4.0 và 14.1.1.0.0. Đối tượng tấn công có thể khai thác lỗ hổng nếu có thể tiếp cận vào hệ thống mạng, thông qua việc khai thác giao thức T4, IIOP.

 

![Oracle 2.jpeg](https://khonggianmang.vn/uploads/Oracle_2_e6e8fa1c43.jpeg)

 

Hiện lỗ hổng đã được khắc phục trong bản vá mới nhất của hãng, tuy nhiên trong trường hợp chưa thể cập nhật bản vá người dùng có thể chặn các giao thức bị khai thác bởi lỗ hổng để giảm khả năng bị ảnh hưởng bởi các nỗi lực khai thác.

 

![3825032.jpg](https://khonggianmang.vn/uploads/3825032_4e1d28fc73.jpg)

 

Nhằm đảm bảo an toàn thông tin cho hệ thống thông tin của Quý Đơn vị, góp phần bảo đảm an toàn cho không gian mạng Việt Nam, **Cục An toàn thông tin đề nghị** Quý Đơn vị thực hiện:

 

**1.** Kiểm tra, rà soát hệ thống thông tin đang sử dụng có khả năng bị ảnh hưởng bởi các chiến dịch tấn công trên. Chủ động theo dõi các thông tin liên quan đến đến các chiến dịch tấn công mạng nhằm thực hiện ngăn chặn sớm, tránh nguy cơ bị tấn công.

 

**2.** Tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu bị khai thác, tấn công mạng; đồng thời thường xuyên theo dõi kênh cảnh báo của các cơ quan chức năng và các tổ chức lớn về an toàn thông tin để phát hiện kịp thời các nguy cơ tấn công mạng.

 

**3.** Gửi báo cáo kết quả rà soát hệ thống về Cục An toàn thông tin chậm nhất trước ngày 18/9/2024. Trong trường hợp cần thiết có thể liên hệ đầu mối hỗ trợ của Cục An toàn thông tin: Trung tâm Giám sát an toàn không gian mạng quốc gia, điện thoại 02432091616, thư điện tử: ncsc@ais.gov.vn.

 

Báo cáo chi tiết xem tại: 
[2024-10-24-09-06-33-01.PDF](https://khonggianmang.vn/uploads/2024_10_24_09_06_33_01_d26f5a4a34.PDF)

CB lỗ hổng ATTT Oracle WebLogic Server1.jpeg

large_CB lỗ hổng ATTT Oracle WebLogic Server1.jpeg

medium_CB lỗ hổng ATTT Oracle WebLogic Server1.jpeg

small_CB lỗ hổng ATTT Oracle WebLogic Server1.jpeg

thumbnail_CB lỗ hổng ATTT Oracle WebLogic Server1.jpeg

Cảnh báo về lỗ hổng an toàn thông tin trong sản phẩm của Oracle WebLogic Server

**1. TIN TỨC AN TOÀN THÔNG TIN**

 

**- Chiến dịch tấn công APT:** Phát hiện nhóm APT Lazarus Group khai thác lỗ hổng trên Google Chrome để kiểm soát thiết bị.

**- Cảnh báo:** CISA cảnh báo lỗ hổng nghiêm trọng trên Microsoft SharePoint đang bị khai thác

 

_**Chiến dịch tấn công APT: Phát hiện nhóm APT Lazarus Group khai thác lỗ hổng trên Google Chrome để kiểm soát thiết bị**_

![APT 43.jpg](https://khonggianmang.vn/uploads/APT_43_bcc4cbdedd.jpg)
 

Nhóm APT Lazarus Group đến từ Triều Tiên vừa bị phát hiện lợi dụng lỗ hổng zero-day (hiện đã được vá) trong Google Chrome để chiếm quyền kiểm soát thiết bị đang bị lây nhiễm mã độc.

 

Vào tháng 05/2024, chiến dịch tấn công của nhóm Lazarus Group bị phát hiện nhắm vào máy tính cá nhân của một người dùng tại Nga bằng mã độc Manuscrypt, một dạng mã độc backdoor. Để kích hoạt chuỗi tấn công, người dùng chỉ cần truy cập vào trang web game giả mạo, vốn nhắm đến những ai quan tâm tới lĩnh vực tiền mã hóa. Chiến dịch này được cho là đã bắt đầu sớm nhất từ tháng 02/2024.

 

Lỗ hổng zero-day mà nhóm Lazarus khai thác là CVE-2024-4947, một lỗi thuộc loại type confusion trên engine V8 JavaScript và WebAssembly của Chrome, đã được Google vá vào giữa tháng 05/2024.

 

Một điểm đáng chú ý là nhóm này đã sử dụng trò chơi giả mạo với các tên như DeTankWar, DeFiTankWar, DeTankZone hoặc TankWarsZone để phát tán mã độc. Trước đó, chiến thuật đã được sử dụng bởi nhóm Moonstone Sleet, cũng là một nhóm tấn công đến từ Triều Tiên, nhằm dụ dỗ người dùng tải trò chơi thông qua email hoặc tin nhắn giả danh là công ty blockchain hoặc nhà phát triển game cần huy động đầu tư.

 

Trong phát hiện mới nhất của Kaspersky, chuỗi tấn công này sử dụng hai lỗ hổng: 

 

**•**	Lỗ hổng CVE-2024-4947 cho phép đối tượng tấn công quyền đọc và ghi toàn bộ không gian địa chỉ của tiến trình Chrome thông qua JavaScript;

 

**•**	Lỗ hổng thứ hai cho phép đối tượng tấn công vượt qua lớp bảo mật sandbox của V8. Nguyên nhân là máy ảo có số register cố định và vùng lưu trữ riêng, nhưng không kiểm tra giới hạn khi truy cập, nên kẻ tấn công có thể truy cập vào bộ nhớ ngoài phạm vi. Google đã vá lỗi này vào tháng 03/2024.

 

Sau khi khai thác thành công, đối tượng tấn công triển khai một shellcode để thu thập thông tin hệ thống, đánh giá giá trị của thiết bị trước khi quyết định tiến hành các bước hậu khai thác. Tuy nhiên, payload cụ thể được phát tán sau đó hiện vẫn chưa được xác định rõ.

 

**Danh sách một số IoC được ghi nhận**

![Danh sách IoC.jpg](https://khonggianmang.vn/uploads/Danh_sach_Io_C_72a42165c9.jpg)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: CISA cảnh báo lỗ hổng nghiêm trọng trên Microsoft SharePoint đang bị khai thác**_

![Cảnh báo CISA.jpg](https://khonggianmang.vn/uploads/Canh_bao_CISA_89c6dc80df.jpg)

 

Cơ quan An ninh mạng và cơ sở hạ tầng của Hòa Kỳ (CISA) vừa đưa ra cảnh báo về một lỗ hổng an toàn thông tin mức Cao trên Microsoft SharePoint, lỗ hổng này đã được bổ sung vào danh sách các lỗ hổng bị khai thác (KEV) sau khi có bằng chứng cho thấy nó đang bị khai thác.

 

Lỗ hổng có mã CVE-2024-38094 (Điểm CVSS: 7.2), là một lỗ hổng giải tuần tự ảnh hưởng đến SharePoint, khi bị khai thác cho phép đối tượng tấn công thực thi mã từ xa. Đặc biệt, khi được xác thực với quyền quản trị viên trang (Site Owner), đối tượng tấn công có thể chèn và thực thi bất kỳ đoạn mã nào trên SharePoint Server.

 

Microsoft đã phát hành bản vá cho lỗ hổng này trong bản cập nhật Patch Tuesday vào tháng 07/2024. Tuy nhiên, nguy cơ khai thác vẫn cao do các khai thác Proof-of-Concept (PoC) đã có sẵn trên mạng.

 

Mã PoC này tự động hóa quá trình xác thực trên một trang SharePoint sử dụng NTLM, tạo ra các thư mục và tệp cụ thể, đồng thời gửi payload XML để khai thác lỗ hổng trong API phía client của SharePoint. Thông tin về lỗ hổng được công bố trong bối cảnh Nhóm Phân tích Đe dọa (TAG) của Google vừa thông báo về một lỗ hổng zero-day (đã được vá) trên CPU của thiết bị di động Samsung. Lỗ hổng này có mã CVE-2024-44068 (Điểm CVSS: 8.1) đã bị khai thác trong một chuỗi tấn công để thực thi mã tùy ý, đã được vá vào ngày 7 tháng 10 năm 2024. Samsung cho biết đây là một lỗi "use-after-free" trong bộ xử lý di động, dẫn đến việc leo thang đặc quyền.

 

CISA đã đưa ra một đề xuất mới với các yêu cầu bảo mật nhằm ngăn chặn truy cập trái phép vào dữ liệu nhạy cảm của Mỹ. Theo đó, các tổ chức cần khắc phục các lỗ hổng đã khai thác trong vòng 14 ngày, các lỗ hổng Nghiêm trọng không bị khai thác trong 15 ngày, và các lỗ hổng mức Cao không bị khai thác trong 30 ngày. CISA cũng nhấn mạnh sự cần thiết duy trì nhật ký kiểm tra quyền truy cập và phát triển quy trình quản lý danh tính để xác định rõ ai có quyền truy cập vào các tập dữ liệu khác nhau.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **775** lỗ hổng, trong đó có **360** lỗ hổng mức Cao, **324** lỗ hổng mức Trung bình, **30** lỗ hổng mức Thấp và **61** lỗ hổng chưa đánh giá. Trong đó có ít nhất **127** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **Microsoft, Roundcube và angular-base64-upload**, cụ thể là như sau:

 

**•	CVE-2024-38178 (Điểm CVSS: 7.5 – Cao):** Lỗ hổng tồn tại trên Microsoft Windows 10, Windows 11 là lỗi bộ nhớ trên phần scripting engine. Sau khi khai thác thành công lỗ hổng, đối tượng tấn công có thể thực thi mã tùy ý từ xa trên hệ thống. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công. 

 

**•	CVE-2024-37383 (Điểm CVSS: 6.1 – Trung bình):** Lỗ hổng tồn tại trên Roundcube Webmail cho phép đối tượng tấn công khai thác lỗi XSS thông qua thành phần SVG animate. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công.

 

**•	CVE-2024-42640 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên angular-base64-upload cho phép đối tượng tấn công thực thi mã từ xa thông qua việc tải các file tùy ý lên “demo/uploads”. Hiện lỗ hổng chưa có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**

![Bảng CBT43-01.png](https://khonggianmang.vn/uploads/Bang_CBT_43_01_38981c4616.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

 

**Tấn công DRDoS:** Trong tuần có **36.974** (**giảm** so với tuần trước **37.102**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **54** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **54** trường hợp tấn công lừa đảo (Phishing), **0** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**

![Bảng CBT43-02.png](https://khonggianmang.vn/uploads/Bang_CBT_43_02_599a04bb6a.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần, hệ thống của Cục An toàn thông tin đã ghi nhận 4.624 phản ánh trường hợp lừa đảo trực tuyến do người dùng Internet Việt Nam gửi về. Trong đó:

 

**- 207** trường hợp phản ánh được tiếp nhận thông qua hệ thống Trang cảnh báo an toàn thông tin Việt Nam (canhbao.khonggianmang.vn).

**- 4.417** trường hợp phản ánh cuộc gọi, tin nhắn lừa đảo thông qua tổng đài 156/5656

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT43-03.png](https://khonggianmang.vn/uploads/Bang_CBT_43_03_b3c483b170.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT43.pdf](https://khonggianmang.vn/uploads/2024_CBT_43_c3bec6c039.pdf)

large_Tuần 43.jpg

medium_Tuần 43.jpg

small_Tuần 43.jpg

thumbnail_Tuần 43.jpg

Tuần 43.jpg

Cảnh báo an toàn thông tin Tuần 43/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

 

**- Chiến dịch tấn công APT:** Nhóm APT SideWinder tấn công nhằm vào vùng Trung Đông và Châu Phi trong chiến dịch tấn công đa giai đoạn.

**- Cảnh báo:** Lỗ hổng nghiêm trọng trên Kubernetes Image Builder khiến các Nodes trên giải pháp chịu rủi ro từ việc truy cập Root trái phép.

 

_**Chiến dịch tấn công APT: Nhóm APT SideWinder tấn công nhằm vào vùng Trung Đông và Châu Phi trong chiến dịch tấn công đa giai đoạn**_

![APT.jpeg](https://khonggianmang.vn/uploads/APT_63dc212859.jpeg)

 

Các chuyên gia bảo mật đã phát hiện một nhóm APT có tên SideWinder có nguồn gốc từ Ấn Độ, nhóm này thực hiện hàng loạt cuộc tấn công nhắm vào các tổ chức và cơ sở hạ tầng quan trọng tại Trung Đông và châu Phi.

 

Nhóm APT SideWinder được biết đến với nhiều tên khác như APT-C-17, Baby Elephant, Hardcore Nationalist, Leafperforator, Rattlesnake, Razor Tiger, and T-APT-04. Các đối tượng bị tấn công chủ yếu thuộc các tổ chức chính phủ, quân đội, các công ty logistics, viễn thông, tài chính, các trường đại học, và các doanh nghiệp giao dịch dầu mỏ tại các quốc gia Bangladesh, Djibouti, Jordan, Malaysia, Maldives, Myanmar, Nepal, Pakistan, Ả Rập Saudi, Sri Lanka, Thổ Nhĩ Kỳ và Các Tiểu vương quốc Ả Rập Thống nhất (UAE). Ngoài ra, SideWinder còn nhắm đến các cơ quan ngoại giao tại Afghanistan, Pháp, Trung Quốc, Ấn Độ, Indonesia, và Ma-rốc.

 

Chiến dịch tấn công bắt đầu bằng các email giả mạo (spear-phishing) chứa tệp đính kèm độc hại. Các tệp đính kèm này có thể là tệp nén ZIP chứa tệp shortcut Windows (LNK) hoặc tài liệu Microsoft Office. Khi nạn nhân mở tệp, chuỗi tấn công được kích hoạt, bắt đầu từ việc chạy các đoạn mã JavaScript và trình tải .NET, cuối cùng dẫn đến việc cài đặt mã độc StealerBot.

 

Tài liệu đính kèm trong email sử dụng kỹ thuật chèn mẫu từ xa để tải xuống một tệp RTF từ máy chủ do đối tượng tấn công kiểm soát. Tệp RTF này sẽ khai thác lỗ hổng CVE-2017-11882, cho phép thực thi mã JavaScript có nhiệm vụ kích hoạt thêm mã JavaScript khác từ trang web mofa-gov-sa.direct888[.]net. Trong trường hợp sử dụng tệp .LNK, nó sẽ sử dụng công cụ mshta.exe, một thành phần trên Windows được thiết kế để chạy các tệp Microsoft HTML Application (HTA), nhằm thực thi mã JavaScript độc hại từ máy chủ của đối tượng tấn công.

 

Mục tiêu cuối cùng của chiến dịch này là phát tán mã độc StealerBot thông qua module Backdoor loader. Mã độc này được lập trình bằng .NET và được mô tả là một “phần cài cắm nâng cao với tính năng mô-đun,” nhằm thực hiện các hoạt động gián điệp thông qua việc tích hợp các plugin cho những hành vi sau:

 

**•**	Cài đặt mã độc mới bằng bộ tải C++

**•**	Chụp màn hình

**•**	Ghi lại dữ liệu từ việc gõ phím

**•**	Đánh cắp mật khẩu từ trình duyệt

**•**	Chặn bắt thông tin xác thực RDP

**•**	Đánh cắp tệp

**•**	Khởi tạo reverse shell

**•**	Giả mạo thông tin xác thực của Windows

**•**	Leo thang đặc quyền truy cập trên hệ thống và vượt qua bảo mật của UAC.

 

Nhóm APT SideWinder đang mở rộng phạm vi tấn công và sử dụng các công cụ phức tạp mới, trùng hợp với báo cáo từ Cyfirma về nhóm APT36 (Transparent Tribe) có nguồn gốc từ Pakistan. APT36 phát tán tệp Linux giả mạo dưới dạng PDF để tải xuống mã độc và duy trì kết nối lâu dài trên hệ thống mục tiêu. Nhóm này đã gia tăng nhắm vào các hệ thống Linux, đặc biệt là các hệ điều hành dựa trên Debian như BOSS OS và Maya OS, thường được sử dụng trong các cơ quan chính phủ Ấn Độ. Sự tương đồng trong hoạt động giữa hai nhóm cho thấy một xu hướng đáng lo ngại trong việc tấn công các mục tiêu quan trọng.

 

**Danh sách một số IoC được ghi nhận**

![danh sách IoC.png](https://khonggianmang.vn/uploads/danh_sach_Io_C_beb738cbdc.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Lỗ hổng nghiêm trọng trên Kubernetes Image Builder khiến các Nodes trên giải pháp chịu rủi ro từ việc truy cập Root trái phép**_

![cảnh báo.jpeg](https://khonggianmang.vn/uploads/canh_bao_1f7f9d0113.jpeg)

 

Các chuyên gia bảo mật đã ghi nhận lỗ hổng an toàn thông tin mức nghiêm trọng tồn tại trên Kubernetes Image Builder khi khai thác thành công sẽ cho phép đối tượng tấn công đạt được quyền truy cập root.

 

Lỗ hổng có mã CVE-2024-9486 (Điểm CVSS: 9.8) hiện đã được vá trong phiên bản 0.1.38. Cụ thể, lỗ hổng là lỗi thông tin xác thực mặc định được sử dụng trong quá trình xây dựng ảnh của máy ảo. Ngoài ra, các ảnh của máy ảo được dựng bởi Proxmox không vô hiệu hóa các thông tin xác thực này và các node sử dụng ảnh được tạo có thể bị truy cập sử dụng thông tin này vào thẳng quyền root.

 

Lỗ hổng chỉ gây ảnh hưởng tới các cụm Kubernetes có node sử dụng ảnh của máy ảo (VM) được tạo thông qua Image Builder do Proxmox cung cấp. Để tạm thời ngăn chặn lỗ hổng, người dùng được khuyến nghị nên tắt các tài khoản dựng ảnh trên các VM. Người dùng cũng nên xây lại các ảnh của máy ảo bằng phiên bản đã được vá của Image Builder rồi triển khai lại chúng trên máy ảo của mình.

 

Cụ thể, đối tượng tấn công có thể đọc nội dung trong cơ sở dữ liệu Expedition, truy cập các file tùy ý và ghi file tùy ý vào bộ nhớ tạm trên hệ thống Expedition. Điều này giúp đối tượng tấn công thu thập thông tin như tên người dùng, mật khẩu dưới dạng văn bản không mã hóa, cấu hình thiết bị và các khóa API của tường lửa PAN-OS.

 

Thông tin về lỗ hổng được công bố trong lúc Microsoft phát hành bản vá phía server cho ba lỗ hổng nghiêm trọng trên Dataverse, Imagine Cup, và Power Platform có thể dẫn tới lộ lọt thông tin, cho phép đối tượng tấn công leo thang đặc quyền.

 

**•	CVE-2024-38139 (Điểm CVSS: 8.7)** – Xác thực sai cách trên Microsoft Dataverse cho phép đối tượng tấn công leo thang đặc quyền qua hệ thống mạng

**•	CVE-2024-38204 (Điểm CVSS: 7.5)** - Access Control sai cách trên Imagine Cup cho phép đối tượng tấn công leo thang đặc quyền qua hệ thống mạng

**•	CVE-2024-38190 (Điểm CVSS: 8.6)** – Thiếu ủy quyền trên Power Platform cho phép đối tượng tấn công truy cập thông tin trái phép

 

Đồng thời, thông tin về lỗ hổng nghiêm trọng trên Apache Solr (CVE-2024-45216, điểm CVSS: 9.8) cũng đã được công bố, lỗ hổng này có thể dẫn tới việc bỏ qua xác thực.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **766** lỗ hổng, trong đó có **330** lỗ hổng mức Cao, **282** lỗ hổng mức Trung bình, **31** lỗ hổng mức Thấp và **123** lỗ hổng chưa đánh giá. Trong đó có ít nhất **131** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **GitLab, Linear eMerge và BitCoin Core**, cụ thể là như sau:

 

**•	CVE-2024-9164 (Điểm CVSS: 9.6 – Nghiêm trọng):** Lỗ hổng tồn tại trên GitLab EE cho phép đối tượng tấn công chạy pipeline trên các nhánh của dự án bất kì. Cho phép đối tượng tấn công thực thi mã từ xa, đánh cắp dữ liệu hoặc các hành vi độc hại khác nếu bị khai thác. Hiện lỗ hổng chưa có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm đối tượng tấn công.

 

**•	CVE-2021-9441 (Điểm CVSS: 9.8 – Nghiêm trọng):** Là lỗi OS command injection tồn tại trên Linear eMerge e3-Series, cho phép đối tượng tấn công thực thi lệnh OS tùy ý thông qua tham số login_id khi gọi hàm forgot_password thông qua giao thức HTTP. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công.

 

**•	CVE-2024-35202 (Điểm CVSS: 7.5 – Cao):** Lỗ hổng tồn tại trên Bitcoin Core, cho phép đối tượng tấn công thực hiện tấn công từ chối dịch vụ bằng cách cho nội dung thanh toán vào thông điệp “blocktxn” không nằm trong merkle root của khối. Hiện lỗ hổng chưa có mã khai thác và chưa bị khai thác trong thực tế

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**

![Bảng CBT42-01.png](https://khonggianmang.vn/uploads/Bang_CBT_42_01_8183261a0e.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

 

**Tấn công DRDoS:** Trong tuần có **37.102** (**tăng** so với tuần trước **36.032**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **35** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **35** trường hợp tấn công lừa đảo (Phishing), **0** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**

![Bảng CBT42-02.png](https://khonggianmang.vn/uploads/Bang_CBT_42_02_11fff68138.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần, hệ thống của Cục An toàn thông tin đã ghi nhận 5.058 phản ánh trường hợp lừa đảo trực tuyến do người dùng Internet Việt Nam gửi về. Trong đó:

 

**- 190** trường hợp phản ánh được tiếp nhận thông qua hệ thống Trang cảnh báo an toàn thông tin Việt Nam (canhbao.khonggianmang.vn).

**- 4.868** trường hợp phản ánh cuộc gọi, tin nhắn lừa đảo thông qua tổng đài 156/5656

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT42-03.png](https://khonggianmang.vn/uploads/Bang_CBT_42_03_b8b2a980b4.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT42.pdf](https://khonggianmang.vn/uploads/2024_CBT_42_d70d7fd1fb.pdf)

large_Tuần 42.jpg

medium_Tuần 42.jpg

small_Tuần 42.jpg

thumbnail_Tuần 42.jpg

Tuần 42.jpg

Cảnh báo an toàn thông tin Tuần 42/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

 

**- Chiến dịch tấn công APT:** Nhóm tấn công Triều Tiên dùng chiêu trò phỏng vấn giả để phát tán mã độc đa nền tảng nhằm vào các lập trình viên.

**- Cảnh báo:** Palo Alto Networks cảnh báo về lỗ hổng chiếm dụng tường lửa đã có mã khai thác trên không gian mạng.

 

_**Chiến dịch tấn công APT: Nhóm tấn công Triều Tiên dùng chiêu trò phỏng vấn giả để phát tán mã độc đa nền tảng nhằm vào các lập trình viên**_

![APT.jpeg](https://khonggianmang.vn/uploads/APT_3ad01a384f.jpeg)

 

Một nhóm tấn công Triều Tiên đã bị phát hiện lợi dụng các nhà phát triển phần mềm đang tìm việc để phát tán các phiên bản mới của mã độc BeaverTail và InvisibleFerret. Nhóm tin tặc này, được theo dõi dưới mã CL-STA-0240, hoạt động trong khuôn khổ chiến dịch Contagious Interview, lần đầu tiên được Palo Alto Networks Unit 42 công bố vào tháng 11 năm 2023.

 

Theo báo cáo, đối tượng tấn công giả danh nhà tuyển dụng, liên hệ với các lập trình viên qua các nền tảng tìm việc. Sau đó, chúng mời nạn nhân tham gia một cuộc phỏng vấn trực tuyến, trong quá trình đó, chúng dụ dỗ nạn nhân tải và cài đặt mã độc dưới dạng phần mềm cần thiết cho "bài kiểm tra lập trình."

 

Quá trình tấn công bắt đầu với mã độc BeaverTail, vừa đóng vai trò là công cụ tải mã độc, vừa có khả năng thu thập thông tin trên cả Windows và macOS. Sau đó, mã độc này còn mở đường cho InvisibleFerret, một backdoor được viết bằng Python để xâm nhập sâu hơn vào hệ thống.

 

Theo phân tích của một số chuyên gia bảo mật, các đối tượng tấn công đã sử dụng các ứng dụng hội nghị trực tuyến giả mạo như MiroTalk và FreeConference.com trên cả hai nền tảng Windows và macOS để phát tán mã độc BeaverTail và InvisibleFerret.

 

Mã độc BeaverTail không chỉ lấy cắp dữ liệu mà còn tải xuống và cài đặt backdoor InvisibleFerret, gồm hai phần chính:

 

**•**	Payload chính cho phép đối tượng tấn công điều khiển từ xa, ghi lại hoạt động bàn phím (keylogging), thu thập dữ liệu và tải xuống các công cụ hỗ trợ như AnyDesk.

**•**	Trình đánh cắp dữ liệu trình duyệt chuyên thu thập thông tin đăng nhập và dữ liệu thẻ tín dụng.

 

Các chuyên gia bảo mật nhận định rằng, các nhóm APT Triều Tiên thường tiến hành tấn công với mục tiêu tài chính. Chiến dịch lần này có thể cũng vì mục đích đó, bởi mã độc BeaverTail được thiết kế để đánh cắp dữ liệu từ 13 loại ví tiền điện tử khác nhau.

 

**Danh sách một số IoC được ghi nhận**

![Danh sách IoC.jpg](https://khonggianmang.vn/uploads/Danh_sach_Io_C_7b7e449c8b.jpg)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Cảnh báo về các cuộc tấn công khai thác lỗ hổng Nghiêm trọng trong Zimbra Postjournal**_

![Cảnh báo Palo Alto.jpeg](https://khonggianmang.vn/uploads/Canh_bao_Palo_Alto_7d39db378e.jpeg)

 

Palo Alto Networks đã cảnh báo người dùng về các lỗ hổng an toàn thông tin đã có mã khai thác, cho phép các đối tượng tấn công chiếm dụng tường lửa PAN-OS. Những lỗ hổng này có thể bị khai thác để truy cập trái phép vào hệ thống, tiếp cận thông tin nhạy cảm như thông tin xác thực của người dùng, từ đó dẫn tới việc chiếm quyền tài khoản quản trị tường lửa.

 

Cụ thể, đối tượng tấn công có thể đọc nội dung trong cơ sở dữ liệu Expedition, truy cập các file tùy ý và ghi file tùy ý vào bộ nhớ tạm trên hệ thống Expedition. Điều này giúp đối tượng tấn công thu thập thông tin như tên người dùng, mật khẩu dưới dạng văn bản không mã hóa, cấu hình thiết bị và các khóa API của tường lửa PAN-OS.

 

Các lỗ hổng được ghi nhận bao gồm:

 

**•**	CVE-2024-9463 (lỗ hổng Command Injection không cần xác thực)

**•**	CVE-2024-9464 (lỗ hổng Command Injection khi đã được xác thực)

**•**	CVE-2024-9465 (lỗ hổng SQL injection không cần xác thực)

**•**	CVE-2024-9466 (lỗ hổng lưu trữ thông tin xác thực dạng văn bản không mã hóa trong logs)

**•**	CVE-2024-9467 (lỗ hổng Reflected XSS không cần xác thực)

 

Ngoài ra, một chuyên gia bảo mật đã công bố mã khai thác proof-of-concept, nối chuỗi lỗ hổng CVE-2024-5910 (lỗi reset thông tin quản trị) với lỗ hổng CVE-2024-9464 (Command Injection), cho phép thực thi mã từ xa mà không cần xác thực trên máy chủ Expedition.

 

Người dùng được khuyến nghị thay đổi thông tin xác thực và khóa API trên Expedition cũng như các sản phẩm tường lửa sau khi cập nhật bản vá. Nếu chưa thể cập nhật, cần hạn chế quyền truy cập vào hệ thống mạng có Expedition chỉ dành cho những người dùng có quyền truy cập.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **579** lỗ hổng, trong đó có **198** lỗ hổng mức Cao, **265** lỗ hổng mức Trung bình, **09** lỗ hổng mức Thấp và **107** lỗ hổng chưa đánh giá. Trong đó có ít nhất **117** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **ASUS, GitHub và LiteSpeed Technologies**, cụ thể là như sau:

 

**- CVE-2024-3080 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên router ASUS cho phép đối tượng tấn công khả năng truy cập vào thiết bị dưới tài khoản người dùng bất kì, qua đó thực hiện các hành vi trái phép khác. Hiện lỗ hổng chưa có mã khai thác và đang bị khai thác trong thực tế. 

 

**- CVE-2021-4043 (Điểm CVSS: 5.5 – Trung bình):** Lỗ hổng tồn tại trên GitHub cho phép đối tượng tấn công thực hiện tấn công từ chối dịch vụ sử dụng các gói tin yêu cầu độc hại. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**- CVE-2024-28000 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tại tại trên LiteSpeed Technologies LiteSpeed Cache cho phép đối tượng tấn công leo thang đặc quyền. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**

![Bảng CBT41-01.png](https://khonggianmang.vn/uploads/Bang_CBT_41_01_7efb58ec0d.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

 

**Tấn công DRDoS:** Trong tuần có **36.032** (**giảm** so với tuần trước **36.892**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **46** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **46** trường hợp tấn công lừa đảo (Phishing), **0** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**

![Bảng CBT41-02.png](https://khonggianmang.vn/uploads/Bang_CBT_41_02_c058b803d9.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **414** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT41-03.png](https://khonggianmang.vn/uploads/Bang_CBT_41_03_8916c72e8e.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT41.pdf](https://khonggianmang.vn/uploads/2024_CBT_41_2e21dc3d54.pdf)

large_Tuần 41.jpg

medium_Tuần 41.jpg

small_Tuần 41.jpg

thumbnail_Tuần 41.jpg

Tuần 41.jpg

Cảnh báo an toàn thông tin Tuần 41/2024

Ngày **08/10/2024** Cục An toàn thông tin đã phát hành Báo cáo An toàn thông tin mạng Việt Nam số 16/BC-CATTT về Tình hình an toàn thông tin tháng **09/2024** và thống kê kết nối chia sẻ dữ liệu về mã độc, giám sát.

 

Theo đó báo cáo đã cập nhật:

 

**1. Phát hiện và ngăn chặn lừa đảo trên không gian mạng**

 

Thực hiện công tác kiểm tra, rà soát an toàn thông tin trên không gian mạng, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) đã ghi nhận **125.338** địa chỉ website giả mạo cơ quan, tổ chức. Các đối tượng sử dụng website giả mạo này để lừa đảo, gây thiệt hại cho người dân trên không gian mạng, đồng thời gây thiệt hại nghiêm trọng đến uy tín, thương hiệu của chính cơ quan, tổ chức bị giả mạo.

 

Trong **tháng 9/2024**, hệ thống của NCSC đã phát hiện **31 website giả mạo** thương hiệu với mục đích lừa đảo được phát tán trên không gian mạng.

 

![3.jpeg](https://khonggianmang.vn/uploads/3_33c667c472.jpeg)
_Danh sách các website lừa đảo được cập nhật tại https://alert.khonggianmang.vn/_

 

_**Ghi chú:** Danh sách các website giả mạo đầy đủ có trong báo cáo đính kèm._

 

**2. Phát hiện và cảnh báo sớm các lỗ hổng của các hệ thống thông tin trên không gian mạng**

 

Thực hiện nhiệm vụ thu thập thông tin, tổng hợp, phân tích, theo dõi và dự báo, cảnh báo sớm xu hướng về các hoạt động, diễn biến trên không gian mạng Việt Nam. Trong **tháng 9/2024**, Hệ thống giám sát kỹ thuật của NCSC đã ghi nhận có **45.691** điểm yếu, lỗ hổng an toàn thông tin tại các máy chủ, máy trạm, hệ thống thông tin của các cơ quan tổ chức nhà nước.

 

Trong **tháng 9/2024**, hệ thống giám sát, rà quét từ xa của Trung tâm NCSC đã phát hiện hơn **1600 lỗ hổng** trên **5000 hệ thống** đang mở công khai trên Internet. Trung tâm NCSC cũng đã ghi nhận **12 lỗ hổng mới** được công bố, có mức độ ảnh hưởng **Nghiêm trọng/Cao** có thể bị lợi dụng để tấn công, khai thác vào các hệ thống của các cơ quan, tổ chức.

 

![CB tháng 9.jpg](https://khonggianmang.vn/uploads/CB_thang_9_e3e77a4ead.jpg)
_Danh sách các lỗ hổng mới được cập nhật tại https://alert.khonggianmang.vn/_

 

**3. Phân tích rủi ro và cảnh báo sớm các nguy cơ tấn công có chủ đích**

 

Thực hiện phân tích, theo dõi và dự báo, cảnh báo sớm xu hướng về tấn công mạng, Cục An toàn thông tin (Bộ Thông tin và Truyền thông) phát hiện xu hướng tấn công mã hóa tống tiền (ransomware) tăng cao trong thời gian gần đây. Đã có một số hệ thống thông tin của cơ quan, tổ chức, doanh nghiệp tại Việt Nam bị sự cố tấn công, gây gián đoạn hoạt động và thiệt hại về vật chất, hình ảnh của các cơ quan, tổ chức, doanh nghiệp, cũng như hoạt động bảo đảm an toàn không gian mạng quốc gia. Cục An toàn thông tin đã phát hành Công văn số 1778/CATTT-NCSC về việc Cảnh báo về chiến dịch tấn công có chủ đích vào các hệ thống quan trọng phát hành ngày 11/09/2024. 

 

Trung tâm NCSC đã tiến hành thu thập, phân tích và phát hiện nhiều chỉ báo (Indicators of compromise) về tấn công mạng có thể ảnh hưởng đến cơ quan, tổ chức, doanh nghiệp Việt Nam. Các đơn vị cần chủ động rà soát các máy chủ, máy trạm, rà soát toàn bộ các hệ thống giám sát theo các chỉ báo mà Trung tâm NCSC cung cấp trong báo cáo nhằm xử lý sớm các rủi ro trong hệ thống, liên tục cập nhật các chỉ báo về tấn công mạng, đặc biệt là các chỉ báo đã được chia sẻ từ hệ thống của Trung tâm NCSC.

 

![2.jpeg](https://khonggianmang.vn/uploads/2_2c0bb6ef7e.jpeg)
**_Thông tin IOC được cung cấp tại https://alert.khonggianmang.vn/_**

 

_**Ghi chú:** Danh sách các IOC có thể ảnh hưởng tới cơ quan, tổ chức doanh nghiệp Việt Nam đầy đủ có trong báo cáo đính kèm._

 

**4. Phát hiện và cảnh báo sớm các nguy cơ botnet trong hệ thống**

 

Trong **tháng 9/2024**, Trung tâm NCSC phát hiện **18 hệ thống** của các đơn vị có kết nối đến hạ tầng botnet. Trung tâm NCSC đã thực hiện chia sẻ các thông tin botnet này đến các đơn vị thông qua hệ thống phát hiện cảnh báo sớm botnet.

 

![1.jpeg](https://khonggianmang.vn/uploads/1_9f7e53dfb9.jpeg)
**_Thông tin các hệ thống ghi nhận nhiễm botnet trên hệ thống phát hiện cảnh báo sớm._**

 

Báo cáo chi tiết xem tại: 
[20241004_BCT09_2024_DN.PDF.pdf](https://khonggianmang.vn/uploads/20241004_BCT_09_2024_DN_PDF_7dbc4574fe.pdf)

large_9-min.jpg

medium_9-min.jpg

small_9-min.jpg

thumbnail_9-min.jpg

9-min.jpg

Báo cáo ATTT mạng Việt Nam Tháng 9/2024

Ngày **08/10/2024**, Microsoft đã phát hành danh sách bản vá tháng **10** với tổng **121 lỗ hổng an toàn thông tin** gồm có **117** lỗ hổng an toàn thông tin trong các sản phẩm của hãng Microsoft và **04** lỗ hổng an toàn thông tin trong các sản phẩm thuộc bên thứ ba có ảnh hưởng tới Microsoft, trong đó có **03** lỗ hổng mức Nghiêm trọng và **115** lỗ hổng mức độ Cao.

 

**Bản phát hành tháng này đặc biệt đáng chú ý vào các lỗ hổng an toàn thông tin có mức ảnh hưởng cao và nghiêm trọng sau:**

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-43468** trong Microsoft Configuration Manager cho phép đối tượng tấn công thực thi mã từ xa. 

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-43582** trong Remote Desktop Protocol Server cho phép đối tượng tấn công thực thi mã từ xa. 

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-43572** trong Microsoft Management Console cho phép đối tượng tấn công thực thi mã từ xa. Lỗ hổng hiện đang bị khai thác trong thực tế. 

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-43583** trong Microsoft Winlogon cho phép đối tượng tấn công thực hiện leo thang đặc quyền. Thông tin chi tiết về lỗ hổng đã được công bố công khai. 

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-43504** trong Microsoft Excel cho phép đối tượng tấn công thực thi mã từ xa. 
	
 

**- 02** lỗ hổng an toàn thông tin **CVE-2024-43576, CVE-2024-43616** trong Microsoft Office cho phép đối tượng tấn công thực thi mã từ xa.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-43505** trong Microsoft Office Visio cho phép đối tượng tấn công thực thi mã từ xa.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-43573** trong Windows MSHTML Platform cho phép đối tượng tấn công thực hiện tấn công giả mạo (spoofing). Lỗ hổng hiện đang bị khai thác trong thực tế. 
				
 

Chi tiết cảnh báo xem tại: 
[BC_Microsoft_Thang10.pdf](https://khonggianmang.vn/uploads/BC_Microsoft_Thang10_47fe1ffdb9.pdf)

Lỗ hổng bảo mật có mức ảnh hưởng cao và nghiêm trọng trong các sản phẩm Microsoft công bố tháng 10/2024

_**Trong thời gian gần đây, Trung tâm Giám sát an toàn không gian mạng quốc gia ghi nhận các chiến dịch tấn công nhắm vào các tổ chức và doanh nghiệp với mục tiêu chính là tấn công mạng, đánh cắp thông tin và phá hoại hệ thống.**_

 

![ảnh 1.jpg](https://khonggianmang.vn/uploads/anh_1_c308e49bd8.jpg)

 

**Thông tin chi tiết về các chiến dịch tấn công**

 

**Mallox Ransomware**, nổi lên từ năm 2023 hoạt động dưới dạng Raaấ (Ransomware as a Service), cho phép các cuộc tấn công trên phạm vi toàn cầu, đặc biệt tại Brazil, Việt Nam và Trung Quốc. Mallox lây nhiễm qua việc khai thác lỗ hổng phần mềm và brute force trên máy chủ MS SQL hoặc PostgreSQL, sau đó triển khai mã độc như Remcos RAT hoặc bộ tải .NET để tải mã độc giai đoạn tiếp theo. Các phiên bản mới đã tối ưu hóa mã hóa bằng AES-256 và ECC, đồng thời tránh mã hóa trên các hệ thống dùng ngôn ngữ của các nước thuộc khối Liên Xô cũ.

 

![ảnh 2.jpg](https://khonggianmang.vn/uploads/anh_2_29539ad904.jpg)

 

**Nhóm APT Lazarus** đã phát tán mã độc thông qua phần mềm họp video giả mạo tên FCCCall trong các chiến dịch tấn công chuyên gia blockchain và dự án web game. Lazarus tiếp cận mục tiêu qua các nền tảng tìm kiếm việc làm như LinkedIn và sử dụng Telegram để trích xuất dữ liệu. Mã độc BeaverTail và InvisibleFerret được sử dụng để đánh cắp thông tin từ trình duyệt, ví tiền ảo và ứng dụng quản lý mật khẩu, cũng như cấu hình AnyDesk truy cập từ xa. Mã độc này còn được nhúng vào các dự án Node.js trên GitHub, Gitlab để ẩn mã độc và tránh bị phát hiện.

 

![ảnh 3.jpg](https://khonggianmang.vn/uploads/anh_3_daced896c1.jpg)

 

**Nhóm APT Stately Taurus** (Mustang Panda) đã khai thác lỗ hổng trên Visual Studio Code, sử dụng tính năng reverse shell để thực thi mã từ xa và tải xuống payload độc hại. Nhóm sử dụng OpenSSH để chuyển file, quét mạng bằng SharpNBTScan và nén dữ liệu qua Listeners.bat trước khi trích xuất lên Dropbox. Các chuyên gia cũng phát hiện sự tham gia của mã độc ShadowPad, gợi ý khả năng hợp tác giữa hai nhóm tấn công.

 

![ảnh 4.png](https://khonggianmang.vn/uploads/anh_4_4cca0f8a5e.png)

 

**Một số IoC liên quan đến các tấn công gần đây:**

 

_**Chiến dịch tấn công liên quan đến mã độc Mallox ransomware**_

![danh sách 1.png](https://khonggianmang.vn/uploads/danh_sach_1_92f6eb4611.png)

 

_**Nhóm APT Lazarus sử dụng ứng dụng Windows giả mạo nền tảng họp video để phát tán nhiều chủng mã độc**_

![danh sách 2.png](https://khonggianmang.vn/uploads/danh_sach_2_ba5371505b.png)

 

**_Nhóm APT Trung Quốc khai thác VSCode để tấn công nhằm vào các tổ chức tại Châu Á**_

![danh sách 3.png](https://khonggianmang.vn/uploads/danh_sach_3_f04e794046.png)

 

Nhằm đảm bảo an toàn thông tin cho hệ thống thông tin của Quý Đơn vị, góp phần bảo đảm an toàn cho không gian mạng Việt Nam, **Cục An toàn thông tin đề nghị** Quý Đơn vị thực hiện:

 

**1.** Kiểm tra, rà soát hệ thống thông tin đang sử dụng có khả năng bị ảnh hưởng bởi các chiến dịch tấn công trên. Chủ động theo dõi các thông tin liên quan đến đến các chiến dịch tấn công mạng nhằm thực hiện ngăn chặn sớm, tránh nguy cơ bị tấn công.

 

**2.** Tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu bị khai thác, tấn công mạng; đồng thời thường xuyên theo dõi kênh cảnh báo của các cơ quan chức năng và các tổ chức lớn về an toàn thông tin để phát hiện kịp thời các nguy cơ tấn công mạng.

 

**3.** Gửi báo cáo kết quả rà soát hệ thống về Cục An toàn thông tin chậm nhất trước ngày 18/9/2024. Trong trường hợp cần thiết có thể liên hệ đầu mối hỗ trợ của Cục An toàn thông tin: **Trung tâm Giám sát an toàn không gian mạng quốc gia, điện thoại 02432091616, thư điện tử: ncsc@ais.gov.vn.**

 

Báo cáo chi tiết xem tại: 
[1.20240909_CB_CHENDICHNHAMVAOVN.PDF](https://khonggianmang.vn/uploads/1_20240909_CB_CHENDICHNHAMVAOVN_178e77b70d.PDF)

CB chiến dịch tấn công có chủ đích-min.jpg

large_CB chiến dịch tấn công có chủ đích-min.jpg

medium_CB chiến dịch tấn công có chủ đích-min.jpg

small_CB chiến dịch tấn công có chủ đích-min.jpg

thumbnail_CB chiến dịch tấn công có chủ đích-min.jpg

Cảnh báo về chiến dịch tấn công có chủ đích vào các hệ thống quan trọng

**1. TIN TỨC AN TOÀN THÔNG TIN**

 

**- Chiến dịch tấn công APT:** Nhóm APT Trung Quốc khai thác lỗ hổng GeoServer để tấn công các quốc gia Châu Á Thái Bình Dương bằng mã độc EAGLEDOOR.

**- Cảnh báo:** Lỗ hổng vượt qua xác thực trên Ivanti vTM bị khai thác trong các chiến dịch tấn công.

 

_**Chiến dịch tấn công APT: Nhóm APT Trung Quốc khai thác lỗ hổng GeoServer để tấn công các quốc gia Châu Á Thái Bình Dương bằng mã độc EAGLEDOOR**_

![Chiến dịch APT.jpg](https://khonggianmang.vn/uploads/Chien_dich_APT_7a96961730.jpg)

 

Gần đây, một chiến dịch tấn công mạng từ Trung Quốc đã nhắm vào các tổ chức chính phủ ở Đài Loan và có khả năng lan ra các quốc gia khác trong khu vực Châu Á - Thái Bình Dương. Chiến dịch khai thác lỗ hổng nghiêm trọng trên OSGeo GeoServer GeoTools bị phát hiện vào tháng 7/2024 bởi Trend Micro. Nhóm APT Earth Baxia bị nghi đứng sau chiến dịch này dựa trên các email lừa đảo, tài liệu ngụy trang và phương thức tấn công. Các đối tượng bị ảnh hưởng bao gồm các tổ chức chính phủ, doanh nghiệp viễn thông và ngành năng lượng tại Philippines, Hàn Quốc, Việt Nam, Đài Loan và Thái Lan.

 

Chuỗi tấn công của chiến dịch này sử dụng hai kỹ thuật chính: gửi các email spear-phishing và khai thác lỗ hổng CVE-2024-36401 trên GeoServer.

 

Mục đích là để phát tán mã độc Cobalt Strike và một loại backdoor mới được đặt tên là EAGLEDOOR, cho phép đối tượng tấn công thu thập thông tin và triển khai các payload độc hại.

 

Nhóm APT Earth Baxia đã sử dụng hai kỹ thuật "GrimResource" và "AppDomainManager Injection" để triển khai thêm các payload bổ sung. Trong đó, GrimResource được dùng để tải về mã độc từ một file MSC mồi nhử tên RIPCOY, đính kèm trong file ZIP. Một số nguồn tin cho thấy nhóm APT41 cũng đã từng áp dụng hai kỹ thuật này để tấn công các tổ chức ở Đài Loan, quân đội Philippines và các doanh nghiệp năng lượng tại Việt Nam. Các chuyên gia bảo mật nhận định rằng hai chiến dịch này có thể liên quan đến nhau do sử dụng chung các domain C&C của mã độc Cobalt Strike.

 

Mục tiêu chính của chiến dịch do nhóm APT Earth Baxia thực hiện là phát tán một biến thể tùy chỉnh của mã độc Cobalt Strike, đóng vai trò làm nền tảng để triển khai backdoor EAGLEDOOR (“Eagle.dll”) thông qua kỹ thuật DLL side-loading.

 

Mã độc này hỗ trợ bốn phương thức liên lạc với máy chủ C&C, bao gồm DNS, HTTP, TCP và Telegram. Ba giao thức đầu tiên dùng để gửi trạng thái của nạn nhân, còn chức năng chính được thực hiện thông qua API Bot của Telegram để tải lên và tải xuống tệp, cũng như thực thi các payload bổ sung. Dữ liệu thu thập được sẽ được chuyển ra ngoài qua curl.exe.

 

Chiến dịch tấn công của Earth Baxia cho thấy sự tinh vi và khả năng linh hoạt khi nhóm này không chỉ khai thác các lỗ hổng mới mà còn tận dụng dịch vụ đám mây công cộng để lưu trữ mã độc, giúp hoạt động của chúng khó bị phát hiện hơn.

 

Ngoài ra, có khả năng các bot của “Raptor Train” đã khai thác lỗ hổng trên máy chủ Atlassian Confluence và sản phẩm Ivanti Connect Secure (ICS) trong cùng hệ thống mạng để mở rộng tấn công. Các chuyên gia bảo mật cho rằng botnet Raptor Train có liên quan đến nhóm APT Flax Typhoon vì chúng cùng nhắm tới các tổ chức ở Đài Loan, Đông Nam Á, Bắc Mỹ và Châu Phi. Sự tương đồng này thể hiện qua việc sử dụng ngôn ngữ Trung Quốc và các kỹ thuật tấn công tương tự.

 

**Danh sách một số IoC được ghi nhận**

![DS IoC.jpg](https://khonggianmang.vn/uploads/DS_Io_C_94c6eb1308.jpg)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Lỗ hổng vượt qua xác thực trên Ivanti vTM bị khai thác trong các chiến dịch tấn công**_

![Cảnh báo.png](https://khonggianmang.vn/uploads/Canh_bao_179a6acdd4.png)

 

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa ghi nhận một lỗ hổng Nghiêm trọng trên Ivanti vTM, cho phép đối tượng tấn công tạo tài khoản quản trị viên giả mạo trên các thiết bị Virtual Traffic Manager (vTM). 

 

Lỗ hổng Nghiêm trọng có mã CVE-2024-7593, là lỗi bỏ qua xác thực do việc triển khai thuật toán xác thực không chính xác. Điều này cho phép đối tượng tấn công từ xa chưa được xác thực có thể truy cập trái phép vào các trang quản trị của thiết bị vTM được kết nối với Internet. Nếu khai thác thành công lỗ hổng này có thể dẫn đến việc đối tượng tấn công vượt qua cơ chế xác thực và tạo ra các tài khoản quản trị viên tùy ý.

 

Mặc dù Ivanti đã phát hành bản vá cho lỗ hổng CVE-2024-7593 vào ngày 13 tháng 8 năm 2024, kèm theo mã khai thác PoC, nhưng công ty này vẫn chưa cung cấp thông tin cụ thể về số lượng các cuộc tấn công lợi dụng lỗ hổng này.

 

Ivanti khuyên người dùng nên kiểm tra kỹ nhật ký kiểm toán (Audit Logs Output) để phát hiện dấu hiệu bị tấn công. Đặc biệt, cần chú ý tới sự xuất hiện của các tài khoản quản trị viên bất thường như "user1" hoặc "user2", được tạo thông qua giao diện người dùng hoặc sử dụng mã khai thác công khai. Các chuyên gia khuyến nghị quản trị viên nên giới hạn quyền truy cập giao diện quản lý vTM trong mạng nội bộ hoặc dùng IP riêng để giảm nguy cơ bị tấn công.

 

Lỗ hổng này là một trong nhiều lỗ hổng của Ivanti bị khai thác trong các chiến dịch tấn công gần đây, nhắm vào các sản phẩm như VPN, hệ thống ICS, IPS, và các cổng ZTA của hãng. Ivanti cũng cảnh báo về các cuộc tấn công đang khai thác hai lỗ hổng vừa được vá trên Cloud Services Appliance (CSA).

 

Để đối phó với các cuộc tấn công này, Ivanti đã nâng cao khả năng quét và kiểm thử nội bộ. Hãng cam kết cải thiện quy trình công bố thông tin để phát hiện và xử lý các lỗ hổng bảo mật nhanh chóng hơn, từ đó bảo vệ hệ thống của hàng nghìn khách hàng doanh nghiệp trên toàn cầu.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **636** lỗ hổng, trong đó có **224** lỗ hổng mức Cao, **151** lỗ hổng mức Trung bình, **18** lỗ hổng mức Thấp và **243** lỗ hổng chưa đánh giá. Trong đó có ít nhất **37** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **Ivanti, GeoServer và NVIDIA**, cụ thể là như sau:

 

**- CVE-2024-8190 (Điểm CVSS: 7.2 – Cao):** Lỗ hổng tồn tại trên Ivanti Cloud Services cho phép đối tượng tấn công sở hữu tài khoản có quyền quản trị khả năng thực thi mã từ xa. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**- CVE-2024-36401 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên GeoServer cho phép đối tượng tấn công thực thi mã từ xa sau khi khai thác lỗ hổng bằng cách đưa vào các dữ liệu độc hại trên phiên bản cài đặt mặc định của sản phẩm, thông qua các tham số OGC. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**- CVE-2024-0132 (Điểm CVSS: 9.0– Nghiêm trọng):** Lỗ hổng tồn tại trên NVIDIA Container Toolkit là lỗi Time-of-check Time-of-Use (TOCTOU) trên cấu hình mặc định của sản phẩm. Đối tượng tấn công có thể khai thác lỗ hổng với các container image độc hại để truy cập vào hệ thống, qua đó dẫn tới khả năng thực thi mã từ xa, thực hiện tấn công từ chối dịch vụ, tấn công leo thang đặc quyền, thực thi các hành vi trái phép khác. Hiện lỗ hổng chưa có mã khai thác và đang bị khai thác trong thực tế.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**

![Bảng CBT39-01.png](https://khonggianmang.vn/uploads/Bang_CBT_39_01_fcaf8fee57.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

 

**Tấn công DRDoS:** Trong tuần có **35.095** (**giảm** so với tuần trước **38.187**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **84** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **70** trường hợp tấn công lừa đảo (Phishing), **14** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**

![Bảng CBT39-02.png](https://khonggianmang.vn/uploads/Bang_CBT_39_02_5c127e7abb.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **338** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT39-03.png](https://khonggianmang.vn/uploads/Bang_CBT_39_03_37606b3567.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT39.pdf](https://khonggianmang.vn/uploads/2024_CBT_39_9155a66229.pdf)

large_Tuần 39.jpg

medium_Tuần 39.jpg

small_Tuần 39.jpg

thumbnail_Tuần 39.jpg

Tuần 39.jpg

Cảnh báo an toàn thông tin Tuần 39/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

 

**- Chiến dịch tấn công APT:** Mã độc botnet “Raptor Train” tấn công hơn 200.000 thiết bị IoT trên toàn cầu.

**- Cảnh báo:** GitLab khắc phục lỗ hổng Nghiêm trọng trong phiên bản CE và EE.

 

_**Chiến dịch tấn công APT: Mã độc botnet “Raptor Train” tấn công hơn 200.000 thiết bị IoT trên toàn cầu**_

![APT.jpeg](https://khonggianmang.vn/uploads/APT_f9191c70d8.jpeg)

 

Gần đây, các chuyên gia bảo mật đã phát hiện một botnet mới chưa từng được ghi nhận trước đây. Botnet này nhắm vào các thiết bị IoT và hệ thống mạng của các doanh nghiệp nhỏ (SOHO), được sử dụng bởi nhóm APT Trung Quốc có tên Flax Typhoon (hay còn gọi là Ethereal Panda hoặc RedJuliett).

 

Botnet này có tên là Raptor Train, bắt đầu hoạt động từ tháng 05/2020 và đạt đỉnh vào tháng 06/2023 với 60.000 thiết bị bị lây nhiễm. Đến nay, hơn 200.000 thiết bị, bao gồm router SOHO, NVR/DVR, máy chủ NAS và camera IP, đã bị ảnh hưởng bởi mã độc này, khiến Raptor Train thành một trong những botnet IoT lớn nhất của Trung Quốc. Hạ tầng của botnet này được xây dựng theo cấu trúc ba tầng (tier) như sau:

 

**•**	Tier 1: Các thiết bị IoT/SOHO bị ảnh hưởng bởi mã độc

**•**	Tier 2: Các máy chủ khai thác, máy chủ chứa payload và máy chủ C&C.

**•**	Tier 3: Các node quản trị tập trung và một ứng dụng đa nền tảng Electron có tên Sparrow (hay Node Comprehensive Control Tool, gọi tắt NCCT)

 

Quy trình hoạt động của botnet diễn ra như sau: các tác vụ bot được khởi động từ các node quản trị "Sparrow" ở tier 3, sau đó được điều hướng qua các máy chủ C2 ở tier 2 và cuối cùng gửi đến các bot ở tier 1. Các thiết bị bị tấn công trong mạng botnet này bao gồm camera IP, DVR và máy chủ NAS từ nhiều thương hiệu nổi tiếng như ActionTec, ASUS, DrayTek, Fujitsu, Hikvision, Mikrotik, Mobotix, Panasonic, QNAP, Ruckus Wireless, Shenzhen TVT, Synology, Tenda, TOTOLINK, TP-LINK và Zyxel. Đa số các thiết bị tier 1 của botnet nằm ở Mỹ, Đài Loan, Việt Nam, Brazil, Hồng Kông và Thổ Nhĩ Kỳ. Những thiết bị này có thời gian hoạt động trung bình 17,44 ngày, cho thấy nhóm tấn công có khả năng tái lây nhiễm chúng nhờ khai thác nhiều lỗ hổng bảo mật trên thiết bị SOHO và IoT, mặc dù mã độc không duy trì được sau khi khởi động lại. Điều này cho thấy sự tự tin vào khả năng tái lây nhiễm của nhóm tấn công.

 

Mã độc lây nhiễm các bot tier 1 được gọi là Nosedive, một biến thể tùy chỉnh của botnet Mirai, phát tán qua máy chủ payload ở tier 2. Mã độc này có khả năng thực thi lệnh, tải lên và tải xuống file, cũng như triển khai tấn công DDoS, cho phép đối tượng tấn công điều khiển thiết bị lây nhiễm mà không bị phát hiện.

 

Các node tier 2 được thay đổi vị trí khoảng 75 ngày một lần, chủ yếu nằm ở các quốc gia như Mỹ, Singapore, Vương quốc Anh, Nhật Bản và Hàn Quốc. Số lượng node C&C đã tăng khoảng 1-5 kể từ năm 2020 tới 2022 và đạt tối thiểu 60 node trong khoảng thời gian từ giữa tháng 06/2024 đến tháng 08/2024. Ngoài vai trò là máy chủ khai thác, các node tier 2 này còn được sử dụng để phát tán mã độc và hỗ trợ hoạt động do thám các mục tiêu tấn công.

 

Cho đến nay, chưa ghi nhận cuộc tấn công DDoS nào từ botnet “Raptor Train”, nhưng có bằng chứng cho thấy botnet này đã tấn công các tổ chức ở Mỹ và Đài Loan trong các lĩnh vực quốc phòng, chính phủ, giáo dục, viễn thông và công nghệ thông tin.

 

Ngoài ra, có khả năng các bot của “Raptor Train” đã khai thác lỗ hổng trên máy chủ Atlassian Confluence và sản phẩm Ivanti Connect Secure (ICS) trong cùng hệ thống mạng để mở rộng tấn công. Các chuyên gia bảo mật cho rằng botnet Raptor Train có liên quan đến nhóm APT Flax Typhoon vì chúng cùng nhắm tới các tổ chức ở Đài Loan, Đông Nam Á, Bắc Mỹ và Châu Phi. Sự tương đồng này thể hiện qua việc sử dụng ngôn ngữ Trung Quốc và các kỹ thuật tấn công tương tự.

 

_**Cảnh báo: GitLab khắc phục lỗ hổng Nghiêm trọng trong phiên bản CE và EE**_

![Cảnh báo GitLab.jpeg](https://khonggianmang.vn/uploads/Canh_bao_Git_Lab_b893a7234e.jpeg)

 

Gần đây, GitLab đã phát hành bản vá cho lỗ hổng nghiêm trọng cho phép đối tượng tấn công vượt qua xác thực SAML, ảnh hưởng đến phiên bản Community Edition (CE) và Enterprise Edition (EE) của sản phẩm.

 

Lỗ hổng này, mã CVE-2024-45409 (Điểm CVSS: 10.0), nằm trong thư viện ruby-saml, cho phép đối tượng tấn công đăng nhập bằng tài khoản người dùng bất kỳ trong hệ thống bị ảnh hưởng. Nguyên nhân là do thư viện không thực hiện kiểm tra chữ ký của SAML Response một cách chính xác. SAML (Security Assertion Markup Language) là giao thức cho phép đăng nhập một lần (SSO) và trao đổi dữ liệu xác thực, ủy quyền giữa nhiều ứng dụng và trang web. Đối tượng tấn công có thể lợi dụng một tài liệu SAML đã được ký từ trước để giả mạo SAML Response/Assertion với nội dung tùy chỉnh, từ đó đăng nhập trái phép vào hệ thống.

 

Ngoài ra, lỗ hổng này cũng ảnh hưởng đến thư viện omniauth-saml nhưng đã được khắc phục trong bản cập nhật 2.2.1 bằng cách nâng cấp thư viện ruby-saml lên phiên bản 1.17. Bản vá này đã được tích hợp vào các phiên bản GitLab như 17.3.3, 17.2.7, 17.1.8, 17.0.8 và 16.11.10.

 

Trong trường hợp chưa thể cập nhật ngay, GitLab khuyến nghị người dùng tắt tùy chọn bỏ qua xác thực hai yếu tố khi sử dụng SAML và bật tính năng xác thực hai yếu tố (2FA) cho tất cả tài khoản.

 

Mặc dù GitLab chưa phát hiện trường hợp nào lỗ hổng bị khai thác thực tế, các chuyên gia bảo mật đã chỉ ra một số dấu hiệu cho thấy đang có đối tượng nỗ lực khai thác lỗ hổng này. Nếu khai thác thành công, hệ thống sẽ ghi lại các sự kiện liên quan đến SAML trong log, bao gồm cả giá trị extern_id mà đối tượng tấn công sử dụng.

 

Trong bối cảnh này, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm 5 lỗ hổng bảo mật mới vào danh sách Known Exploited Vulnerabilities (KEV), trong đó có lỗ hổng nghiêm trọng CVE-2024-27348 (Điểm CVSS: 9.8) trên Apache HugeGraph-Server. Các cơ quan thuộc Nhánh Hành chính Liên bang (FCEB) được khuyến nghị khắc phục các lỗ hổng này trước ngày 9 tháng 10 năm 2024 để bảo vệ mạng lưới khỏi các mối đe dọa.

 

**Danh sách một số IoC được ghi nhận**

![DS IoC.png](https://khonggianmang.vn/uploads/DS_Io_C_fdc337b4ac.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **706** lỗ hổng, trong đó có **304** lỗ hổng mức Cao, **304** lỗ hổng mức Trung bình, **10** lỗ hổng mức Thấp và **88** lỗ hổng chưa đánh giá. Trong đó có ít nhất **85** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **VMware, Windows và WhatsUp**, cụ thể là như sau:

 

**- CVE-2024-38812 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên VMware vCenter Server tại giao thức DCERPC, đối tượng tấn công có thể khai thác lỗ hổng sử dụng các gói tin độc hại, qua đó dẫn tới tấn công thực thi mã từ xa. Hiện lỗ hổng chưa có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công.

 

**- CVE-2024-43461 (Điểm CVSS: 8.8 – Cao):** Lỗ hổng tồn tại trên Windows MSHTML Platform của Windows 10, Windows 11 cho phép đối tượng tấn công giả mạo website để đánh lừa người dùng cung cấp thông tin quan trọng. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**- CVE-2024-6670 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên WhatsUp Gold là lỗi SQL Injection cho phép đối tượng tấn công truy cập và đọc được mật khẩu mã hóa của người dùng. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**

![Bảng CBT38-01.png](https://khonggianmang.vn/uploads/Bang_CBT_38_01_297b2edff1.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

 

**Tấn công DRDoS:** Trong tuần có **38.187** (**giảm** so với tuần trước **39.438**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **75** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **64** trường hợp tấn công lừa đảo (Phishing), **11** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**

![Bảng CBT38-02.png](https://khonggianmang.vn/uploads/Bang_CBT_38_02_c5f277a215.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **244** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT38-03.png](https://khonggianmang.vn/uploads/Bang_CBT_38_03_844583b454.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT38.pdf](https://khonggianmang.vn/uploads/2024_CBT_38_1dc220bba1.pdf)

large_Tuần 38.jpg

medium_Tuần 38.jpg

small_Tuần 38.jpg

thumbnail_Tuần 38.jpg

Tuần 38.jpg

Cảnh báo an toàn thông tin Tuần 38/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

 

**- Chiến dịch tấn công APT:** Ba nhóm tấn công của Trung Quốc đứng sau chiến dịch tấn công mạng nhằm vào các quốc gia Đông Nam Á.

**- Cảnh báo:** Ivanti phát hành bản vá cho lỗ hổng RCE nghiêm trọng trên phần mềm Endpoint Management.

 

_**Chiến dịch tấn công APT: Ba nhóm tấn công của Trung Quốc đứng sau chiến dịch tấn công mạng nhằm vào các quốc gia Đông Nam Á**_

![APT.jpg](https://khonggianmang.vn/uploads/APT_19ef77b553.jpg)

 

Ba nhóm tấn công có liên quan với Trung Quốc đã được ghi nhận thực hiện các chiến dịch tấn công nhằm vào nhiều tổ chức chính phủ tại Đông Nam Á trong một chiến dịch do nhà nước hậu thuẫn mang tên "Crimson Palace", cho thấy sự mở rộng phạm vi hoạt động gián điệp không gian mạng của Trung Quốc.

 

Chiến dịch này bao gồm ba nhóm tấn công, được theo dõi với tên: Nhóm Alpha (STAC1248), Nhóm Bravo (STAC1870), và Nhóm Charlie (STAC1305). STAC là viết tắt của "security threat activity cluster" (cụm hoạt động đe dọa an ninh). Được biết các nhóm đối tượng đã khai thác hệ thống của các tổ chức và mạng lưới dịch vụ công trong khu vực để phát tán mã độc và công cụ độc hại, ngụy trang dưới các điểm truy cập tin cậy.

 

Một điểm đáng chú ý của chiến dịch là việc sử dụng hệ thống của một tổ chức làm điểm chuyển tiếp C&C và nơi lưu trữ công cụ tấn công. Đồng thời, một máy chủ Microsoft Exchange bị xâm nhập của một tổ chức khác đã bị lợi dụng để lưu trữ mã độc.

 

Trong giai đoạn đầu của các cuộc tấn công diễn ra vào tháng 03/2024 được thực hiện bởi nhóm Bravo, cách hoạt động của nhóm này có nhiều điểm chung với nhóm APT Unfading Sea Haze. Đến khoảng thời gian từ tháng 01/2024 đến tháng 6/2024, một làn sóng tấn công mới của nhóm này đã nhắm vào 11 tổ chức và cơ quan trong khu vực.

 

Các chuyên gia bảo mật cũng ghi nhận một đợt tấn công khác từ nhóm Charlie (còn gọi là APT Earth Longzhi) được thực hiện từ tháng 9/2023 đến tháng 6/2024. Nhóm này đã sử dụng các framework C&C như Cobalt Strike, Havoc, và XieBroC2 để thực hiện các hành vi độc hại sau khai thác và phát tán các payload bổ trợ như SharpHound nhằm lập bản đồ hạ tầng Active Directory.

 

Mặc dù mục tiêu chính vẫn là thu thập dữ liệu, tuy nhiên, nhóm Charlie đã tập trung nhiều hơn vào việc thiết lập lại và mở rộng sự xâm nhập vào hệ thống mạng bằng cách vượt qua lớp bảo mật từ phần mềm EDR và khôi phục kết nối khi các cài đặt C&C trước đó bị chặn.

 

Một yếu tố đáng chú ý khác là việc nhóm Charlie chủ yếu sử dụng kỹ thuật DLL hijacking để thực thi mã độc, một kỹ thuật thường được nhóm Alpha sử dụng, cho thấy có sự chia sẻ kỹ thuật giữa các nhóm tấn công. Các đối tượng tấn công còn sử dụng phần mềm mã nguồn mở như RealBlindingEDR và Alcatraz để vô hiệu hóa các quy trình chống virus và làm mờ các file thực thi (như .exe, .dll, và .sys), nhằm mục đích tránh bị phát hiện.

 

Cuối cùng, các chuyên gia bảo mật đã ghi nhận mã độc keylogger mới có tên TattleTale, lần đầu xuất hiện vào tháng 8/2023. Mã độc này có khả năng thu thập dữ liệu từ các trình duyệt Google Chrome và Microsoft Edge, đồng thời thu thập tên domain controller và đánh cắp LSA (Local Security Authority) Query Information Policy, nơi chứa thông tin nhạy cảm như chính sách mật khẩu, cài đặt bảo mật và mật khẩu lưu trữ.

 

Tóm lại, chiến dịch "Crimson Palace" bao gồm ba nhóm tấn công phối hợp với nhau, mỗi nhóm đảm nhiệm một giai đoạn trong chuỗi tấn công: xâm nhập và thu thập thông tin (Nhóm Alpha), thâm nhập sâu vào hệ thống bằng các cơ chế C&C (Nhóm Bravo), và đánh cắp dữ liệu (Nhóm Charlie). Theo nhận định của các chuyên gia, trong suốt quá trình thực hiện chiến dịch, các nhóm tấn công đã liên tục thử nghiệm và nâng cao các kỹ thuật, công cụ. Khi các biện pháp đối phó được triển khai, chúng kết hợp công cụ tự phát triển với các công cụ mã nguồn mở thường được sử dụng bởi các chuyên gia kiểm thử an ninh mạng để duy trì quyền truy cập.

 

_**Cảnh báo: Ivanti phát hành bản vá cho lỗ hổng RCE nghiêm trọng trên phần mềm Endpoint Management**_

![Cảnh báo Ivanti.png](https://khonggianmang.vn/uploads/Canh_bao_Ivanti_7db26f1d60.png)

Gần đây, Ivanti đã vá lỗ hổng Nghiêm trọng trên phần mềm Endpoint Management (EPM), lỗ hổng này cho phép đối tượng tấn công thực thi mã từ xa (RCE) lên máy chủ.

 

Ivanti EPM là giải pháp quản lý thiết bị cho phép quản trị viên kiểm soát các thiết bị client trên nhiều nền tảng như Windows, macOS, Chome OS và các hệ điều hành của thiết bị IoT.

 

Lỗ hổng được vá có mã CVE-2024-29847 (Điểm CVSS: 10.0) tồn tại do điểm yếu trong việc xử lý các dữ liệu không tin cậy trên cổng agent. Trước đó, lỗ hổng này đã được đề cập trong các bản vá của Ivanti EPM 2024 và Ivanti EPM 2022 Service Update 6 (SU6). Đối tượng tấn công khai thác lỗ hổng này có thể truy cập trái phép vào máy chủ EPM. Hiện tại, Ivanti cho biết chưa ghi nhận trường hợp nào bị ảnh hưởng và chưa có thông tin khai thác công khai nào được xác nhận.

 

Bên cạnh lỗ hổng này, Ivanti cũng đã vá nhiều lỗi khác trên Ivanti EPM, Workspace Control (IWC) và Cloud Service Appliance (CSA). Vào tháng 01/2024, công ty đã phát hành bản vá cho một lỗ hổng RCE tương tự (CVE-2023-39336) trên Ivanti EPM, cho phép đối tượng tấn công truy cập trái phép vào máy chủ và kiểm soát các thiết bị được quản lý.

 

Việc phát hành nhiều bản vá trong thời gian gần đây là kết quả của việc Ivanti nâng cao công tác rà quét nội bộ và kiểm thử bằng các phương pháp khai thác thủ công. Công ty cũng đã cải thiện công tác công bố thông tin để xử lý các vấn đề phát sinh nhanh hơn.

 

**Danh sách một số IoC được ghi nhận**

![DS IoC.png](https://khonggianmang.vn/uploads/DS_Io_C_dd011aee84.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **542** lỗ hổng, trong đó có **206** lỗ hổng mức Cao, **193** lỗ hổng mức Trung bình, **28** lỗ hổng mức Thấp và **115** lỗ hổng chưa đánh giá. Trong đó có ít nhất **78** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **SonicWall, Ivanti và GeoServer**, cụ thể là như sau:

 

**- CVE-2024-40766 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên SonicWall SonicOS cho phép đối tượng tấn công thực hiện tấn công từ chối dịch vụ. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**- CVE-2024-7262 (Điểm CVSS: 9.8– Nghiêm trọng):** Lỗ hổng tồn tại trong Ivanti EPM cho phép đối tượng tấn công thực thi mã từ xa bằng cách giải tuần tự các dữ liệu không được tin cậy trên giao diện agent. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**- CVE-2024-7971 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên GeoServer cho phép đối tượng tấn công thực thi mã từ xa bằng cách truyền các dữ liệu độc hại vào tham số yêu cầu OGC trên các phiên bản cài đặt mặc định của ứng dụng. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**

![Bảng CBT37-01.png](https://khonggianmang.vn/uploads/Bang_CBT_37_01_8e24edb47e.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

 

**Tấn công DRDoS:** Trong tuần có **39.438** (**tăng** so với tuần trước **36.907**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **83** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **72** trường hợp tấn công lừa đảo (Phishing), **11** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**

![Bảng CBT37-02.png](https://khonggianmang.vn/uploads/Bang_CBT_37_02_c3e0b6b917.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **486** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT37-03.png](https://khonggianmang.vn/uploads/Bang_CBT_37_03_55a4d19e0e.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT37.pdf](https://khonggianmang.vn/uploads/2024_CBT_37_6686c9b227.pdf)

large_Tuần 37.jpg

medium_Tuần 37.jpg

small_Tuần 37.jpg

thumbnail_Tuần 37.jpg

Tuần 37.jpg

Cảnh báo an toàn thông tin Tuần 37/2024

Ngày **10/09/2024**, Microsoft đã phát hành danh sách bản vá tháng **09** với **79 lỗ hổng** an toàn thông tin trong các sản phẩm của mình. Trong đó có **07** lỗ hổng mức Nghiêm trọng và **71** lỗ hổng mức độ Cao. Ngoài ra, Microsoft cũng đã khắc phục được 04 lỗ hổng zero-day đang bị khai thác trong thực tế.

 

**Bản phát hành tháng này đặc biệt đáng chú ý vào các lỗ hổng an toàn thông tin có mức ảnh hưởng cao và nghiêm trọng sau:**

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-43491** trong Microsoft Windows Update cho phép đối tượng tấn công thực thi mã từ xa. Lỗ hổng hiện đang bị khai thác trong thực tế.

 

**- 04** lỗ hổng an toàn thông tin **CVE-2024-38018, CVE-2024-38227, CVE-2024-38228, CVE-2024-43464** trong Microsoft SharePoint Server cho phép đối tượng tấn công thực thi mã từ xa.

 

- Lỗ hổng an toàn thông tin **CVE-2024-43461** trong Windows MSHTML Platform cho phép đối tượng tấn công thực hiện tấn công giả mạo (spoofing).

 

**- 02** lỗ hổng an toàn thông tin **CVE-2024-21416, CVE-2024-38045** trong Windows TCP/IP cho phép đối tượng tấn công thực thi mã từ xa.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-38014** trong Windows Installer cho phép đối tượng tấn công thực hiện leo thang đặc quyền. Lỗ hổng hiện đang bị khai thác trong thực tế.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-43463** trong Microsoft Office Visio cho phép đối tượng tấn công thực thi mã từ xa.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-38226** trong Microsoft Publisher cho phép đối tượng tấn công vượt qua cơ chế bảo vệ. Lỗ hổng hiện đang bị khai thác trong thực tế.

 

**- 02** lỗ hổng an toàn thông tin **CVE-2024-38217, CVE-2024-43487** trong Windows Mark of the Web cho phép đối tượng tấn công vượt qua cơ chế bảo vệ. Lỗ hổng hiện đang bị khai thác trong thực tế.

 

Chi tiết cảnh báo xem tại: 
[BC_Microsoft_Thang09.pdf](https://khonggianmang.vn/uploads/BC_Microsoft_Thang09_f3a1bf1778.pdf)

Lỗ hổng bảo mật có mức ảnh hưởng cao và nghiêm trọng trong các sản phẩm Microsoft công bố tháng 09/2024

Ngày **10/09/2024** Cục An toàn thông tin đã phát hành Báo cáo An toàn thông tin mạng Việt Nam số 14/BC-CATTT về Tình hình an toàn thông tin tháng **08/2024** và thống kê kết nối chia sẻ dữ liệu về mã độc, giám sát.

 

Theo đó báo cáo đã cập nhật:

 

**1. Phát hiện và ngăn chặn lừa đảo trên không gian mạng**

 

Thực hiện công tác kiểm tra, rà soát an toàn thông tin trên không gian mạng, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) đã ghi nhận **125.226** địa chỉ website giả mạo cơ quan, tổ chức. Các đối tượng sử dụng website giả mạo này để lừa đảo, gây thiệt hại cho người dân trên không gian mạng, đồng thời gây thiệt hại nghiêm trọng đến uy tín, thương hiệu của chính cơ quan, tổ chức bị giả mạo.

 

Trong **tháng 8/2024**, hệ thống của NCSC đã phát hiện **55 website giả mạo** thương hiệu với mục đích lừa đảo được phát tán trên không gian mạng.

 

![1.png](https://khonggianmang.vn/uploads/1_273a3f2bb0.png)
_Danh sách các website lừa đảo được cập nhật tại https://alert.khonggianmang.vn/_

 

_**Ghi chú:** Danh sách các website giả mạo đầy đủ có trong báo cáo đính kèm._

 

**2. Phát hiện và cảnh báo sớm các lỗ hổng của các hệ thống thông tin trên không gian mạng**

 

Thực hiện nhiệm vụ thu thập thông tin, tổng hợp, phân tích, theo dõi và dự báo, cảnh báo sớm xu hướng về các hoạt động, diễn biến trên không gian mạng Việt Nam. Trong **tháng 8/2024**, Hệ thống giám sát kỹ thuật của NCSC đã ghi nhận có **49.589** điểm yếu, lỗ hổng an toàn thông tin tại các máy chủ, máy trạm, hệ thống thông tin của các cơ quan tổ chức nhà nước.

 

Trong **tháng 8/2024**, hệ thống giám sát, rà quét từ xa của Trung tâm NCSC đã phát hiện hơn **1600 lỗ hổng** trên **5000 hệ thống** đang mở công khai trên Internet. Trung tâm NCSC cũng đã ghi nhận **12 lỗ hổng mới** được công bố, có mức độ ảnh hưởng **Nghiêm trọng/Cao** có thể bị lợi dụng để tấn công, khai thác vào các hệ thống của các cơ quan, tổ chức.

 

![CB tháng 8.jpg](https://khonggianmang.vn/uploads/CB_thang_8_f8804996fa.jpg)
_Danh sách các lỗ hổng mới được cập nhật tại https://alert.khonggianmang.vn/_

 

**3. Phân tích rủi ro và cảnh báo sớm các nguy cơ tấn công có chủ đích**

 

Thực hiện phân tích, theo dõi và dự báo, cảnh báo sớm xu hướng về tấn công mạng, Cục An toàn thông tin (Bộ Thông tin và Truyền thông) phát hiện xu hướng tấn công mã hóa tống tiền (ransomware) tăng cao trong thời gian gần đây. Đã có một số hệ thống thông tin của cơ quan, tổ chức, doanh nghiệp tại Việt Nam bị sự cố tấn công, gây gián đoạn hoạt động và thiệt hại về vật chất, hình ảnh của các cơ quan, tổ chức, doanh nghiệp, cũng như hoạt động bảo đảm an toàn không gian mạng quốc gia. Cục An toàn thông tin đã phát hành Công văn số 1310/CATTT-NCSC ngày 12/7/2024 về việc lỗ hổng an toàn thông tin ảnh hưởng cao và nghiêm trọng trong các sản phẩm Microsoft công bố tháng 07/2024.

 

Trung tâm NCSC đã tiến hành thu thập, phân tích và phát hiện nhiều chỉ báo (Indicators of compromise) về tấn công mạng có thể ảnh hưởng đến cơ quan, tổ chức, doanh nghiệp Việt Nam. Các đơn vị cần chủ động rà soát các máy chủ, máy trạm, rà soát toàn bộ các hệ thống giám sát theo các chỉ báo mà Trung tâm NCSC cung cấp trong báo cáo nhằm xử lý sớm các rủi ro trong hệ thống, liên tục cập nhật các chỉ báo về tấn công mạng, đặc biệt là các chỉ báo đã được chia sẻ từ hệ thống của Trung tâm NCSC.

 

![2.png](https://khonggianmang.vn/uploads/2_4b41720caf.png)
**_Thông tin IOC được cung cấp tại https://alert.khonggianmang.vn/_**

 

_**Ghi chú:** Danh sách các IOC có thể ảnh hưởng tới cơ quan, tổ chức doanh nghiệp Việt Nam đầy đủ có trong báo cáo đính kèm._

 

**4. Phát hiện và cảnh báo sớm các nguy cơ botnet trong hệ thống**

 

Thực hiện phân tích, theo dõi và dự báo, cảnh báo sớm xu hướng về tấn công mạn, Cục An toàn thông tin (Bộ Thông tin và Truyền thông) đã phát hiện một số chiến dịch tấn công có chủ đích nhắm vào các tổ chức, doanh nghiệp, đơn vị tại Việt Nam. Cục An toàn thông tin đã phát hành Công văn số 1667/CATTT-NCSC ngày 19/8/2024 về việc lỗ hổng an toàn thông tin ảnh hưởng cao và nghiêm trọng trong các sản phẩm Microsoft công bố tháng 08/2024; Công văn số 1578/CATTT-NCSC ngày 08/8/2024 về việc nhóm APT StormBamboo khai thác ISP để thực hiện tấn công diện rộng; Công văn số 1720/CATTT-NCSC ngày 26/8/2024 về việc cảnh báo chiến dịch tấn công mạng có chủ đích nhắm tới Việt Nam.

 

Trung tâm NCSC đã tiến hành thu nhập, phân tích và phát hiện nhiều chỉ báo (Indicators of compromise) về tấn công mạng có thể ảnh hưởng đến cơ quan, tổ chức, doanh nghiệp Việt Nam. Các đơn vị cần chủ đổng à soát các máy chủ, máy trạm, rà soát toàn bộ các hệ thống giám sát theo các chỉ báo mà Trung tâm NCSC cung cấp trong báo cáo nhằm xử lý sớm các rủi ro trong hệ thống, liên tục cập nhật các chỉ báo về tấn công mạng, đặc biệt là các chỉ báo đã được chia sẻ từ hệ thống của Trung tâm NCSC. 

 

Trong **tháng 8/2024**, Trung tâm NCSC phát hiện **21 hệ thống** của các đơn vị có kết nối đến hạ tầng botnet. Trung tâm NCSC đã thực hiện chia sẻ các thông tin botnet này đến các đơn vị thông qua hệ thống phát hiện cảnh báo sớm botnet.

 

![3.png](https://khonggianmang.vn/uploads/3_4f2b5ac944.png)
**_Thông tin các hệ thống ghi nhận nhiễm botnet trên hệ thống phát hiện cảnh báo sớm._**

 

Báo cáo chi tiết xem tại: 
[20240909_BCT08_2024_DN.pdf](https://khonggianmang.vn/uploads/20240909_BCT_08_2024_DN_9a88a1ec5d.pdf)

large_8.jpg

medium_8.jpg

small_8.jpg

thumbnail_8.jpg

8.jpg

Báo cáo ATTT mạng Việt Nam Tháng 8/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

 

**- Cảnh báo:** Cisco phát hành bản vá cho lỗ hổng leo thang đặc quyền root đã có mã khai thác.

 

_**Cảnh báo: Cisco phát hành bản vá cho lỗ hổng leo thang đặc quyền root đã có mã khai thác**_

![CB Cisco.jpg](https://khonggianmang.vn/uploads/CB_Cisco_586a6a601e.jpg)

 

Cisco vừa phát hành bản vá cho một lỗ hổng command injection đã có mã khai thác công khai, cho phép đối tượng tấn công leo thang đặc quyền lên quyền root trên các hệ thống bị ảnh hưởng.

 

Lỗ hổng này có mã định danh CVE-2024-20469, tồn tại trên giải pháp Identity Services Engine (ISE) của Cisco – một phần mềm kiểm soát truy cập mạng dựa trên danh tính và thi hành chính sách, giúp quản lý thiết bị mạng và truy cập điểm cuối trong môi trường doanh nghiệp.

 

Nguyên nhân của lỗ hổng là do quá trình xác thực dữ liệu đầu vào của người dùng không đủ chặt chẽ. Đối tượng tấn công cục bộ có thể khai thác lỗ hổng này bằng cách gửi các lệnh CLI độc hại trong một cuộc tấn công có độ phức tạp thấp mà không cần sự tương tác của người dùng. Tuy nhiên, Cisco cho biết, lỗ hổng này chỉ có thể bị khai thác thành công nếu đối tượng tấn công đã có quyền Quản trị viên trên hệ thống chưa được vá.

 

Cisco cho biết hiện mã khai thác đã có sẵn, nhưng chưa có bằng chứng nào cho thấy lỗ hổng này bị khai thác ngoài thực tế. Hãng cũng cảnh báo rằng một tài khoản backdoor trong phần mềm Smart Licensing Utility Windows đã bị loại bỏ, vì tài khoản này có thể bị lợi dụng để đăng nhập vào các hệ thống chưa vá với quyền quản trị viên.

 

Trong năm 2024, Cisco cũng đã phát hành các bản vá cho các lỗ hổng nghiêm trọng khác, bao gồm lỗ hổng CVE-2024-20295 trên Integrated Management Controller (IMC), cho phép đối tượng tấn công leo thang đặc quyền lên quyền root; và lỗ hổng CVE-2024-20401, cho phép đối tượng tấn công thêm tài khoản root giả mạo và gây crash vĩnh viễn hệ thống Security Email Gateway (SEG) thông qua email độc hại. Một lỗ hổng khác trên Cisco Smart Software Manager On-Prem (Cisco SSM On-Prem) cũng đã được cảnh báo, cho phép đối tượng tấn công thay đổi mật khẩu của bất kỳ người dùng nào trên hệ thống.

 

Đối tượng tấn công có thể khai thác lỗi này để thực thi mã tùy ý và chiếm quyền kiểm soát website. Nhà phát triển plugin đã phát hành bản vá để khắc phục lỗ hổng này. Họ cũng cho biết, lỗ hổng khó bị khai thác trong thực tế vì nó yêu cầu tài khoản bị chiếm dụng phải có quyền chỉnh sửa nội dung trong WordPress và trang web cần có cấu hình đặc biệt. Tuy nhiên, người dùng vẫn nên cập nhật bản vá càng sớm càng tốt để giảm thiểu rủi ro.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **505** lỗ hổng, trong đó có **196** lỗ hổng mức Cao, **231** lỗ hổng mức Trung bình, **10** lỗ hổng mức Thấp và **68** lỗ hổng chưa đánh giá. Trong đó có ít nhất **78** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **Zyxel, Kingsoft và Google**, cụ thể là như sau:

 

**- CVE-2024-7261 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên thiết bị mạng của hãng Zyxel cho phép đối tượng tấn công thực thi mã từ xa do lỗi tại quá trình lọc tham số “host” của chương trình CGI không đảm bảo bảo mật. Hiện lỗ hổng chưa có mã khai thác và chưa được khai thác bởi các nhóm tấn công trong thực tế. 

 

**- CVE-2024-7262 (Điểm CVSS: 7.8 – Cao):** Lỗ hổng tồn tại trên Kingsoft WPS Office cho phép đối tượng tấn công nạp một thư viện Windows tùy ý, dẫn tới việc hệ thống bị thỏa hiệp, qua đó cho phép đối tượng tấn công thực thi mã từ xa, leo thang đặc quyền, truy cập và thực hiện các hành vi trái phép. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác bởi các nhóm tấn công trong thực tế như APT-C-60.

 

**- CVE-2024-7971 (Điểm CVSS: 8.8 – Cao):** Lỗ hổng tồn tại trên Google Chrome cho phép đối tượng tấn công truy cập và thực hiện các hành vi trái phép trên hệ thống sau khi khai thác lỗi heap corruption sử dụng một trang HTML độc hại. Hiện lỗ hổng đã có mã khai tác và đang bị khai thác trong thực tế bởi các nhóm tấn công như Lazarus Group.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**

![Bảng CBT36-01.png](https://khonggianmang.vn/uploads/Bang_CBT_36_01_2a6417db70.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

 

**Tấn công DRDoS:** Trong tuần có **36.907** (**giảm** so với tuần trước **40.171**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **80** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **73** trường hợp tấn công lừa đảo (Phishing), **7** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**

![Bảng CBT36-02.png](https://khonggianmang.vn/uploads/Bang_CBT_36_02_83c3c9af4b.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **462** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_

![Bảng CBT36-03.png](https://khonggianmang.vn/uploads/Bang_CBT_36_03_2789324b0f.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT36.pdf](https://khonggianmang.vn/uploads/2024_CBT_36_d1b5aaea0a.pdf)

large_Tuần 36.jpg

medium_Tuần 36.jpg

small_Tuần 36.jpg

thumbnail_Tuần 36.jpg

Tuần 36.jpg

Cảnh báo an toàn thông tin Tuần 36/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

 

**- Chiến dịch tấn công APT:** Nhóm APT Volt Typhoon từ Trung Quốc khai thác lỗ hổng zero-day trên Versa Director nhằm tấn công lĩnh vực IT ở Mỹ và trên toàn cầu.

**- Cảnh báo:** Lỗ hổng nghiêm trọng trên plugin WPML khiến website WordPress đối mặt với lỗi thực thi mã từ xa.

 

**_Chiến dịch tấn công APT: Nhóm APT Volt Typhoon từ Trung Quốc khai thác lỗ hổng zero-day trên Versa Director nhằm tấn công lĩnh vực IT ở Mỹ và trên toàn cầu_**

![Picture2.png](https://khonggianmang.vn/uploads/Picture2_207051f01f.png)

 

Mới đây, các chuyên gia bảo mật đã ghi nhận một chiến dịch tấn công do nhóm Volt Typhoon thực hiện, khai thác một lỗ hổng zero-day trên Versa Director. Mục tiêu của chiến dịch là triển khai webshell độc hại nhằm đánh cắp dữ liệu và xâm nhập vào hệ thống mạng của các doanh nghiệp thuộc các lĩnh vực cung cấp dịch vụ Internet (ISP), nhà cung cấp dịch vụ quản lý (MSP) và công nghệ thông tin (IT), gây ảnh hưởng đến bốn tổ chức tại Mỹ và một tổ chức quốc tế khác từ ngày 12/06/2024.

 

Lỗ hổng có mã định danh CVE-2024-39717 (điểm CVSS: 6.6), là một lỗi tải lên tệp tin trong Versa Director, cho phép đối tượng tấn công có quyền quản trị viên tải lên các tệp tin độc hại được ngụy trang dưới dạng tệp .PNG thông qua tùy chọn "Change Favicon" trong giao diện của Versa Director.

 

Trong chiến dịch này, nhóm đối tượng tấn công đã triển khai hạ tầng mới, bao gồm các máy chủ C&C, các trang lưu trữ payload, và các máy ảo thử nghiệm. Máy chủ C&C lưu trữ các mã độc để tải xuống, sau đó được sử dụng để truy cập và thiết lập cơ sở hạ tầng mới, hỗ trợ cho sự phát tán của MoonPeak. Trong một số trường hợp, nhóm đối tượng tấn công này còn truy cập vào các máy chủ đã có từ trước để cập nhật payload và thu thập thông tin từ các hệ thống bị nhiễm MoonPeak.

 

Cụ thể, web shell này sử dụng Java instrumentation và Javassist để chèn mã độc vào bộ nhớ của tiến trình máy chủ web Tomcat trên các máy chủ Versa Director đã bị xâm nhập.

 

Sau khi chèn mã độc thành công, nó sẽ tích hợp vào chức năng xác thực của Versa, cho phép đối tượng tấn công thu thập thông tin xác thực dưới dạng văn bản không qua mã hóa, gây ra các cuộc tấn công vào chuỗi cung ứng. Ngoài ra, web shell còn tích hợp với chức năng lọc yêu cầu của Tomcat, cho phép đối tượng tấn công thực thi mã Java trực tiếp trong bộ nhớ, đồng thời tránh được các phương pháp phát hiện dựa trên tệp tin, bảo vệ webshell, các module và lỗ hổng zero-day mà nó khai thác.

 

Các chuyên gia bảo mật khuyến nghị nếu người dùng chưa thể cập nhật bản vá thì nên chặn truy cập tới các cổng 4566 và 4570, rà quét các tệp .PNG và lưu lượng mạng từ thiết bị mạng đến cổng 4566 trên các máy chủ Versa Director.

 

**Danh sách một số IoC được ghi nhận**

![Screenshot 2024-09-06 110030.png](https://khonggianmang.vn/uploads/Screenshot_2024_09_06_110030_2a4f0e5c0a.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Lỗ hổng nghiêm trọng trên plugin WPML khiến website WordPress đối mặt với lỗi thực thi mã từ xa**_

![Picture1.jpg](https://khonggianmang.vn/uploads/Picture1_9c2843769b.jpg)

 

Một lỗ hổng bảo mật nghiêm trọng đã được phát hiện trên plugin WPML của WordPress, cho phép các đối tượng tấn công có quyền người dùng xác thực thực thi mã từ xa tùy ý. Lỗ hổng này có mã CVE-2024-6386 (Điểm CVSS: 9.9), ảnh hưởng đến tất cả các phiên bản của plugin trước phiên bản 4.6.13. Nguyên nhân là do thiếu sót trong việc kiểm tra và xử lý sạch dữ liệu đầu vào. WPML là một plugin phổ biến cho việc tạo các trang web WordPress đa ngôn ngữ, hiện có hơn 1 triệu lượt cài đặt.

 

Chi tiết lỗ hổng do một chuyên gia bảo mật cung cấp cho thấy vấn đề xảy ra khi plugin xử lý các shortcode để hiển thị nội dung như âm thanh, hình ảnh, và video. Plugin này sử dụng mẫu Twig để tạo nội dung từ shortcode nhưng không kiểm tra và xử lý dữ liệu đầu vào đúng cách, dẫn đến lỗi server-side template injection (SSTI). Lỗi SSTI cho phép đối tượng tấn công chèn mã độc vào các mẫu hiển thị của ứng dụng, khiến mã độc được thực thi trên máy chủ.

 

Đối tượng tấn công có thể khai thác lỗi này để thực thi mã tùy ý và chiếm quyền kiểm soát website. Nhà phát triển plugin đã phát hành bản vá để khắc phục lỗ hổng này. Họ cũng cho biết, lỗ hổng khó bị khai thác trong thực tế vì nó yêu cầu tài khoản bị chiếm dụng phải có quyền chỉnh sửa nội dung trong WordPress và trang web cần có cấu hình đặc biệt. Tuy nhiên, người dùng vẫn nên cập nhật bản vá càng sớm càng tốt để giảm thiểu rủi ro.

 

Hiện tại, nhà phát triển plugin đã phát hành bản vá để khắc phục lỗ hổng này. Mặc dù các nhà phát triển cho rằng lỗ hổng khó có thể bị khai thác trong thực tế do yêu cầu tài khoản người dùng bị chiếm đoạt phải có quyền chỉnh sửa nội dung trên WordPress và website phải có cấu hình đặc biệt. Tuy nhiên, người dùng vẫn nên cập nhật bản vá sớm nhất có thể để giảm thiểu rủi ro và bảo vệ hệ thống khỏi các mối đe dọa tiềm ẩn.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **630** lỗ hổng, trong đó có **266** lỗ hổng mức Cao, **185** lỗ hổng mức Trung bình, **13** lỗ hổng mức Thấp và **166** lỗ hổng chưa đánh giá. Trong đó có ít nhất **118** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **GitHub, Google và Jenkins**, cụ thể là như sau:

 

**-CVE-2024-6800 (Điểm CVSS: N/A):** Lỗ hổng là lỗi “XML signature wrapping” tồn tại trên GitHub Enterprise Server (GHES) cho phép đối tượng tấn công có thể sử dụng làm giả một phản hồi SAML để leo thang đặc quyền đạt được quyền quản trị ứng dụng. Hiện lỗ hổng chưa có mã khai thác và chưa có ghi nhận bị khai thác bởi các đối tượng tấn công trong thực tế.

 

**- CVE-2024-7965 (Điểm CVSS: 8.8 – Cao):** Lỗ hổng tồn tại trên Google Chrome cho phép đối tượng tấn công khai thác lỗi Heap Corruption sử dụng một trang HTML độc hại, qua đố truy cập và thực thi các hành vi trái phép trên hệ thống. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác bởi các đối tượng tấn công trong thực tế.

 

**- CVE-2024-23897 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên Jenkins cho phép đối tượng tấn công khai thác chức năng trong parser lệnh CLI để truy cập và đọc các file tùy ý trong file system của bộ điều khiển Jenkins. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế bởi các đối tượng tấn công.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**

![Bảng CBT35-01.png](https://khonggianmang.vn/uploads/Bang_CBT_35_01_b9151b926a.png)

_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

 

**Tấn công DRDoS:** Trong tuần có **40.171** (**giảm** so với tuần trước **41.844**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS.

**Tấn công Web:** Trong tuần, có **85** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **72** trường hợp tấn công lừa đảo (Phishing), **9** trường hợp tấn công cài cắm mã độc.

 

**_Danh sách địa chỉ được sử dụng trong các mạng botnet_**

![Bảng CBT35-02.png](https://khonggianmang.vn/uploads/Bang_CBT_35_02_8281b39f2e.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **774** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_

![Bảng CBT35-03.png](https://khonggianmang.vn/uploads/Bang_CBT_35_03_445e8fb0c7.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT35.pdf](https://khonggianmang.vn/uploads/2024_CBT_35_86bfef4e1e.pdf)

0-02-06-73e587d1c56f84dc9b0537f53ca5364bdd88a38e03c607ea662478ff6f7e2995_7901284955d688c3.jpg

large_0-02-06-73e587d1c56f84dc9b0537f53ca5364bdd88a38e03c607ea662478ff6f7e2995_7901284955d688c3.jpg

medium_0-02-06-73e587d1c56f84dc9b0537f53ca5364bdd88a38e03c607ea662478ff6f7e2995_7901284955d688c3.jpg

small_0-02-06-73e587d1c56f84dc9b0537f53ca5364bdd88a38e03c607ea662478ff6f7e2995_7901284955d688c3.jpg

thumbnail_0-02-06-73e587d1c56f84dc9b0537f53ca5364bdd88a38e03c607ea662478ff6f7e2995_7901284955d688c3.jpg

Cảnh báo an toàn thông tin Tuần 35/2024

**_Thực hiện chức năng giám sát an toàn thông tin trên không gian mạng, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC), thuộc Cục An toàn thông tin, Bộ Thông tin và Truyền thông, đã phát hiện và ghi nhận các thông tin liên quan đến chiến dịch tấn công mạng được thực hiện bởi nhóm tấn công APT StormBamboo._**

 

![IMG_8115.PNG](https://khonggianmang.vn/uploads/IMG_8115_6ecdb72ce5.PNG)

 

Chiến dịch tấn công có chủ đích này nhằm vào các Doanh nghiệp cung cấp dịch vụ mạng Internet, gây ảnh hưởng tới dịch vụ DNS của doanh nghiệp, để thực hiện hình thức tấn công DNS poisoning (giả mạo DNS để điều hướng lưu lượng Internet từ máy chủ hợp pháp sang máy chủ giả mạo). 

 

![IMG_8097.JPG](https://khonggianmang.vn/uploads/IMG_8097_269199d09f.JPG)

 

Mục đích của nhóm nhằm triển khai phần mềm độc hại trên các hệ thống macOS và Windows của người dùng, qua đó chiếm quyền kiểm soát và đánh cắp thông tin quan trọng.

 

Nhóm APT StormBamboo (hay còn gọi là Evasive Panda) đã khai thác thành công lỗ hổng an toàn thông tin trong cơ chế cập nhật phần mềm để tấn công hệ thống thông qua các ISP. Vào giữa năm 2023, đã ghi nhận và phát hiện nhiều hệ thống bị nhiễm mã độc do nhóm này tấn công. 

 

![IMG_8116.JPG](https://khonggianmang.vn/uploads/IMG_8116_0e89b07f13.JPG)

 

Các mã độc này được phát tán thông qua việc thay đổi phản hồi DNS để hướng yêu cầu cập nhật phần mềm tới máy chủ độc hại, từ đó tải về mã độc như: MACMA và POCOSTICK (hay còn gọi là MgBot).

 

Trong quá trình tấn công, StormBamboo đã tận dụng việc cấu hình DNS của các ISP để thực hiện DNS poisoning. Điều này cho phép nhóm điều hướng yêu cầu cập nhật phần mềm hợp pháp tới máy chủ của họ, nơi chứa file mã độc. Các ứng dụng bị ảnh hưởng sẽ tải về tập tin giả mạo chứa mã độc mà không cần sự can thiệp của người dùng.

 

![IMG_8104.JPG](https://khonggianmang.vn/uploads/IMG_8104_bbdc8279a0.JPG)

 

Tiện ích này được sử dụng để trích xuất cookies và dữ liệu từ trình duyệt người dùng, sau đó mã hóa và gửi đến tài khoản Google Drive của kẻ tấn công.

 

**Một số IoC liên quan đến các tấn công gần đây:**

 

![IMG_8110.PNG](https://khonggianmang.vn/uploads/IMG_8110_3ae01a4ed7.PNG)

 

![IMG_8098.JPG](https://khonggianmang.vn/uploads/IMG_8098_685ff2b30d.JPG)

Nhằm đảm bảo an toàn thông tin cho hệ thống thông tin của Quý Đơn ,vị góp phần bảo đảm an toàn cho không gian mạng Việt Nam, Cục An toàn thông tin khuyến nghị Quý Đơn vị thực hiện:

 

**1.** Kiểm tra, rà soát hệ thống thông tin đang sử dụng có khả năng bị ảnh hưởng bởi chiến dịch tấn công trên. Chủ động theo dõi các thông tin liên quan đến chiến dịch nhằm thực hiện ngăn chặn nhằm tránh nguy cơ bị tấn công.

 

**2.** Tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu b khai thác, tấn công mạng; đang thi thường xuyên theo dõi kênh cảnh báo của các cơ quan chức năng và các tổ chức lớn về an toàn thông tin để phát hiện kịp thời các nguy cơ tấn công mạng.

 

**3.** Trong trường hợp cần thiết có thể liên hệ đầu mối hỗ trợ của Cục An toàn thông tin: Trung tâm Giám sát an toàn không gian mạng quốc gia, điện thoại 02432091616, thư điện tử: ncsc@ais.gov.vn.

 

Báo cáo chi tiết xem tại: 
[1.20240806_APTSTORMBAMBOO.PDF](https://khonggianmang.vn/uploads/1_20240806_APTSTORMBAMBOO_34d3943d3b.PDF)

large_thumb.JPG

medium_thumb.JPG

small_thumb.JPG

thumbnail_thumb.JPG

thumb.JPG

Cảnh báo nhóm APT StormBamboo khai thác ISP để thực hiện tấn công diện rộng

Trong quá trình giám sát an toàn thông tin trên không gian mạng, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC), thuộc Cục An toàn thông tin, Bộ Thông tin và Truyền thông, đã phát hiện và ghi nhận một chiến dịch tấn công có chủ đích mới sử dụng kỹ thuật AppDomainManager Injection để phát tán mã độc từ tháng 07/2024. Chiến dịch này, có thể liên quan đến nhóm APT 41, đã ảnh hưởng đến các tổ chức chính phủ và quân sự trong khu vực Châu Á - Thái Bình Dương, bao gồm cả Việt Nam.

 

![0-02-06-003ac00ded6ee8d1e4696eed5d6df6af72b6849f1990ed46b8af9b92df163f8f_6bb4ac0878314647.jpg](https://khonggianmang.vn/uploads/0_02_06_003ac00ded6ee8d1e4696eed5d6df6af72b6849f1990ed46b8af9b92df163f8f_6bb4ac0878314647_71cd78f23d.jpg)

 

Qua phân tích, mã độc trong chiến dịch này được xác định là CobaltStrike, với các dầu hiệu kỹ thuật và hạ tầng tương tự nhóm APT 41. Chiến dịch đã gây ra những tác động ảnh hưởng đến các ốt chức chính phủ tại Đài Loan, các đơn vị quân sự ở Philippines. Điều này cho thấy quy mô và tính chất nguy hiểm của cuộc tấn công, đòi hỏi các biện pháp phòng chống nâng cao từ các cơ quan an ninh mạng trong khu vực.

 

![0-02-06-de2b6181b5335af0965f98900bc299aaf520a722456c0fb06b73f8878fbc1abe_a6e2776c5e6f4a6a.jpg](https://khonggianmang.vn/uploads/0_02_06_de2b6181b5335af0965f98900bc299aaf520a722456c0fb06b73f8878fbc1abe_a6e2776c5e6f4a6a_9c6c565ee8.jpg)

 

**Dưới đây là một số IoC liên quan đến các tấn công gần đây:**

 

![0-02-06-e5858f89569b725160965dabe2b5d36741dc8de5082dbab5fd0642bfcfaccd6d_f78d10744816e19c.jpg](https://khonggianmang.vn/uploads/0_02_06_e5858f89569b725160965dabe2b5d36741dc8de5082dbab5fd0642bfcfaccd6d_f78d10744816e19c_122192441f.jpg)

Danh sách IoC sẽ được cập nhật liên tục tại địa chỉ ➡️ alert.khonggianmang.vn

 

![0-02-06-d3190124da1454157ddb385a805c3a27ccc0db360fddfad4f6acc46970fd9597_7bc385ec0ba25bdc.jpg](https://khonggianmang.vn/uploads/0_02_06_d3190124da1454157ddb385a805c3a27ccc0db360fddfad4f6acc46970fd9597_7bc385ec0ba25bdc_b7edeb5132.jpg)

 

Nhằm đảm bảo an toàn thông tin cho hệ thống thông tin của Quý Đơn ,vị góp phần bảo đảm an toàn cho không gian mạng Việt Nam, Cục An toàn thông tin khuyến nghị Quý Đơn vị thực hiện:

 

**1.** Kiểm tra, rà soát hệ thống thông tin đang sử dụng có khả năng bị ảnh hưởng bởi chiến dịch tấn công trên. Chủ động theo dõi các thông tin liên quan đến chiến dịch nhằm thực hiện ngăn chặn nhằm tránh nguy cơ bị tấn công.

 

**2.** Tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu b khai thác, tấn công mạng; đang thi thường xuyên theo dõi kênh cảnh báo của các cơ quan chức năng và các tổ chức lớn về an toàn thông tin để phát hiện kịp thời các nguy cơ tấn công mạng.

 

**3.** Trong trường hợp cần thiết có thể liên hệ đầu mối hỗ trợ của Cục An toàn thông tin: Trung tâm Giám sát an toàn không gian mạng quốc gia, điện thoại 02432091616, thư điện tử: ncsc@ais.gov.vn.

 

Báo cáo chi tiết xem tại: 
[2024-08-27-16-24-12-01.PDF](https://khonggianmang.vn/uploads/2024_08_27_16_24_12_01_c863a30183.PDF)

large_Tấn công VN.jpg

medium_Tấn công VN.jpg

small_Tấn công VN.jpg

thumbnail_Tấn công VN.jpg

Tấn công VN.jpg

Cảnh báo chiến dịch tấn công mạng có chủ đích nhằm tới Việt Nam

**1. TIN TỨC AN TOÀN THÔNG TIN**

**- Chiến dịch tấn công APT:** Nhóm tấn công Triều Tiên triển khai trojan MoonPeak trong chiến dịch tấn công mạng mới nhất.

**- Cảnh báo:** Google đã phát hành bản vá khẩn cấp cho Chrome nhằm sửa lỗ hổng zero-day thứ 9 bị khai thác trong năm 2024.

 

_**Chiến dịch tấn công APT: Nhóm tấn công Triều Tiên triển khai trojan MoonPeak trong chiến dịch tấn công mạng mới nhất**_

![APT.jpeg](https://khonggianmang.vn/uploads/APT_0532ab743f.jpeg)

Một loại trojan truy cập từ xa (RAT) mới có tên MoonPeak đã được phát hiện, do một nhóm đối tượng tấn công hậu thuẫn bởi Triều Tiên triển khai trong chiến dịch tấn công mạng mới nhất. Theo ghi nhận từ Cisco Talos, chiến dịch này được gán mã UAT-5394 và có những điểm tương đồng về mặt chiến thuật với nhóm APT Kimsuky, một nhóm đối tượng tấn công quốc gia đã được biết đến trước đó.

 

Mã độc MoonPeak vẫn đang trong quá trình phát triển, đây là một biến thể của mã độc Xeno RAT mã nguồn mở. Trước đây, Xeno RAT đã được sử dụng trong các chiến dịch lừa đảo, với mục tiêu tải xuống các payload từ các dịch vụ đám mây do đối tượng tấn công kiểm soát như Dropbox, Google Drive, và Microsoft OneDrive.

 

Trong chiến dịch này, nhóm đối tượng tấn công đã triển khai hạ tầng mới, bao gồm các máy chủ C&C, các trang lưu trữ payload, và các máy ảo thử nghiệm. Máy chủ C&C lưu trữ các mã độc để tải xuống, sau đó được sử dụng để truy cập và thiết lập cơ sở hạ tầng mới, hỗ trợ cho sự phát tán của MoonPeak. Trong một số trường hợp, nhóm đối tượng tấn công này còn truy cập vào các máy chủ đã có từ trước để cập nhật payload và thu thập thông tin từ các hệ thống bị nhiễm MoonPeak.

 

Đáng chú ý, sự phát triển liên tục của MoonPeak đi đôi với việc triển khai cơ sở hạ tầng mới bởi nhóm đối tượng tấn công và mỗi phiên bản của mã độc đều được trang bị các kỹ thuật ẩn mình nhằm làm khó khăn quá trình phân tích, cùng với việc thay đổi giao thức liên lạc để ngăn chặn truy cập trái phép. Nói cách khác, nhóm đối tượng tấn công đã thiết kế MoonPeak sao cho mỗi biến thể của mã độc chỉ hoạt động với phiên bản máy chủ C&C tương ứng.

 

Các chuyên gia bảo mật nhận định rằng, việc nhóm UAT-5394 liên tục triển khai và nâng cấp mã độc như trường hợp của MoonPeak cho thấy nhóm này đang tiếp tục bổ sung và cải thiện các công cụ tấn công trong hệ thống của mình. Tốc độ triển khai cơ sở hạ tầng mới nhanh chóng cũng là dấu hiệu cho thấy UAT-5394 đang nỗ lực mở rộng phạm vi chiến dịch tấn công, bổ sung thêm các điểm lây nhiễm và máy chủ C&C mới.

 

**Danh sách một số IoC được ghi nhận**
![DS IoC.png](https://khonggianmang.vn/uploads/DS_Io_C_7e6ac558b4.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Google đã phát hành bản vá khẩn cấp cho Chrome nhằm sửa lỗ hổng Zero-day thứ 9 bị khai thác trong năm 2024**_

![Cảnh báo Chrome.webp](https://khonggianmang.vn/uploads/Canh_bao_Chrome_a051ee88dd.webp)

 

Gần đây, Google đã phát hành bản cập nhật bảo mật khẩn cấp để vá lỗ hổng Zero-day CVE-2024-7971, được phát hiện là đã bị khai thác trong các cuộc tấn công thực tế. Lỗ hổng này là một lỗi "type confusion" trong engine V8 JavaScript của Chrome cho phép đối tượng tấn công gây ra sự cố trình duyệt sau khi dữ liệu được đưa vào bộ nhớ bị hiểu sai và có thể thực thi mã tùy ý trên thiết bị chưa được vá.

 

Hiện nay, lỗ hổng này đã được khắc phục trong phiên bản 128.0.6613.84/.85 cho Windows/macOS và 128.0.6613.84 cho Linux. Các bản cập nhật sẽ được phát hành tự động cho người dùng trong vài tuần tới. Để đẩy nhanh quá trình cập nhật, người dùng có thể vào menu của Chrome, chọn “Trợ giúp” sau đó chọn “Giới thiệu về Google Chrome” để cập nhật và chọn “Khởi động lại” để cài đặt trình duyệt.

 

Việc này nhằm ngăn chặn các đối tượng tấn công khác lợi dụng lỗ hổng trước khi mọi người đều được bảo vệ. CVE-2024-7971 là lỗ hổng zero-day thứ 9 được vá bởi Google trong năm 2024, với danh sách cụ thể như sau:

 

**- CVE-2024-0519:** Lỗ hổng truy cập bộ nhớ ngoài vùng cho phép trong engine V8 JavaScript, cho phép đối tượng tấn công khai thác heap corruption thông qua trang HTML độc hại, dẫn đến truy cập thông tin trái phép.

**- CVE-2024-2887:** Lỗ hổng type confusion trên tiêu chuẩn WebAssembly, cho phép thực thi mã từ xa qua trang HTML độc hại.

**- CVE-2024-2887:** Lỗ hổng use-after-free trong WebCodecs API, cho phép đối tượng tấn công thực hiện đọc/ghi tùy ý qua trang HTML độc hại, dẫn đến thực thi mã từ xa.

**- CVE-2024-3159:** Lỗ hổng đọc ngoài vùng trong engine V8 JavaScript, dẫn đến khai thác heap corruption và truy cập thông tin trái phép.

**- CVE-2024-4671:** Lỗ hổng Use-after-free tồn tại trên thành phần Visuals có chức năng hiển thị nội dung cho browser.

**- CVE-2024-4761:** Lỗ hổng ghi ngoài vùng cho phép tồn tại trên engine V8 Javascript của Chrome, cho phép đối tượng tấn công thực thi mã Javascript trên ứng dụng.

**- CVE-2024-4947:** Lỗ hổng type confusion trên engine V8 Javascript của Chrome cho phép đối tượng tấn công thực thi mã từ xa.

**- CVE-2024-5274:** Lỗ hổng type confusion trên engine V8 Javascript của Chrome cho phép đối tượng tấn công thực thi mã từ xa, dẫn đến sự cố trình duyệt hoặc hỏng dữ liệu.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **993** lỗ hổng, trong đó có **399** lỗ hổng mức Cao, **365** lỗ hổng mức Trung bình, **37** lỗ hổng mức Thấp và **192** lỗ hổng chưa đánh giá. Trong đó có ít nhất **114** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **FreeBSD, Ivanti và Microsoft**, cụ thể là như sau:

 

**- CVE-2024-7589 (Điểm CVSS: 8.1 - Cao):** Lỗ hổng tồn tại trên FreeBSD cho phép đối tượng tấn công thực thi mã từ xa dưới quyền root. Xảy ra do lỗi trên sshd(8) cho phép chương trình gọi lên hàm ghi log không đạt chuẩn async-signal-safe. Hiện lỗ hổng chưa có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công.

 

**- CVE-2024-7593 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên Ivanti Virtual Traffic Manager (vTM) cho phép đối tượng tấn công không được xác thực có thể bỏ qua bước xác thực tại admin panel do sai sót trong khâu triển khai thuật toán xác thực. Qua đó, cho phép đối tượng tấn công truy cập và thực thi các hành vi trái phép. Hiện lỗ hổng chưa có mã khai thác và chưa có ghi nhận bị khai thác trong thực tế bởi các nhóm tấn công.

 

**- CVE-2024-38063 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên Windows TCP/IP cho phép đối tượng tấn công thực thi mã từ xa. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế bởi các nhóm tấn công. 

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**
![Bảng CBT34-01.png](https://khonggianmang.vn/uploads/Bang_CBT_34_01_6558ae19ed.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

**Tấn công DRDoS:** Trong tuần có **41.844** (**giảm** so với tuần trước **42.096**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**Tấn công Web:** Trong tuần, có **85** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **74** trường hợp tấn công lừa đảo (Phishing), **11** trường hợp tấn công cài cắm mã độc.

 

_**Danh sách địa chỉ được sử dụng trong các mạng botnet**_
![Bảng CBT34-02.png](https://khonggianmang.vn/uploads/Bang_CBT_34_02_d135994b99.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **537** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT34-03.png](https://khonggianmang.vn/uploads/Bang_CBT_34_03_b06e879841.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT34.pdf](https://khonggianmang.vn/uploads/2024_CBT_34_cf5513cd5e.pdf)

large_Tuần 34.jpg

medium_Tuần 34.jpg

small_Tuần 34.jpg

thumbnail_Tuần 34.jpg

Tuần 34.jpg

Cảnh báo an toàn thông tin Tuần 34/2024

Ngày **13/08/2024**, Microsoft đã phát hành danh sách bản vá tháng **08** với **90 lỗ hổng** an toàn thông tin trong các sản phẩm của mình. 

 

**Bản phát hành tháng này đặc biệt đáng chú ý vào các lỗ hổng an toàn thông tin có mức ảnh hưởng cao và nghiêm trọng sau:**

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-38063** trong Windows TCP/IP cho phép đối tượng tấn công thực thi mã từ xa.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-38199** trong Windows Line Printer Daemon (LPD) Service cho phép đối tượng tấn công thực thi mã từ xa. Thông tin chi tiết về lỗ hổng đã được công bố công khai.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-38189** trong Microsoft Project cho phép đối tượng tấn công thực thi mã từ xa. Lỗ hổng hiện đang bị khai thác trong thực tế. 

 

**- 02** lỗ hổng an toàn thông tin **CVE-2024-38218, CVE-2024-38219** trong Microsoft Edge cho phép đối tượng tấn công thực thi mã từ xa.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-38193** trong Windows Ancillary Function Driver for WinSock cho phép đối tượng tấn công thực hiện leo thang đặc quyền. Lỗ hổng hiện đang bị khai thác trong thực tế.

 

**-** Lỗ hổng an toàn thông tin **CVE-2024-38107** trong Windows Power Dependency Coordinator cho phép đối tượng tấn công thực hiện leo thang đặc quyền. Lỗ hổng hiện đang bị khai thác trong thực tế.

 

Chi tiết cảnh báo xem tại: 
[20240814_MICROSOFTTHANG08.2024.PDF](https://khonggianmang.vn/uploads/20240814_MICROSOFTTHANG_08_2024_bfbcd837ab.PDF)

large_Lỗ hổng Microsoft.jpg

medium_Lỗ hổng Microsoft.jpg

small_Lỗ hổng Microsoft.jpg

thumbnail_Lỗ hổng Microsoft.jpg

Lỗ hổng Microsoft.jpg

Lỗ hổng bảo mật có mức ảnh hưởng cao và nghiêm trọng trong các sản phẩm Microsoft công bố tháng 08/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

**- Chiến dịch tấn công APT:** Nhóm tấn công có liên quan tới Black Basta thực hiện chiến dịch phát tán mã độc SystemBC.

**- Cảnh báo:** Phát hiện lỗ hổng RCE trong TCP/IP trên Windows ảnh hưởng đến hệ thống IPv6 mà không cần tương tác từ người dùng.

 

_**Chiến dịch tấn công APT: Nhóm tấn công có liên quan tới Black Basta thực hiện chiến dịch phát tán mã độc SystemBC**_

![APT.jpg](https://khonggianmang.vn/uploads/APT_88672e1f12.jpg)

Một chiến dịch tấn công theo hình thức social engineering đã được phát hiện và được nghi ngờ có liên hệ với nhóm sử dụng ransomware Black Basta. Mục tiêu của chiến dịch là đánh cắp thông tin xác thực và phát tán mã độc SystemBC. Kẻ tấn công đã gửi một lượng lớn email chứa mồi nhử, sau đó gọi điện cho người dùng để hướng dẫn cách xử lý.

 

Chuỗi tấn công bắt đầu bằng việc lừa người dùng tải xuống và cài đặt phần mềm hợp pháp AnyDesk, cho phép đối tượng tấn công truy cập từ xa vào thiết bị và triển khai các payload độc hại nhằm thu thập dữ liệu nhạy cảm.

 

Trong chiến dịch này, đối tượng tấn công sử dụng file thực thi có tên “AntiSpam.exe”, giả mạo là công cụ lọc email spam và thúc giục người dùng nhập thông tin đăng nhập Windows để hoàn tất cập nhật. Tiếp theo, đối tượng tấn công thực thi các tệp binary, DLL, và script PowerShell có chứa một HTTP beacon viết bằng Golang để kết nối với máy chủ từ xa, cùng với một proxy SOCKS và mã độc SystemBC.

 

Theo các chuyên gia bảo mật, để giảm thiểu rủi ro, người dùng nên chặn tất cả các giải pháp truy cập từ xa trên máy tính và cảnh giác với các cuộc gọi hoặc tin nhắn bất thường tự nhận là từ nhân viên IT nội bộ. Thông tin về chiến dịch này được công bố trong bối cảnh nhiều mã độc khác như SocGholish (FakeUpdates), GootLoader, và Raspberry Robin đang là những bộ nạp mã độc phổ biến nhất trong năm 2024. Những mã độc này thường được sử dụng để triển khai ransomware và được bán trên các diễn đàn Dark web theo mô hình trả phí hàng tháng.

 

Chiến dịch trên chỉ là một phần của loạt tấn công lừa đảo và social engineering được phát hiện trong tuần qua. **Một số nhóm tấn công khác còn sử dụng mã QR giả mạo để gây hại, bao gồm:**

 

**-** Chiến dịch ClearFake sử dụng website để phát tán mã độc .NET dưới dạng cập nhật Google Chrome.

**-** Tấn công lừa đảo với nội dung tuyển dụng để phát tán mã độc như AsyncRAT, Pure HVNC, XWorm và Venom RAT thông qua shellcode loader viết bằng Python.

**-** Chiến dịch sử dụng website giả mạo ngân hàng tại Anh để phát tán phần mềm AnyDesk tới người dùng Windows và macOS, qua đó đánh cắp dữ liệu.

**-** Website giả mạo WinRAR phát tán ransomware, mã độc đào tiền ảo và mã độc đánh cắp dữ liệu Kematian Stealer.

**-** Chiến dịch drive-by-download sử dụng quảng cáo độc hại và các website bị xâm nhập để phân phối mã độc NetSupport RAT.

**-** Chiến dịch quảng cáo mã độc trên mạng xã hội, chiếm dụng tài khoản Facebook để quảng bá website chỉnh ảnh AI, lừa người dùng tải xuống công cụ ITarian nhằm truy cập hệ thống và phát tán mã độc Lumma Stealer.

 

**Danh sách một số IoC được ghi nhận**
![DS IoC.png](https://khonggianmang.vn/uploads/DS_Io_C_384741cc3f.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Phát hiện lỗ hổng RCE trong TCP/IP trên Windows ảnh hưởng đến hệ thống IPv6 mà không cần tương tác từ người dùng**_

![Cảnh báo CVE-2024-38063.png.webp](https://khonggianmang.vn/uploads/Canh_bao_CVE_2024_38063_png_c04e97215d.webp)

 

Trong tuần qua, Microsoft đã phát hành bản vá cho một lỗ hổng nghiêm trọng trong giao thức TCP/IP trên hệ thống Windows, cho phép thực thi mã từ xa (RCE) với mã định danh CVE-2024-38063. Lỗ hổng này tồn tại trên mọi hệ thống Windows có IPv6 được bật mặc định, bao gồm Windows 10, Windows 11 và các phiên bản Windows Server.

 

Lỗ hổng CVE-2024-38063 phát sinh do lỗi Integer Underflow, cho phép đối tượng tấn công gây ra tràn bộ đệm và thực thi mã tùy ý trên hệ thống mục tiêu. Đáng chú ý, việc chặn IPv6 trên tường lửa của Windows không đủ để ngăn chặn lỗ hổng này bị khai thác, vì lỗi xảy ra trước khi tường lửa xử lý thông tin.

 

Microsoft cảnh báo rằng lỗ hổng có thể bị khai thác từ xa thông qua các cuộc tấn công có mức độ phức tạp thấp, bằng cách gửi liên tục các gói tin IPv6 chứa mã độc. Hãng cũng đánh giá đây là lỗ hổng "dễ bị khai thác," cho phép đối tượng tấn công tạo mã khai thác để tấn công liên tục. Nếu chưa thể cập nhật bản vá, Microsoft khuyến nghị người dùng nên tạm thời vô hiệu hóa IPv6 để tránh bị ảnh hưởng.

 

Trong những năm gần đây, Microsoft đã khắc phục nhiều lỗ hổng liên quan đến IPv6, bao gồm hai lỗ hổng TCP/IP (CVE-2020-16898 và CVE-2020-16899) có thể bị khai thác để thực thi mã từ xa và tấn công từ chối dịch vụ thông qua các gói tin ICMPv6 Router Advertisement độc hại. Ngoài ra, lỗ hổng phân mảnh IPv6 (CVE-2021-24086) đã làm ảnh hưởng đến mọi phiên bản Windows với nguy cơ bị tấn công DoS, và lỗ hổng CVE-2023-28231 trên DHCPv6 cũng cho phép đối tượng tấn công thực thi mã từ xa.

 

Mặc dù chưa có ghi nhận về việc lỗ hổng này bị khai thác trong các chiến dịch tấn công diện rộng, người dùng vẫn nên cập nhật bản vá càng sớm càng tốt để giảm thiểu rủi ro bị tấn công.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **458** lỗ hổng, trong đó có **214** lỗ hổng mức Cao, **160** lỗ hổng mức Trung bình, **13** lỗ hổng mức Thấp và **71** lỗ hổng chưa đánh giá. Trong đó có ít nhất **90** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **1Password và Microsoft**, cụ thể là như sau:

 

**- CVE-2018-0824 (Điểm CVSS: 8.8 - Cao):** Lỗ hổng tồn tại trên “Microsoft COM for Windows” cho phép đối tượng tấn công thực thi mã từ xa thông qua lỗi xử lý đối tượng tuần tự thất bại. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong môi trường thực tế.

 

**- CVE-2024-42219 (Điểm CVSS: 7.0 – Cao):** Lỗ hổng tồn tại trên ứng dụng 1Password cho hệ điều hành macOS, xảy ra do quá trình xác thực liên lạc giữa các tiến trình XPC thất bại. Cho phép đối tượng tấn công truy cập và trích xuất các thông tin lưu trong ứng dụng. Hiện lỗ hổng chưa có mã khai thác và chưa có ghi nhận khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

**- CVE-2024-42218 (Điểm CVSS: 6.3 – Trung bình):** Lỗ hổng tồn tại trên ứng dụng 1Password cho hệ điều hành macOS. Đối tượng tấn công có thể khai thác lỗ hổng bằng cách vượt qua các biện pháp bảo mật của macOS, qua đó cho phép đối tượng tấn công truy cập và trích xuất các thông tin lưu trong ứng dụng. Hiện lỗ hổng chưa có mã khai thác và chưa có ghi nhận khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**
![Bảng CBT33-01.png](https://khonggianmang.vn/uploads/Bang_CBT_33_01_826f1b5249.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

**Tấn công DRDoS:** Trong tuần có **42.096** (**tăng** so với tuần trước **39.745**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**Tấn công Web:** Trong tuần, có **95** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **87** trường hợp tấn công lừa đảo (Phishing), **8** trường hợp tấn công cài cắm mã độc.

 

_**Danh sách địa chỉ được sử dụng trong các mạng botnet**_
![Bảng CBT33-02.png](https://khonggianmang.vn/uploads/Bang_CBT_33_02_612156053d.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **582** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT33-03.png](https://khonggianmang.vn/uploads/Bang_CBT_33_03_7da96e40bb.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT33.pdf](https://khonggianmang.vn/uploads/2024_CBT_33_e01257ffdd.pdf)

large_Tuần 33.jpg

medium_Tuần 33.jpg

small_Tuần 33.jpg

thumbnail_Tuần 33.jpg

Tuần 33.jpg

Cảnh báo an toàn thông tin Tuần 33/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

**- Chiến dịch tấn công APT:** Nhóm APT Moonstone Sleet của Triều Tiên tiếp tục chiến dịch phát tán mã độc thông qua npm.

**- Cảnh báo:** Chiến dịch tấn công thông qua Windows Update có thể "gỡ bỏ" các bản vá hệ thống.

 

_**Chiến dịch tấn công APT: Nhóm APT Moonstone Sleet của Triều Tiên tiếp tục chiến dịch phát tán mã độc thông qua npm**_

![APT.png](https://khonggianmang.vn/uploads/APT_e28b6d0a76.png)

Nhóm tấn công Moonstone Sleet, được Triều Tiên hậu thuẫn, mới đây đã phát tán các gói npm độc hại lên registry JavaScript với mục tiêu xâm nhập vào hệ thống Windows. Điều này cho thấy sự dai dẳng và liên tục của chiến dịch mà nhóm này đang triển khai.

 

Vào ngày 7/7/2024, hai gói tin độc hại có tên harthat-api và harthat-hash đã được phát hành lên registry npm. Tuy nhiên, cả hai gói này không thu hút bất kỳ lượt tải xuống nào và đã bị gỡ bỏ chỉ sau một thời gian ngắn. Đáng chú ý, mã độc trong các gói này đã tái sử dụng mã nguồn từ một repository GitHub nổi tiếng có tên node-config, vốn là một công cụ phổ biến trong cộng đồng lập trình.

 

Moonstone Sleet thường xuyên triển khai các chuỗi tấn công bằng cách phát tán các tệp ZIP giả mạo qua LinkedIn thông qua các tài khoản công ty giả hoặc trên các nền tảng freelancer, từ đó lừa người dùng thực thi mã độc bằng cách tải và chạy các gói npm giả mạo. Khi thực thi, gói npm độc hại sẽ sử dụng lệnh curl để kết nối với một máy chủ do kẻ tấn công kiểm soát, từ đó tải về các payload bổ sung như SplitLoader. Trong một cuộc tấn công khác, Moonstone Sleet đã sử dụng một loader npm độc hại để đánh cắp thông tin đăng nhập từ quy trình LSASS của Windows.

 

Các gói mã độc mới phát hiện của nhóm này được lập trình để thực hiện một script pre-install được chỉ định trong file package.json. Script này kiểm tra xem hệ thống có đang chạy Windows hay không (thông qua tham số "Windows_NT"). Nếu đúng, nó sẽ kết nối với máy chủ C&C để tải về một tệp DLL, sau đó sử dụng binary rundll32.exe để sideload tệp này vào hệ thống. Mặc dù tệp DLL này chưa thực hiện các hành vi độc hại ngay lập tức, điều này có thể là một thử nghiệm về cơ sở hạ tầng phát tán mã độc, hoặc có khả năng mã độc thực tế chưa được tích hợp vào tệp DLL trước khi nó bị phát hiện và gỡ bỏ.

 

Thông tin về hoạt động của Moonstone Sleet lần này xuất hiện trong bối cảnh Hàn Quốc đã cảnh báo về các chiến dịch tấn công khác từ các nhóm tin tặc Triều Tiên như Andariel và Kimsuky. Các nhóm này đã nhắm mục tiêu vào ngành xây dựng và máy móc của Hàn Quốc, phát tán các mã độc như Dora RAT và TrollAgent (còn gọi là Troll Stealer). Đáng chú ý, chuỗi tấn công của Dora RAT đã khai thác cơ chế cập nhật của phần mềm VPN nội địa để phát tán mã độc, gây ra nguy cơ lớn cho các hệ thống bị tấn công.

 

**Danh sách một số IoC được ghi nhận**
![DS IoC.png](https://khonggianmang.vn/uploads/DS_Io_C_b78de8dad5.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Chiến dịch tấn công thông qua Windows Update có thể "gỡ bỏ" các bản vá hệ thống**_

![Cảnh báo Windows.jpg](https://khonggianmang.vn/uploads/Canh_bao_Windows_03d77ef09c.jpg)

Tại sự kiện Black Hat 2024, một chuyên gia bảo mật từ SafeBreach đã tiết lộ một hình thức tấn công hạ cấp qua Windows Update. Phương pháp này khai thác hai lỗ hổng zero-day (CVE-2024-38202 và CVE-2024-21302) nhằm làm mất hiệu lực các bản vá trên Windows 10, Windows 11 và Windows Server, khiến các lỗ hổng đã được vá trước đó quay trở lại.

 

Microsoft đã phát hành cảnh báo về hai lỗ hổng zero-day chưa được vá (CVE-2024-38202 và CVE-2024-21302) trong buổi thuyết trình tại Black Hat, đồng thời cung cấp các biện pháp giảm thiểu nguy cơ cho đến khi bản vá chính thức được phát hành.

 

Trong hình thức tấn công này, đối tượng tấn công có thể buộc hệ thống quay về các phiên bản phần mềm cũ, khiến các lỗ hổng đã được vá trước đó xuất hiện trở lại và có thể bị khai thác. Cụ thể, quy trình cập nhật của Windows có thể bị khai thác để hạ cấp các thành phần quan trọng của hệ điều hành, như thư viện liên kết động (DLL) và NT Kernel. Dù các thành phần này đã bị hạ cấp, Windows Update vẫn báo cáo rằng hệ thống được cập nhật đầy đủ, và các công cụ khôi phục hoặc quét không phát hiện ra vấn đề.

 

Khi các lỗ hổng zero-day này bị khai thác, đối tượng tấn công có thể hạ cấp Secure Kernel của Credential Guard, Isolated User Mode Process và hypervisor của Hyper-V. Điều này làm lộ ra các lỗ hổng leo thang đặc quyền đã được vá trước đó. Các chuyên gia bảo mật cho biết, phương pháp tấn công này có thể biến những lỗ hổng đã được vá thành lỗ hổng zero-day, khiến khái niệm "hệ thống đã được vá" không còn ý nghĩa trên tất cả các máy tính Windows.

 

Tính nghiêm trọng của hình thức tấn công này là nó không thể bị phát hiện, không bị chặn bởi các giải pháp Endpoint Detection & Response (EDR), và không thể được nhận diện bởi người dùng vì Windows Update vẫn báo cáo rằng hệ thống đã được cập nhật đầy đủ, dù thực tế đã bị hạ cấp.

 

Chuyên gia bảo mật đã thông báo cho Microsoft về các lỗ hổng từ tháng 2 năm 2024, nhưng đến nay, Microsoft vẫn chưa phát hành bản vá cho CVE-2024-38202 (leo thang đặc quyền trên Windows Update Stack) và CVE-2024-21302 (leo thang đặc quyền trên Windows Secure Kernel Mode). Lỗ hổng CVE-2024-38202 cho phép đối tượng tấn công có quyền người dùng cơ bản "gỡ bỏ" các bản vá hoặc vượt qua bảo mật Virtualization Based Security (VBS). Trong khi đó, lỗ hổng CVE-2024-21302 cho phép đối tượng tấn công sử dụng quyền quản trị thay thế các file hệ thống Windows bằng các phiên bản cũ hơn.

 

Hiện chưa có báo cáo về việc hai lỗ hổng này bị khai thác thực tế. Người dùng được khuyến nghị thực hiện các biện pháp giảm thiểu rủi ro khai thác cho đến khi bản vá chính thức được phát hành. Chuyên gia bảo mật cũng nhấn mạnh rằng hình thức tấn công này có thể không chỉ ảnh hưởng đến Windows mà còn có thể tiềm tàng nguy cơ đối với các hệ điều hành khác.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **773** lỗ hổng, trong đó có **200** lỗ hổng mức Cao, **254** lỗ hổng mức Trung bình, **26** lỗ hổng mức Thấp và **293** lỗ hổng chưa đánh giá. Trong đó có ít nhất **90** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **1Password và Microsoft**, cụ thể là như sau:

 

**- CVE-2018-0824 (Điểm CVSS: 8.8 - Cao):** Lỗ hổng tồn tại trên “Microsoft COM for Windows” cho phép đối tượng tấn công thực thi mã từ xa thông qua lỗi xử lý đối tượng tuần tự thất bại. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong môi trường thực tế.

 

**- CVE-2024-42219 (Điểm CVSS: 7.0 – Cao):** Lỗ hổng tồn tại trên ứng dụng 1Password cho hệ điều hành macOS, xảy ra do quá trình xác thực liên lạc giữa các tiến trình XPC thất bại. Cho phép đối tượng tấn công truy cập và trích xuất các thông tin lưu trong ứng dụng. Hiện lỗ hổng chưa có mã khai thác và chưa có ghi nhận khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

**- CVE-2024-42218 (Điểm CVSS: 6.3 – Trung bình):** Lỗ hổng tồn tại trên ứng dụng 1Password cho hệ điều hành macOS. Đối tượng tấn công có thể khai thác lỗ hổng bằng cách vượt qua các biện pháp bảo mật của macOS, qua đó cho phép đối tượng tấn công truy cập và trích xuất các thông tin lưu trong ứng dụng. Hiện lỗ hổng chưa có mã khai thác và chưa có ghi nhận khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**
![Bảng CBT32-01.png](https://khonggianmang.vn/uploads/Bang_CBT_32_01_12b5b1cdc2.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

**Tấn công DRDoS:** Trong tuần có **39.745** (**tăng** so với tuần trước **41.696**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**Tấn công Web:** Trong tuần, có **135** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **118** trường hợp tấn công lừa đảo (Phishing), **17** trường hợp tấn công cài cắm mã độc.

 

_**Danh sách địa chỉ được sử dụng trong các mạng botnet**_
![Bảng CBT32-02.png](https://khonggianmang.vn/uploads/Bang_CBT_32_02_2de3dcbafe.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **966** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT32-03.png](https://khonggianmang.vn/uploads/Bang_CBT_32_03_37fc1a78c0.png)

 

Chi tiết báo cáo xem tại: [2024_CBT32.pdf](https://khonggianmang.vn/uploads/2024_CBT_32_7b55a3e3fc.pdf)

large_Tuần 32.jpg

medium_Tuần 32.jpg

small_Tuần 32.jpg

thumbnail_Tuần 32.jpg

Tuần 32.jpg

Cảnh báo an toàn thông tin Tuần 32/2024

Ngày **09/08/2024** Cục An toàn thông tin đã phát hành Báo cáo An toàn thông tin mạng Việt Nam số 13/BC-CATTT về Tình hình an toàn thông tin tháng **07/2024** và thống kê kết nối chia sẻ dữ liệu về mã độc, giám sát.

 

Theo đó báo cáo đã cập nhật:

 

**1. Phát hiện và ngăn chặn lừa đảo trên không gian mạng**

 

Thực hiện công tác kiểm tra, rà soát an toàn thông tin trên không gian mạng, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) đã ghi nhận **125.059** địa chỉ website giả mạo cơ quan, tổ chức. Các đối tượng sử dụng website giả mạo này để lừa đảo, gây thiệt hại cho người dân trên không gian mạng, đồng thời gây thiệt hại nghiêm trọng đến uy tín, thương hiệu của chính cơ quan, tổ chức bị giả mạo.

 

Trong **tháng 7/2024**, hệ thống của NCSC đã phát hiện **125 website giả mạo** thương hiệu với mục đích lừa đảo được phát tán trên không gian mạng.

 

![1.png](https://khonggianmang.vn/uploads/1_2f06472c33.png)
_Danh sách các website lừa đảo được cập nhật tại https://alert.khonggianmang.vn/_

 

_**Ghi chú:** Danh sách các website giả mạo đầy đủ có trong báo cáo đính kèm._

 

**2. Phát hiện và cảnh báo sớm các lỗ hổng của các hệ thống thông tin trên không gian mạng**

 

Thực hiện nhiệm vụ thu thập thông tin, tổng hợp, phân tích, theo dõi và dự báo, cảnh báo sớm xu hướng về các hoạt động, diễn biến trên không gian mạng Việt Nam. Trong **tháng 7/2024**, Hệ thống giám sát kỹ thuật của NCSC đã ghi nhận có **36.497** điểm yếu, lỗ hổng an toàn thông tin tại các máy chủ, máy trạm, hệ thống thông tin của các cơ quan tổ chức nhà nước.

 

Trong **tháng 7/2024**, hệ thống giám sát, rà quét từ xa của Trung tâm NCSC đã phát hiện hơn **1600 lỗ hổng** trên **5000 hệ thống** đang mở công khai trên Internet. Trung tâm NCSC cũng đã ghi nhận **12 lỗ hổng mới** được công bố, có mức độ ảnh hưởng **Nghiêm trọng/Cao** có thể bị lợi dụng để tấn công, khai thác vào các hệ thống của các cơ quan, tổ chức.

 

![CB tháng 7.jpg](https://khonggianmang.vn/uploads/CB_thang_7_617cbbcf18.jpg)
_Danh sách các lỗ hổng mới được cập nhật tại https://alert.khonggianmang.vn/_

 

**3. Phân tích rủi ro và cảnh báo sớm các nguy cơ tấn công có chủ đích**

 

Thực hiện phân tích, theo dõi và dự báo, cảnh báo sớm xu hướng về tấn công mạng, Cục An toàn thông tin (Bộ Thông tin và Truyền thông) phát hiện xu hướng tấn công mã hóa tống tiền (ransomware) tăng cao trong thời gian gần đây. Đã có một số hệ thống thông tin của cơ quan, tổ chức, doanh nghiệp tại Việt Nam bị sự cố tấn công, gây gián đoạn hoạt động và thiệt hại về vật chất, hình ảnh của các cơ quan, tổ chức, doanh nghiệp, cũng như hoạt động bảo đảm an toàn không gian mạng quốc gia. Cục An toàn thông tin đã phát hành Công văn số 1310/CATTT-NCSC ngày 12/7/2024 về việc lỗ hổng an toàn thông tin ảnh hưởng cao và nghiêm trọng trong các sản phẩm Microsoft công bố tháng 07/2024.

 

Trung tâm NCSC đã tiến hành thu thập, phân tích và phát hiện nhiều chỉ báo (Indicators of compromise) về tấn công mạng có thể ảnh hưởng đến cơ quan, tổ chức, doanh nghiệp Việt Nam. Các đơn vị cần chủ động rà soát các máy chủ, máy trạm, rà soát toàn bộ các hệ thống giám sát theo các chỉ báo mà Trung tâm NCSC cung cấp trong báo cáo nhằm xử lý sớm các rủi ro trong hệ thống, liên tục cập nhật các chỉ báo về tấn công mạng, đặc biệt là các chỉ báo đã được chia sẻ từ hệ thống của Trung tâm NCSC.

 

![3.png](https://khonggianmang.vn/uploads/3_07dcab1ece.png)
**_Thông tin IOC được cung cấp tại https://alert.khonggianmang.vn/_**

 

_**Ghi chú:** Danh sách các IOC có thể ảnh hưởng tới cơ quan, tổ chức doanh nghiệp Việt Nam đầy đủ có trong báo cáo đính kèm._

 

**4. Phát hiện và cảnh báo sớm các nguy cơ botnet trong hệ thống**

 

Thực hiện việc phân tích và phát hiện sớm các nguy cơ từ bên trong hệ thống, đặc biệt là các nguy cơ máy chủ, máy trạm trong hệ thống nhiễm mã độc, trở thành botnet. Hệ thống giám sát của NCSC đã thực hiện thu thập chia sẻ thông tin về các mối đe dọa trên không gian mạng với các tổ chức quốc tế, giám sát liên tục các mạng lưới botnet.

 

Trong **tháng 7/2024**, Trung tâm NCSC phát hiện **19 hệ thống** của các đơn vị có kết nối đến hạ tầng botnet. Trung tâm NCSC đã thực hiện chia sẻ các thông tin botnet này đến các đơn vị thông qua hệ thống phát hiện cảnh báo sớm botnet.

 

![4.png](https://khonggianmang.vn/uploads/4_da562d4604.png)
**_Thông tin các hệ thống ghi nhận nhiễm botnet trên hệ thống phát hiện cảnh báo sớm._**

 

Báo cáo chi tiết xem tại: 
[20240701_BCT07_2024.pdf](https://khonggianmang.vn/uploads/20240701_BCT_07_2024_bcab9d2e82.pdf)

large_7.jpg

medium_7.jpg

small_7.jpg

thumbnail_7.jpg

7.jpg

Báo cáo ATTT mạng Việt Nam Tháng 7/2024

_**Trong quá trình giám sát an toàn thông tin trên không gian mạng, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC), thuộc Cục An toàn thông tin, Bộ Thông tin và Truyền thông, đã phát hiện và ghi nhận các thông tin liên quan đến chiến dịch tấn công mạng được thực hiện bởi nhóm tấn công APT MirrorFace. Mục tiêu của nhóm MirrorFace là các tổ chức chính trị, các viện nghiên cứu, nhà sản xuất.**_

 

![37e22d7b-6696-42d2-ab3a-b3dbea70a14aTấn công có chủ đích vào các cơ sở trọng yếu gia tăng trong những tháng cuối năm.jpg](https://khonggianmang.vn/uploads/37e22d7b_6696_42d2_ab3a_b3dbea70a14a_Tan_cong_co_chu_dich_vao_cac_co_so_trong_yeu_gia_tang_trong_nhung_thang_cuoi_nam_1b1ac4b198.jpg)

 

Chiến dịch tấn công trên không gian mạng của nhóm tấn công MirrorFace nhằm vào các tổ chức tài chính, viện nghiện cứu và nhà sản xuất. Nhóm đã thực hiện khai thác các lỗ hổng an toàn thông tin trên sản phẩm Array AG và FortiGate nhằm phát tán mã độc NOOPDOOR.

 

Mã độc NOOPDOOR là một shellcode được gài vào ứng dụng hợp pháp trên hệ thống và có hai biến thể dưới dạng file .XML và .DLL. Cả hai biến thể này chỉ khác về bước xâm nhập và giống nhau về chức năng, cho phép nhóm MirrorFace thiết lập kết nối thông qua cổng 443, cổng 47000 để tải xuống file, thực thi câu lệnh,…

 

![atp-15325103631061622353086-8-0-400-698-crop-15330028631531077681840.webp](https://khonggianmang.vn/uploads/atp_15325103631061622353086_8_0_400_698_crop_15330028631531077681840_7121528752.webp)

 

Sau khi phát tán mã độc trong chiến dịch tấn công, nhóm này thực hiện các hành trái phép như: truy cập vào nơi lưu trữ thông tin xác thực của hệ thống mạng, phát tán mã độc tới các thiết bị khác trong mạng cục bộ; thực hiện các hành vi theo dõi, trích xuất thông tin người dùng. Ngoài ra, MirrorFace còn sử dụng công cụ GO Simple Tunnel trong chiến dịch. 

 

Để tránh bị phát hiện, nhóm đối tượng đã khai thác MSBuild để thực thi file .XML chứa mã độc; ghi đè dữ liệu độc hại lên registry của file; chỉnh sửa timestamp; thêm luật vào tường lửa hệ thống để cho phép mã độc được kết nối tới các cổng nhất định; ẩn đi các dịch vụ được kích hoạt; xóa đi ghi chép của Windows Event; xóa file mã độc sau khi khai thác. Chiến dịch sử dụng kỹ thuật DLL side-loading và khai thác MSBuild để thực thi mã độc trên hệ thống.

 

**Dưới đây là một số IoC liên quan đến các tấn công gần đây**
![Screenshot 2024-08-12 090758.png](https://khonggianmang.vn/uploads/Screenshot_2024_08_12_090758_8cec3fd4e4.png)
_Danh sách IoC được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

![cybersecurity-looks-to-the-cloud-to-protect-data-at-sea.tmb-1920x690.webp](https://khonggianmang.vn/uploads/cybersecurity_looks_to_the_cloud_to_protect_data_at_sea_tmb_1920x690_a562f351b8.webp)

 

Nhằm đảm bảo an toàn thông tin cho hệ thống thông tin của Quý Đơn vị, góp phần bảo đảm an toàn cho không gian mạng Việt Nam, **Cục An toàn thông tin khuyến nghị** Quý Đơn vị thực hiện:

 

**1.** Kiểm tra, rà soát hệ thống thông tin đang sử dụng có khả năng bị ảnh hưởng bởi chiến dịch tấn công trên. Chủ động theo dõi các thông tin liên quan đến đến chiến dịch nhằm thực hiện ngăn chặn nhằm tránh nguy cơ bị tấn công. 

 

**2.** Tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu bị khai thác, tấn công mạng; đồng thời thường xuyên theo dõi kênh cảnh báo của các cơ quan chức năng và các tổ chức lớn về an toàn thông tin để phát hiện kịp thời các nguy cơ tấn công mạng.

 

**3.** Trong trường hợp cần thiết có thể liên hệ đầu mối hỗ trợ của Cục An toàn thông tin: Trung tâm Giám sát an toàn không gian mạng quốc gia, điện thoại 02432091616, thư điện tử: ncsc@ais.gov.vn.

 

**Chi tiết báo cáo xem tại**
[1.20240801_APTMIRRORFACE.PDF](https://khonggianmang.vn/uploads/1_20240801_APTMIRRORFACE_8b52ea9713.PDF)

large_MirrorFace.jpg

medium_MirrorFace.jpg

small_MirrorFace.jpg

thumbnail_MirrorFace.jpg

MirrorFace.jpg

Cảnh báo chiến dịch tấn công của nhóm APT “MirrorFace”

**1. TIN TỨC AN TOÀN THÔNG TIN**

**- Chiến dịch tấn công APT:** Nhóm APT XDSpy tấn công các cơ quan tại Nga và Moldova bằng chiến dịch tấn công lừa đảo.

**- Cảnh báo:** Nguy cơ đe dọa Linux Kernel bằng hình thức tấn công cross-cache SLUBStick.

 

_**Chiến dịch tấn công APT: Nhóm APT XDSpy tấn công các cơ quan tại Nga và Moldova bằng chiến dịch tấn công lừa đảo**_

![APT.jpg](https://khonggianmang.vn/uploads/APT_b175a4a575.jpg)

Các cơ quan tại Nga và Moldova gần đây đã trở thành mục tiêu của một chiến dịch tấn công lừa đảo do nhóm XDSpy thực hiện. Thông tin này được một cơ quan bảo mật xác định trong tháng 07/2024 và ghi nhận mục tiêu của chiến dịch là phát tán mã độc DSDownloader.

 

Chuỗi tấn công của nhóm XDSpy sử dụng các email spear-phishing để lây nhiễm hệ thống với mã độc XDDown có nhiệm vụ tải xuống các plugin bổ trợ với chức năng thu thập thông tin hệ thống, liệt kê file trong ổ C, theo dõi các ổ rời, trích xuất file trên hệ thống và thu thập mật khẩu. Trong năm qua, XDSpy đã nhắm vào các tổ chức tại Nga, sử dụng dropper ngôn ngữ C# có tên UTask với nhiệm vụ tải xuống module dưới dạng file thực thi để tiếp tục tải thêm các payload độc hại từ máy chủ C&C.

 

Trong chiến dịch tấn công lần này, XDSpy sử dụng email lừa đảo với nội dung liên quan tới các thỏa thuận để phát tán file RAR có chứa một file thực thi hợp pháp và một file DLL độc hại. File DLL này được thực thi bằng kỹ thuật DLL side-loading, sử dụng file thực thi đi kèm. Sau khi thực thi, mã độc DSDownloader sẽ được tải xuống và thực thi, qua đó mở ra một file bù nhìn có vai trò đánh lạc hướng người dùng trong lúc mã độc tải xuống mã độc bổ trợ từ máy chủ C&C. Ngoài ra, payload này không còn khả dụng để tải xuống vào thời điểm phân tích.

 

Thông tin về chiến dịch tấn công của XDSpy được công bố trong bối cảnh một cơ quan bảo mật tại Ukraine cảnh báo về sự gia tăng đột biến của các cuộc tấn công lừa đảo do nhóm UAC-0057 (hay còn gọi là GhostWriter, UNC1151) thực hiện. Nhóm này sử dụng mã độc PicassoLoader để cài đặt Cobalt Strike Beacon trên các hệ thống bị tấn công.

 

Ngoài ra, chiến dịch của XDSpy còn được tiết lộ sau khi phát hiện một chiến dịch mới của nhóm Turla, sử dụng file .LNK độc hại làm backdoor không file để thực thi các script PowerShell từ một máy chủ hợp pháp đã bị xâm nhập, từ đó vô hiệu hóa các tính năng bảo mật của hệ thống bị tấn công.

 

**Danh sách một số IoC được ghi nhận**
![DS IoC.png](https://khonggianmang.vn/uploads/DS_Io_C_e9a8503232.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Nguy cơ đe dọa Linux Kernel bằng hình thức tấn công cross-cache SLUBStick**_

![Cảnh báo SLUBStick.jpeg](https://khonggianmang.vn/uploads/Canh_bao_SLUB_Stick_da157bf9c1.jpeg)

Gần đây, các chuyên gia bảo mật đã phát hiện một hình thức tấn công cross-cache mới trên Linux Kernel có tên SLUBStick, với tỷ lệ thành công lên đến 99% trong việc chuyển đổi lỗi heap hạn chế thành khả năng đọc/ghi bộ nhớ tùy ý, từ đó cho phép leo thang đặc quyền hoặc thoát khỏi các môi trường container.

 

Phát hiện này được thực hiện trên các phiên bản Linux Kernel 5.9 và 6.2, với việc sử dụng 09 lỗ hổng CVE khác nhau trên cả hệ thống 32-bit và 64-bit.

 

Đặc biệt, hình thức tấn công này vẫn hoạt động hiệu quả ngay cả khi các phương pháp bảo mật hiện đại như Supervisor Mode Execution Prevention (SMEP), Supervisor Mode Access Prevention (SMAP), và Kernel Address Space Layout Randomization (KASLR) đang được kích hoạt.

 

Chi tiết về SLUBStick sẽ được trình bày trong hội nghị “Usenix Security Symposium” vào tháng 8 năm 2024, nơi các nhà nghiên cứu sẽ minh họa khả năng nâng cao đặc quyền và thoát khỏi môi trường container trên hệ thống Linux với các cơ chế bảo mật tiên tiến.

 

**Chi tiết về SLUBStick**

Linux Kernel quản lý bộ nhớ một cách hiệu quả và an toàn bằng cách phân bổ và giải phóng các khối bộ nhớ gọi là “slabs” cho các cấu trúc dữ liệu khác nhau. Tuy nhiên, quá trình quản lý bộ nhớ này có thể tồn tại lỗi, cho phép đối tượng tấn công thao túng cấu trúc dữ liệu, dẫn đến các cuộc tấn công cross-cache. SLUBStick khai thác các lỗ hổng heap như double-free, user-after-free, hoặc ghi ngoài giới hạn để thao túng quá trình cấp phát bộ nhớ. Các lỗ hổng này bao gồm: CVE-2023-21400, CVE-2023-3609, CVE-2022-32250, CVE-2022-29582, CVE-2022-27666, CVE-2022-2588, CVE-2022-0995, CVE-2021-4157, và CVE-2021-3492.

 

Tiếp theo, SLUBStick sử dụng một kênh phụ thời gian (timing side channel) để xác định chính xác thời điểm phân bổ bộ nhớ, cho phép đối tượng tấn công dự đoán và kiểm soát việc tái sử dụng bộ nhớ. Quá trình chuyển đổi lỗi heap thành khả năng đọc/ghi bộ nhớ tùy ý được thực hiện qua ba bước:

 

**1.**	Giải phóng các khối bộ nhớ cụ thể và chờ kernel tái sử dụng chúng.

**2.**	Cấp phát lại các khối này một cách có kiểm soát, đảm bảo chúng được sử dụng cho các cấu trúc dữ liệu quan trọng như bảng trang.

**3.**	Khi các khối bộ nhớ đã được chiếm dụng, đối tượng tấn công ghi đè các mục nhập bảng trang, từ đó có thể đọc và ghi vào bất kỳ vị trí bộ nhớ nào.

 

**Ảnh hưởng thực tiễn**

 

SLUBStick yêu cầu quyền truy cập cục bộ vào máy mục tiêu với khả năng thực thi mã, và cần tồn tại lỗi heap trên Linux kernel để khai thác và đạt được quyền truy cập đọc/ghi bộ nhớ. Mặc dù điều này có thể khiến tấn công có vẻ không thực tế, nhưng nó cung cấp lợi ích đáng kể cho các đối tượng tấn công. SLUBStick không chỉ cho phép leo thang đặc quyền, vượt qua các bảo mật kernel, và thoát khỏi môi trường kiểm thử, mà còn có thể là một phần trong chuỗi tấn công phức tạp.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **404** lỗ hổng, trong đó có **139** lỗ hổng mức Cao, **160** lỗ hổng mức Trung bình, **11** lỗ hổng mức Thấp và **94** lỗ hổng chưa đánh giá. Trong đó có ít nhất **55** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **Acronis, VMware và Microsoft**, cụ thể là như sau:

 

**- CVE-2023-45249 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên Acronis Cyber Infrastructure do việc sử dụng mật khẩu mặc định cho giải pháp, cho phép đối tượng tấn công thực thi mã từ xa. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

**- CVE-2024-37085 (Điểm CVSS: 7.2 – Cao):** Lỗ hổng tồn tại trên VMware ESXi cho phép đối tượng tấn công với quyền Active Directory phù hợp có thể bỏ qua bước xác thực của hệ thống, qua đó truy cập và thực hiện các hành vi trái phép. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong môi trường thực tế trong các chiến dịch tấn công Ransomware bởi các nhóm tấn công Storm-1567, babuk, LockBit, lockbit.

 

**- CVE-2024-21338 (Điểm CVSS: 7.8 – Cao):** Lỗ hổng tồn tại trên Microsoft Windows 11, Windows 10 trên tầng Kernel, cho phép đối tượng tấn công leo thang đặc quyền hệ thống. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**
![Bảng CBT31-01.png](https://khonggianmang.vn/uploads/Bang_CBT_31_01_417f94ba2d.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

**Tấn công DRDoS:** Trong tuần có **41.696** (**tăng** so với tuần trước **41.090**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**Tấn công Web:** Trong tuần, có **169** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **151** trường hợp tấn công lừa đảo (Phishing), **18** trường hợp tấn công cài cắm mã độc.

 

_**Danh sách địa chỉ được sử dụng trong các mạng botnet**_
![Bảng CBT31-02.png](https://khonggianmang.vn/uploads/Bang_CBT_31_02_50e02b987f.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **1.073** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT31-03.png](https://khonggianmang.vn/uploads/Bang_CBT_31_03_7c59071c14.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT31.pdf](https://khonggianmang.vn/uploads/2024_CBT_31_7548fefc87.pdf)

large_Tuần 31.jpg

medium_Tuần 31.jpg

small_Tuần 31.jpg

thumbnail_Tuần 31.jpg

Tuần 31.jpg

Cảnh báo an toàn thông tin Tuần 31/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

**- Chiến dịch tấn công APT:** Nhóm APT Trung Quốc sử dụng mã độc MgBot và MACMA để tấn công Đài Loan và tổ chức phi chính phủ Mỹ.

**- Cảnh báo:** Lỗ hổng Zero-day trên Telegram cho phép phát tán APK Android độc hại dưới dạng video.

 

_**Chiến dịch tấn công APT: Nhóm APT Trung Quốc sử dụng mã độc MgBot và MACMA để tấn công Đài Loan và tổ chức phi chính phủ Mỹ.**_

![Chiến dịch APT.jpeg](https://khonggianmang.vn/uploads/Chien_dich_APT_9058b9e90c.jpeg)

Các tổ chức tại Đài Loan và một tổ chức phi chính phủ (NGO) của Mỹ đặt tại Trung Quốc đã trở thành mục tiêu của nhóm APT Daggerfly, một nhóm tấn công mạng được Bắc Kinh hậu thuẫn. Nhóm này sử dụng các công cụ mã độc đã được nâng cấp để thực hiện các cuộc tấn công.

 

Chiến dịch này cho thấy Daggerfly cũng tham gia vào hoạt động gián điệp nội bộ. Trong đó, Daggerfly đã khai thác lỗ hổng CVE-2024-38112 tồn tại trên máy chủ Apache HTTP để phát tán mã độc MgBot. Lỗ hổng này đã được Microsoft khắc phục trong bản vá Patch Tuesday gần nhất, được đánh giá là một lỗ hổng spoofing trong động cơ trình duyệt MSHTML của Internet Explorer.


 

Daggerfly, còn được biết đến với tên Bronze Highland và Evasive Panda, đã hoạt động từ năm 2012 và từng sử dụng mã độc MgBot trong các chiến dịch thu thập thông tin từ các nhà cung cấp dịch vụ viễn thông tại Châu Phi.

 

Ngoài mã độc MgBot, Daggerfly còn sử dụng phiên bản cải tiến của mã độc MgBot trên hệ điều hành macOS có tên MACMA. MACMA được phát hiện lần đầu vào tháng 11/2021 bởi nhóm Threat Analysis Group của Google, mã độc này phát tán qua các cuộc tấn công watering hole nhắm vào người dùng tại Hong Kong bằng cách khai thác lỗ hổng trên trình duyệt Safari. Được biết MACMA tái sử dụng mã nguồn từ các nhà phát triển ELF/Android, cho thấy khả năng nó cũng đã nhằm vào điện thoại Android.

 

Ngoài hai mã độc trên, Daggerfly còn sử dụng thêm mã độc Nightdoor (hay NetMM và Suzafk), một mã độc gài vào hệ thống sử dụng Google Drive API làm C&C và đã được sử dụng trong các cuộc tấn công watering hole nhằm vào người dùng Tây Tạng kể từ tháng 9 năm 2023. 

 

Thông tin về nhóm Daggerfly và chiến dịch này được công bố ngay sau khi Trung tâm Ứng phó Khẩn cấp Virus Máy tính Quốc gia (CVERC) của Trung Quốc cáo buộc rằng Volt Typhoon, được Five Eyes xác định là nhóm gián điệp mạng của Trung Quốc, thực tế đây là một chiến dịch tin giả do các cơ quan tình báo Mỹ dựng lên nhằm bôi nhọ Trung Quốc.

 

**Danh sách một số IoC được ghi nhận**
![DS IoC.png](https://khonggianmang.vn/uploads/DS_Io_C_399abf7c3c.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Lỗ hổng Zero-day trên Telegram cho phép phát tán APK Android độc hại dưới dạng video**_

![Cảnh báo Telegram.jpg](https://khonggianmang.vn/uploads/Canh_bao_c7e214377d.jpg)

Một lỗ hổng Zero-day trên Telegram, được gọi là “EvilVideo,” đã bị khai thác để gửi các file APK độc hại dưới dạng video đến thiết bị Android. Lỗ hổng này đã được rao bán từ ngày 06/6/2024 bởi một đối tượng có tên là “Ancryno” trên diễn đàn XSS hacking tiếng Nga, và được cho là ảnh hưởng đến các phiên bản Telegram cũ hơn v10.14.4.

 

Lỗ hổng này được phát hiện sau khi một minh họa PoC được chia sẻ trên kênh Telegram công khai, giúp các chuyên gia bảo mật tại ESET tiếp cận được payload độc hại. Sau khi phân tích, ESET xác nhận lỗ hổng hoạt động như mô tả và đã thông báo cho Telegram vào ngày 26/6 và một lần nữa vào ngày 04/7. Lỗ hổng này đã được vá trong phiên bản v10.14.5 phát hành vào ngày 11/7/2024.

 

Hiện chưa có thông tin rõ ràng về việc lỗ hổng có bị khai thác trong thực tế hay không, tuy nhiên, các chuyên gia đã phát hiện máy chủ C&C sử dụng bởi payload có địa chỉ “infinityhackscharan.ddns[.]net”.

 

**Chi tiết về việc khai thác lỗ hổng Zero-day**

Lỗ hổng “EvilVideo” ảnh hưởng đến phiên bản Android của Telegram và cho phép đối tượng tấn công tạo ra các tệp APK độc hại được gửi tới người dùng dưới dạng video. Lỗ hổng này sử dụng API của Telegram để tạo các tin nhắn giả dạng video dài 30 giây.

 

Với cài đặt mặc định, ứng dụng Telegram trên Android sẽ tự động tải xuống các tệp phương tiện như ảnh và video. Do đó, người dùng chỉ cần mở kênh chứa tin nhắn payload là đã có thể bị nhiễm mã độc ngay lập tức. Nếu tắt tính năng tự động tải xuống, người dùng vẫn có nguy cơ lây nhiễm chỉ bằng một lần click vào video. Khi video giả được mở, Telegram sẽ hiện thông báo yêu cầu chọn trình phát video bên ngoài. Nếu người dùng đồng ý, payload sẽ được thực thi. Tiếp theo, người dùng sẽ được yêu cầu cài đặt một ứng dụng dạng APK thông qua Telegram, ứng dụng này có tên là “xHamster Premium Mod”.

 

Việc khai thác lỗ hổng này yêu cầu người dùng thực hiện nhiều bước để payload độc hại có thể được thực thi trên thiết bị, vì vậy nguy cơ thành công của cuộc tấn công là tương đối thấp.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **613** lỗ hổng, trong đó có **132** lỗ hổng mức Cao, **234** lỗ hổng mức Trung bình, **18** lỗ hổng mức Thấp và **229** lỗ hổng chưa đánh giá. Trong đó có ít nhất **68** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **Progress, OpenSSH và Rejetto**, cụ thể là như sau:

 

**- CVE-2024-6327 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên Progress Telerik Report Server, xảy ra do quy trình giải tuần tự thiếu bảo mật của sản phẩm. Đối tượng tấn công khai thác lỗ hổng có thể thực thi mã từ xa trên hệ thống. Hiện lỗ hổng đang bị khai thác trong thực tế.

 

**- CVE-2024-6387 (Điểm CVSS: 8.1 – Cao):** Lỗ hổng tồn tại trên máy chủ OpenSSH cho phép đối tượng tấn công khai thác lỗi Race Condition, cho phép đối tượng tấn công truy cập và thực hiện các hành vi trái phép. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**- CVE-2024-23692 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên Rejetto HTTP File Server, đối tượng tấn công có thể khai thác lỗ hổng bằng cách gửi tới hệ thống các yêu cầu HTTP độc hại, qua đó có thể thực thi mã tùy ý. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**
![Bảng CBT30-01.png](https://khonggianmang.vn/uploads/Bang_CBT_30_01_014491af0a.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

**Tấn công DRDoS:** Trong tuần có **41.090** (**giảm** so với tuần trước **42.408**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**Tấn công Web:** Trong tuần, có **118** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **109** trường hợp tấn công lừa đảo (Phishing), **9** trường hợp tấn công cài cắm mã độc.

 

_**Danh sách địa chỉ được sử dụng trong các mạng botnet**_
![Bảng CBT30-02.png](https://khonggianmang.vn/uploads/Bang_CBT_30_02_8b33aabf98.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **1.573** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT30-03.png](https://khonggianmang.vn/uploads/Bang_CBT_30_03_9b11dc23d2.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT30.pdf](https://khonggianmang.vn/uploads/2024_CBT_30_e40c892174.pdf)

large_Tuần 30.jpg

medium_Tuần 30.jpg

small_Tuần 30.jpg

thumbnail_Tuần 30.jpg

Tuần 30.jpg

Cảnh báo an toàn thông tin Tuần 30/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

**- Chiến dịch tấn công APT:** Nhóm APT Void Banshee khai thác lỗ hổng Microsoft MHTML để phát tán mã độc Atlantida Stealer.

**- Cảnh báo:** Cisco cảnh báo về lỗ hổng nghiêm trọng ảnh hưởng đến phiên bản On-Prem của phần nềm Smart Software Manager.

**- Thông tin:** Cảnh báo rủi ro an toàn thông tin liên quan đến sản phẩm của CrowdStrike.


 

_**Chiến dịch tấn công APT: Nhóm APT Void Banshee khai thác lỗ hổng Microsoft MHTML để phát tán mã độc Atlantida Stealer**_

![Chiến dịch APT.jpg](https://khonggianmang.vn/uploads/Chien_dich_APT_64ac4f9be5.jpg)

Nhóm APT Void Banshee đã bị phát hiện lợi dụng một lỗ hổng mới được công bố chi tiết trong động cơ trình duyệt Microsoft MHTML (khai thác lỗi zero-day) để phát tán mã độc đánh cắp thông tin có tên Atlantida.

 

Lỗ hổng này có mã CVE-2024-38112, được sử dụng trong chuỗi tấn công nhiều giai đoạn với các tệp đường dẫn internet (URL) làm trọng điểm. Microsoft đã đề cập đến lỗ hổng này trong bản vá Patch Tuesday gần đây. Theo Microsoft, đây là một lỗi giả mạo (spoofing) tồn tại trong động cơ trình duyệt MSHTML (hay Trident) được sử dụng trong trình duyệt Internet Explorer. Tuy nhiên, Zero Day Initiative (ZDI) lại cho rằng đây là một lỗ hổng thực thi mã từ xa.

 

Trong chiến dịch của nhóm APT, các email spear-phishing có chứa đường dẫn đến các tệp ZIP được lưu trên trang web của nhóm tấn công đã được sử dụng. Các tệp ZIP này chứa các tệp URL khai thác lỗ hổng CVE-2024-38112 để điều hướng người dùng đến một trang web lưu trữ tệp HTML Application (HTA) độc hại.

 

Không có nhiều thông tin về nhóm APT Void Banshee, ngoại trừ việc nhóm này có lịch sử nhằm mục tiêu vào khu vực Bắc Mỹ, Châu Âu và Đông Nam Á để thực hiện các chiến dịch đánh cắp dữ liệu và trục lợi tài chính.

 

Thông tin về nhóm và việc khai thác lỗ hổng này được công bố sau khi Cloudflare tiết lộ rằng nhiều nhóm tấn công đang nhanh chóng kết hợp các khai thác PoC (proof-of-concept) vào chiến dịch của mình. Trong trường hợp của lỗ hổng CVE-2024-27198, lỗ hổng đã bị khai thác chỉ sau 22 phút kể từ lúc thông tin được công bố.

 

Ngoài ra, thông tin trong bài viết này cũng tiếp nối sự phát hiện về một chiến dịch tấn công khác sử dụng quảng cáo trên Facebook để phát tán mã độc SYS01stealer thông qua các giao diện Windows giả, nhằm chiếm đoạt tài khoản doanh nghiệp trên Facebook và tiếp tục phát tán mã độc.

 

**Danh sách một số IoC được ghi nhận**
![Danh sách IoC 29.png](https://khonggianmang.vn/uploads/Danh_sach_Io_C_29_31b3d94315.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Palo Alto Networks phát hành bản vá cho lỗi nghiêm trọng trên công cụ di rời Expedition**_

![Cảnh báo Cisco.png](https://khonggianmang.vn/uploads/Canh_bao_Cisco_c203d61d10.png)

Trong tuần qua, Cisco đã phát hành bản vá cho hai lỗ hổng an toàn thông tin nghiêm trọng ảnh hưởng đến Smart Software Manager On-Prem (Cisco SSM On-Prem), trong đó có một lỗ hổng nghiêm trọng cho phép đối tượng tấn công thay đổi mật khẩu của bất kỳ người dùng nào, bao gồm cả tài khoản quản trị viên.

 

Lỗ hổng có mã CVE-2024-20419 (Điểm CVSS: 10.0) xuất phát từ việc triển khai không đúng cách quy trình thay đổi mật khẩu trên Smart Software Manager On-Prem (Cisco SSM On-Prem). Lỗ hổng này cho phép đối tượng tấn công gửi các yêu cầu HTTP được tinh chỉnh đến thiết bị bị ảnh hưởng để khai thác lỗ hổng. Khi khai thác thành công, đối tượng tấn công có thể truy cập vào giao diện web UI hoặc API với quyền của người dùng bị xâm phạm.

 

Lỗ hổng này ảnh hưởng đến tất cả các phiên bản Cisco SSM On-Prem từ 8-202206 trở xuống và đã được vá trong phiên bản 8-202212. Riêng phiên bản 9 của giải pháp này không bị ảnh hưởng.

 

Cisco thông báo rằng không có biện pháp khắc phục nào ngoài việc cập nhật bản vá, và hiện chưa có ghi nhận về việc lỗ hổng này bị khai thác trong môi trường thực tế. Ngoài ra, Cisco cũng đã khắc phục một lỗ hổng nghiêm trọng khác trong Secure Email Gateway (SEG), mã CVE-2024-20401 (Điểm CVSS: 9.8). Lỗ hổng này liên quan đến việc ghi file cho phép đối tượng tấn công tạo thêm người dùng với quyền root và gây ra sự cố nghiêm trọng cho thiết bị bằng cách gửi các email có file đính kèm độc hại. Để lỗ hổng này phát huy tác dụng, thiết bị SEG phải đang chạy phiên bản Cisco AsyncOS bị ảnh hưởng và đáp ứng các điều kiện sau:

 

**-** Chức năng phân tích file (thuộc Cisco Advanced Malware Protection) hoặc chức năng lọc nội dung phải được bật và áp dụng cho chính sách email gửi tới.

**-** Phiên bản của công cụ Content Scanner Tools cũ hơn 23.3.0.4823.

 

Bản vá cho lỗ hổng CVE-2024-20401 đã có sẵn trong các phiên bản Content Scanner Tools từ 23.3.0.4823 trở lên và được tích hợp mặc định trong Cisco AsyncOS cho Cisco Secure Email Software các phiên bản từ 15.5.1-055 trở lên.

 

_**Thông tin: Cảnh báo rủi ro an toàn thông tin liên quan đến sản phẩm của CrowdStrike**_

![7388630.png](https://khonggianmang.vn/uploads/7388630_13034da04e.png)

Trong quá trình giám sát an toàn thông tin trên không gian mạng, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC), thuộc Cục An toàn thông tin, Bộ Thông tin và Truyền thông, đã phát hiện rủi ro an toàn thông tin liên quan đến sản phẩm của CrowdStrike. Sự cố trên đã gây ảnh hưởng tới nhiều cơ quan, tổ chức trên thế giới, trong đó bao gồm Đức, Singapore, Tây Ban Nha, Ấn Độ, Israel, Nam Phi,….

 

Cụ thể, các máy tính chạy hệ điều hành Windows 10 và cài đặt phần mềm Falcon Sensor của hãng CrowdStrike đều gặp lỗi màn hình xanh (Blue Screen Of Death – BSOD và không thể khởi động lại để hoạt động bình thường. Điều này gây ảnh hưởng tới hệ thống thông tin và hoạt động của cá nhân, cơ quan, tổ chức. Nhà phát triển CrowdStrike đã đưa ra thông báo xác nhận rủi ro và thực hiện khôi phục phần mềm Falcon Sensor để tránh gây thêm ảnh hưởng tới thiết bị của người dùng.

 

**Hướng dẫn khắc phục đối với các thiết bị đã bị ảnh hưởng:**

 

Bước 1: Khởi động lại máy tính và vào chế độ Safe Mode hoặc Windows Recovery Environment.

Bước 2: Truy cập thư mục “C:\Windows\System32\drivers\CrowdStrike”

Bước 3: Xóa bỏ các tập tin có định dạng “C-00000291*.sys” (tập tin có định dạng .sys và tên bắt đầu bẵng chuỗi C-00000291)

Bước 4: Khởi động lại máy tính và sử dụng như bình thường.

 

Nhằm đảm bảo an toàn thông tin cho hệ thống thông tin của Quý Đơn vị, góp phần bảo đảm an toàn cho không gian mạng Việt Nam, Cục An toàn thông tin khuyến nghị Quý Đơn vị thực hiện:

 

**1.**	Kiểm tra, rà soát hệ thống thông tin đang sử dụng có khả năng bị ảnh hưởng bởi rủi ro an toàn thông tin trên. Chủ động theo dõi các thông tin liên quan nhằm thực hiện khắc phục rủi ro trong trường hợp bị ảnh hưởng.

**2.**	Tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu bị khai thác, tấn công mạng; đồng thời thường xuyên theo dõi kênh cảnh báo của các cơ quan chức năng và các tổ chức lớn về an toàn thông tin để phát hiện kịp thời các nguy cơ tấn công mạng.

**3.**	Trong trường hợp cần thiết có thể liên hệ đầu mối hỗ trợ của Cục An toàn thông tin: Trung tâm Giám sát an toàn không gian mạng quốc gia, điện thoại 02432091616, thư điện tử: ncsc@ais.gov.vn.

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **989** lỗ hổng, trong đó có **406** lỗ hổng mức Cao, **277** lỗ hổng mức Trung bình, **18** lỗ hổng mức Thấp và **288** lỗ hổng chưa đánh giá. Trong đó có ít nhất **121** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **OpenSSH, GeoServer và ngôn ngữ lập trình PHP**, cụ thể là như sau:

 

**- CVE-2024-36401 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên GeoServer cho phép đối tượng tấn công thực thi mã từ xa thông qua việc truyền vào dữ liệu độc hại tới các phiên GeoServer cấu hình mặc định. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế

 

**- CVE-2024-6387 (Điểm CVSS: 8.1 – Cao):** Lỗ hổng tồn tại trên máy chủ OpenSSH cho phép đối tượng tấn công khai thác lỗi Race Condition, cho phép đối tượng tấn công truy cập và thực hiện các hành vi trái phép. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**- CVE-2024-4577 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên ngôn ngữ lập trình PHP phiên bản 8.1.* (cũ hơn 8.1.29), 8.2.* (cũ hơn 8.2.20), 8.3.* (cũ hơn 8.3.8), khi được sử dụng trong Apache và PHP-CGI của Windows. Đối tượng tấn công có thể khai thác lỗ hổng bằng cách gửi đi các tham số độc hại cho PHP duyệt, qua đó có thể làm lộ mã nguồn của script, thực thi code PHP tùy ý trên máy chủ. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong môi trường thực tế.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**
![Bảng CBT 29_B1.png](https://khonggianmang.vn/uploads/Bang_CBT_29_B1_429f4e3f7c.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

**Tấn công DRDoS:** Trong tuần có **42.408** (**tăng** so với tuần trước **40.952**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**Tấn công Web:** Trong tuần, có **100** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **89** trường hợp tấn công lừa đảo (Phishing), **11** trường hợp tấn công cài cắm mã độc.

 

_**Danh sách địa chỉ được sử dụng trong các mạng botnet**_
![Bảng CBT 29_B2.png](https://khonggianmang.vn/uploads/Bang_CBT_29_B2_17735072e2.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **1.353** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT 29_B3.png](https://khonggianmang.vn/uploads/Bang_CBT_29_B3_f84a4cc70d.png)

 

Chi tiết báo cáo xem tại: 
[2024_CBT29.pdf](https://khonggianmang.vn/uploads/2024_CBT_29_32b001d150.pdf)

large_Tuần 29.jpg

medium_Tuần 29.jpg

small_Tuần 29.jpg

thumbnail_Tuần 29.jpg

Tuần 29.jpg

Cảnh báo an toàn thông tin Tuần 29/2024

_**Trong quá trình giám sát an toàn thông tin trên không gian mạng, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC), thuộc Cục An toàn thông tin, Bộ Thông tin và Truyền thông, đã phát hiện rủi ro an toàn thông tin liên quan đến sản phẩm của CrowdStrike. Sự cố trên đã gây ảnh hưởng tới nhiều cơ quan, tổ chức trên thế giới, trong đó bao gồm Đức, Singapore, Tây Ban Nha, Ấn Độ, Israel, Nam Phi,….**_

 

![hero-image.webp](https://khonggianmang.vn/uploads/hero_image_e5a6b3d51c.webp)

 

Cụ thể, các máy tính chạy hệ điều hành Windows 10 và cài đặt phần mềm Falcon Sensor của hãng CrowdStrike đều gặp lỗi màn hình xanh (Blue Screen Of Death – BSOD và không thể khởi động lại để hoạt động bình thường. Điều này gây ảnh hưởng tới hệ thống thông tin và hoạt động của cá nhân, cơ quan, tổ chức. Nhà phát triển CrowdStrike đã đưa ra thông báo xác nhận rủi ro và thực hiện khôi phục phần mềm Falcon Sensor để tránh gây thêm ảnh hưởng tới thiết bị của người dùng.

 

![0322_02_Reinventing_MDRIDP_Blog_1060x698.jpeg](https://khonggianmang.vn/uploads/0322_02_Reinventing_MDRIDP_Blog_1060x698_88447f6593.jpeg)

 

_**Hướng dẫn khắc phục đối với các thiết bị đã bị ảnh hưởng:**_

 

**Bước 1:** Khởi động lại máy tính và vào chế độ Safe Mode hoặc Windows Recovery Environment.

**Bước 2:** Truy cập thư mục “C:\Windows\System32\drivers\CrowdStrike”

**Bước 3:** Xóa bỏ các tập tin có định dạng “C-00000291*.sys” (tập tin có định dạng .sys và tên bắt đầu bẵng chuỗi C-00000291)

**Bước 4:** Khởi động lại máy tính và sử dụng như bình thường.

 

![3.jpg](https://khonggianmang.vn/uploads/3_ce4994a4d7.jpg)

 

Nhằm đảm bảo an toàn thông tin cho hệ thống thông tin của Quý Đơn vị, góp phần bảo đảm an toàn cho không gian mạng Việt Nam, **Cục An toàn thông tin khuyến nghị** Quý Đơn vị thực hiện:

 

**1.** Kiểm tra, rà soát hệ thống thông tin đang sử dụng có khả năng bị ảnh hưởng bởi rủi ro an toàn thông tin trên. Chủ động theo dõi các thông tin liên quan nhằm thực hiện khắc phục rủi ro trong trường hợp bị ảnh hưởng.

 

**2.** Tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu bị khai thác, tấn công mạng; đồng thời thường xuyên theo dõi kênh cảnh báo của các cơ quan chức năng và các tổ chức lớn về an toàn thông tin để phát hiện kịp thời các nguy cơ tấn công mạng.

 

**3.** Trong trường hợp cần thiết có thể liên hệ đầu mối hỗ trợ của Cục An toàn thông tin: Trung tâm Giám sát an toàn không gian mạng quốc gia, điện thoại 02432091616, thư điện tử: ncsc@ais.gov.vn.

large_7388630.png

medium_7388630.png

small_7388630.png

thumbnail_7388630.png

7388630.png

Cảnh báo rủi ro an toàn thông tin liên quan đến sản phẩm của CrowdStrike

Ngày **16/07/2024** Cục An toàn thông tin đã phát hành Báo cáo An toàn thông tin mạng Việt Nam số 12/BC-CATTT về Tình hình an toàn thông tin tháng **06/2024** và thống kê kết nối chia sẻ dữ liệu về mã độc, giám sát.

 

Theo đó báo cáo đã cập nhật:

 

**1. Phát hiện và ngăn chặn lừa đảo trên không gian mạng**

 

Thực hiện công tác kiểm tra, rà soát an toàn thông tin trên không gian mạng, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) đã ghi nhận **124.928** địa chỉ website giả mạo cơ quan, tổ chức. Các đối tượng sử dụng website giả mạo này để lừa đảo, gây thiệt hại cho người dân trên không gian mạng, đồng thời gây thiệt hại nghiêm trọng đến uy tín, thương hiệu của chính cơ quan, tổ chức bị giả mạo.

 

Trong **tháng 6/2024**, hệ thống của NCSC đã phát hiện **68 website giả mạo** thương hiệu với mục đích lừa đảo được phát tán trên không gian mạng.

 

![1.jpg](https://khonggianmang.vn/uploads/1_19175ec537.jpg)
_Danh sách các website lừa đảo được cập nhật tại https://alert.khonggianmang.vn/_

 

_**Ghi chú:** Danh sách các website giả mạo đầy đủ có trong báo cáo đính kèm._

 

**2. Phát hiện và cảnh báo sớm các lỗ hổng của các hệ thống thông tin trên không gian mạng**

 

Thực hiện nhiệm vụ thu thập thông tin, tổng hợp, phân tích, theo dõi và dự báo, cảnh báo sớm xu hướng về các hoạt động, diễn biến trên không gian mạng Việt Nam. Trong **tháng 6/2024**, Hệ thống giám sát kỹ thuật của NCSC đã ghi nhận có **90.033** điểm yếu, lỗ hổng an toàn thông tin tại các máy chủ, máy trạm, hệ thống thông tin của các cơ quan tổ chức nhà nước.

 

Trong **tháng 6/2024**, hệ thống giám sát, rà quét từ xa của Trung tâm NCSC đã phát hiện hơn **1600 lỗ hổng** trên **5000 hệ thống** đang mở công khai trên Internet. Trung tâm NCSC cũng đã ghi nhận **12 lỗ hổng mới** được công bố, có mức độ ảnh hưởng **Nghiêm trọng/Cao** có thể bị lợi dụng để tấn công, khai thác vào các hệ thống của các cơ quan, tổ chức.

 

![Bảng CB tháng 6.jpg](https://khonggianmang.vn/uploads/Bang_CB_thang_6_1502b44c85.jpg)
_Danh sách các lỗ hổng mới được cập nhật tại https://alert.khonggianmang.vn/_

 

**3. Phân tích rủi ro và cảnh báo sớm các nguy cơ tấn công có chủ đích**

 

Cục An toàn thông tin đã phát hành Công văn số 1095/CATTT- NCSC ngày 14/6/2024 về việc cảnh báo nhóm APT “Mustang Panda” thực hiện chiến dịch tấn công nhằm vào Việt Nam.

 

Trung tâm NCSC đã tiến hành thu thập, phân tích và phát hiện nhiều chỉ báo (Indicators of compromise) về tấn công mạng có thể ảnh hưởng đến cơ quan, tổ chức, doanh nghiệp Việt Nam. Các đơn vị cần chủ động rà soát các máy chủ, máy trạm, rà soát toàn bộ các hệ thống giám sát theo các chỉ báo mà Trung tâm NCSC cung cấp trong báo cáo nhằm xử lý sớm các rủi ro trong hệ thống, liên tục cập nhật các chỉ báo về tấn công mạng, đặc biệt là các chỉ báo đã được chia sẻ từ hệ thống của Trung tâm NCSC.

 

![2.png](https://khonggianmang.vn/uploads/2_1b6fd447bf.png)
**_Thông tin IOC được cung cấp tại https://alert.khonggianmang.vn/_**

 

_**Ghi chú:** Danh sách các IOC có thể ảnh hưởng tới cơ quan, tổ chức doanh nghiệp Việt Nam đầy đủ có trong báo cáo đính kèm._

 

**4. Phát hiện và cảnh báo sớm các nguy cơ botnet trong hệ thống**

 

Thực hiện việc phân tích và phát hiện sớm các nguy cơ từ bên trong hệ thống, đặc biệt là các nguy cơ máy chủ, máy trạm trong hệ thống nhiễm mã độc, trở thành botnet. Hệ thống giám sát của NCSC đã thực hiện thu thập chia sẻ thông tin về các mối đe dọa trên không gian mạng với các tổ chức quốc tế, giám sát liên tục các mạng lưới botnet.

 

Trong **tháng 6/2024**, Trung tâm NCSC phát hiện **11 hệ thống** của các đơn vị có kết nối đến hạ tầng botnet. Trung tâm NCSC đã thực hiện chia sẻ các thông tin botnet này đến các đơn vị thông qua hệ thống phát hiện cảnh báo sớm botnet.

 

![3.jpg](https://khonggianmang.vn/uploads/3_b509197087.jpg)
**_Thông tin các hệ thống ghi nhận nhiễm botnet trên hệ thống phát hiện cảnh báo sớm._**

 

Báo cáo chi tiết xem tại: 
[20240701_BCT_06_2024.pdf](https://khonggianmang.vn/uploads/20240701_BCT_06_2024_6cda5a1ccf.pdf)

large_Thumb BCTT6.jpg

medium_Thumb BCTT6.jpg

small_Thumb BCTT6.jpg

thumbnail_Thumb BCTT6.jpg

Thumb BCTT6.jpg

Báo cáo ATTT mạng Việt Nam Tháng 6/2024

**1. TIN TỨC AN TOÀN THÔNG TIN**

**- Chiến dịch tấn công APT:** Nhóm APT41 bổ sung mã độc DodgeBox và MoonWalk vào kho mã độc của mình trong các chiến dịch tấn công.

**- Cảnh báo:** Palo Alto Networks phát hành bản vá cho lỗi nghiêm trọng trên công cụ di rời Expedition.

 

_**Chiến dịch tấn công APT: Nhóm APT41 bổ sung mã độc DodgeBox và MoonWalk vào kho mã độc của mình trong các chiến dịch tấn công**_

![Chiến dịch APT.jpg](https://khonggianmang.vn/uploads/Chien_dich_APT_88ccf21426.jpg)

Nhóm APT41 có nguồn gốc từ Trung Quốc đang bị tình nghi sử dụng phiên bản nâng cấp của mã độc StealthVector để phát tán một backdoor mới có tên MoonWalk. Biến thể mới này, còn được gọi là DUSTPAN hoặc DodgeBox, đã được phát hiện vào tháng 4 năm 2024. APT41 bắt đầu hoạt động từ năm 2007 và có nhiều tên gọi khác nhau như Axiom, Blackfly, Brass Typhoon, Bronze Atlas, Earth Baku, HOODOO, Red Kelpie, TA415, Wicked Panda, và Winnti.

 

DodgeBox là một loader có nhiệm vụ phát tán backdoor MoonWalk. Cả hai đều sử dụng nhiều kỹ thuật né tránh bị phát hiện và sử dụng Google Drive cho việc giao tiếp C&C.

 

Trong những năm gần đây, nhóm APT41 đã bị phát hiện có liên quan đến các vụ xâm nhập vào mạng lưới chính phủ Mỹ từ tháng 5 năm 2021 đến tháng 2 năm 2022, và các cuộc tấn công nhằm vào các tổ chức truyền thông Đài Loan bằng công cụ mã nguồn mở Google Command and Control (GC2).

 

Mã độc StealthVector lần đầu tiên được ghi nhận do nhóm APT41 sử dụng vào tháng 8 năm 2021, là một shellcode loader viết bằng C/C++ dùng để triển khai Cobalt Strike Beacon và shellcode ScrambleCross (còn gọi là SideWalk). DodgeBox được đánh giá là phiên bản cải tiến của StealthVector, tích hợp nhiều kỹ thuật như stack spoofing, DLL side-loading và DLL hollowing để né tránh bị phát hiện.

 

Nhóm APT41 đã sử dụng file thực thi "taskhost.exe" của Sandboxie để sideload DLL độc hại "sbiedll.dll", một DLL loader viết bằng C có nhiệm vụ giải mã và thực thi payload backdoor MoonWalk. Nhóm APT41 được xác định liên quan đến việc sử dụng mã độc DodgeBox dựa trên những điểm tương đồng giữa DodgeBox và StealthVector, cũng như việc sử dụng DLL side-loading – một kỹ thuật phổ biến được các nhóm tấn công Trung Quốc sử dụng để triển khai mã độc như PlugX.

 

DodgeBox là một loader mã độc mới, sử dụng nhiều kỹ thuật để tránh phát hiện cả tĩnh và động. Mã độc này có khả năng giải mã và tải các thư viện động (DLL) được nhúng vào, thực hiện các kiểm tra để xác định môi trường hoạt động và ràng buộc các điều kiện, đồng thời thực hiện các quy trình để dọn dẹp hệ thống sau khi thực thi. Điều này đặt ra thách thức lớn đối với các biện pháp bảo mật hiện tại. Các mẫu phân tích DodgeBox cũng đã được gửi tới VirusTotal từ Thái Lan và Đài Loan, hai khu vực mang tính chiến lược tại Trung Quốc.

 

**Danh sách một số IoC được ghi nhận**
![Danh sách IoC.png](https://khonggianmang.vn/uploads/Danh_sach_Io_C_f65de70e9e.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

_**Cảnh báo: Palo Alto Networks phát hành bản vá cho lỗi nghiêm trọng trên công cụ di rời Expedition**_

![Cảnh báo.JPG](https://khonggianmang.vn/uploads/Canh_bao_60adf6b64a.JPG)

Palo Alto Networks vừa phát hành các bản cập nhật bảo mật để khắc phục 05 lỗ hổng an toàn thông tin, trong đó có một lỗ hổng ở mức nghiêm trọng có thể dẫn đến việc bỏ qua xác thực (bypass).

 

Lỗ hổng nghiêm trọng có mã **CVE-2024-5910 (Điểm CVSS: 9.3)**, đây là lỗi bỏ qua xác thực tồn tại trên công cụ di rời Expedition của Palo Alto Networks, có thể dẫn đến việc chiếm quyền quản trị viên. Lỗ hổng này ảnh hưởng đến tất cả các phiên bản của Expedition trước phiên bản 1.2.92 và đã được vá trong phiên bản mới nhất. Hiện chưa có bằng chứng về việc lỗ hổng này đã bị tấn công trong thực tế, tuy nhiên, người dùng nên cập nhật để bảo vệ hệ thống khỏi các nguy cơ bị tấn công. Trong trường hợp không thể cập nhật ngay, Palo Alto Networks khuyến nghị giới hạn quyền truy cập vào Expedition chỉ cho các người dùng, host và mạng được ủy quyền.

 

Ngoài ra, Palo Alto Networks cũng đã vá lỗi **CVE-2024-3596 (hay BlastRADIUS)** trong giao thức RADIUS. Lỗ hổng này cho phép kẻ tấn công thực hiện cuộc tấn công Adversary-in-the-middle (AitM) chen vào kết nối giữa tường lửa PAN-OS của Palo Alto Networks và máy chủ RADIUS để bỏ qua xác thực. Đối tượng tấn công có thể leo thang đặc quyền lên tới mức "superuser" khi máy chủ sử dụng xác thực RADIUS và giao thức CHAP hoặc PAP được kích hoạt.

 

**Cụ thể, các phiên bản PAN-OS sau đây đã bị ảnh hưởng bởi lỗ hổng BlastRADIUS:**

 

**•** PAN-OS 11.1 (phiên bản cũ hơn 11.1.3, đã được vá từ phiên bản 11.1.3)

**•** PAN-OS 11.0 (phiên bản cũ hơn 11.0.4-h4, đã được vá từ phiên bản 11.0.4-h4)

**•** PAN-OS 10.2 (phiên bản cũ hơn 10.2.10, đã được vá từ phiên bản 10.2.10)

**•** PAN-OS 10.1 (phiên bản cũ hơn 10.1.14, đã được vá từ phiên bản 10.1.14)

**•** PAN-OS 9.1 (phiên bản cũ hơn 9.1.19, đã được vá từ phiên bản 9.1.19)


 

Đối với Prisma Access, mọi phiên bản đều bị ảnh hưởng và dự kiến sẽ có bản vá được phát hành vào ngày 30/07. Ngoài ra, lưu ý rằng giao thức CHAP/PAP không nên được sử dụng trừ khi chúng được bảo vệ bởi một lớp tunnel mã hóa, vì hai giao thức này không hỗ trợ Transport Layer Security (TLS).

 

**2. ĐIỂM YẾU, LỖ HỔNG**

Trong tuần, các tổ chức quốc tế đã công bố và cập nhật ít nhất **432** lỗ hổng, trong đó có **133** lỗ hổng mức Cao, **149** lỗ hổng mức Trung bình, **19** lỗ hổng mức Thấp và **131** lỗ hổng chưa đánh giá. Trong đó có ít nhất **81** lỗ hổng cho phép chèn và thực thi mã lệnh.

 

Ngoài ra, tuần hệ thống kỹ thuật của NCSC cũng đã ghi nhận **TOP 10 lỗ hổng đáng chú ý**, là những lỗ hổng có mức độ nghiêm trọng cao hoặc đang bị khai thác trong môi trường thực tế bởi các nhóm tấn công.

 

Trong đó, đáng chú ý có **03 lỗ hổng** ảnh hưởng các sản phẩm của **OpenSSH, GeoServer và Microsoft**, cụ thể là như sau:

 

**- CVE-2024-6387 (Điểm CVSS: 8.1 – Cao):** Lỗ hổng tồn tại trên máy chủ OpenSSH cho phép đối tượng tấn công khai thác lỗi Race Condition, cho phép đối tượng tấn công truy cập và thực hiện các hành vi trái phép. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**- CVE-2024-36401 (Điểm CVSS: 9.8 – Nghiêm trọng):** Lỗ hổng tồn tại trên GeoServer cho phép đối tượng tấn công thực thi mã từ xa thông qua việc truyền vào dữ liệu độc hại tới các phiên GeoServer cấu hình mặc định. Hiện lỗ hổng đã có mã khai thác và đang bị khai thác trong thực tế.

 

**- CVE-2024-24860 (Điểm CVSS: 7.5 – Cao):** Lỗ hổng tồn tại trên Microsoft Defender cho phép đối tượng tấn công thực hiện tấn công từ chối dịch vụ, làm sập dịch vụ bằng cách sử dụng file độc hại. Hiện lỗ hổng chưa có mã khai thác và đang bị khai thác trong thực tế.

 

**Danh sách TOP 10 lỗ hổng đáng chú ý trong tuần**
![Bảng CBT28-01.png](https://khonggianmang.vn/uploads/Bang_CBT_28_01_ec62af4ae8.png)
_Danh sách IoC sẽ được cập nhật liên tục tại https://alert.khonggianmang.vn/_

 

**3. SỐ LIỆU, THỐNG KÊ**

**Tấn công DRDoS:** Trong tuần có **40.952** (**tăng** so với tuần trước **39.780**) thiết bị có khả năng bị huy động và trở thành nguồn tấn công DRDoS. 

**Tấn công Web:** Trong tuần, có **64** trường hợp tấn công vào trang/cổng thông tin điện tử của Việt Nam: **53** trường hợp tấn công lừa đảo (Phishing), **11** trường hợp tấn công cài cắm mã độc.

 

_**Danh sách địa chỉ được sử dụng trong các mạng botnet**_
![Bảng CBT28-02.png](https://khonggianmang.vn/uploads/Bang_CBT_28_02_2d20bde905.png)

 

**4. TẤN CÔNG LỪA ĐẢO NGƯỜI DÙNG VIỆT NAM**

Trong tuần đã có **1.942** phản ánh trường hợp lừa đảo do người dùng Internet Việt Nam thông báo về Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) qua hệ thống tại địa chỉ https://canhbao.khonggianmang.vn. Qua kiểm tra, phân tích có nhiều trường hợp lừa đảo giả mạo website của ngân hàng, các trang thương mại điện tử…

 

_**Dưới đây là một số trường hợp người dùng cần nâng cao cảnh giác.**_
![Bảng CBT28-03.png](https://khonggianmang.vn/uploads/Bang_CBT_28_03_028aac3f8e.png)
 

Chi tiết báo cáo xem tại: 
[2024_CBT28.pdf](https://khonggianmang.vn/uploads/2024_CBT_28_97c3eaa00a.pdf)

Cảnh báo an toàn thông tin Tuần 28/2024