Giao thức GPRS Tunneling Protocol (GTP) là một giao thức được sử dụng trong các mạng di động, đặc biệt là trong các mạng di động sử dụng công nghệ GSM (Global System for Mobile Communications) và các tiêu chuẩn liên quan như EDGE (Enhanced Data rates for GSM Evolution) và UMTS (Universal Mobile Telecommunications System). GTP được thiết kế để hỗ trợ việc chuyển tiếp và định tuyến dữ liệu trong mạng di động. GPRS cho phép thuê bao truy cập các dịch vụ GPRS của họ khi chúng ở ngoài phạm vi phủ sóng của mạng di động gia đình. Có hai biến thể chính của GTP là:
GTP-C (GTP Control Plane): Được sử dụng cho việc truyền các thông điệp điều khiển giữa các thiết bị trong mạng di động, chẳng hạn như trao đổi thông tin về tài nguyên mạng, quản lý kết nối và quản lý người dùng.
GTP-U (GTP User Plane): Được sử dụng để truyền dữ liệu người dùng sử dụng trong mạng, chẳng hạn như các gói dữ liệu Internet, email và multimedia.
Khi thực thi, GTPDOOR tự ngụy trang dưới dạng nhật ký hệ thống (syslog) được gọi từ kernel bằng cách thay đổi tên tiến trình của nó. Sau đó, nó thiết lập Raw socket - một loại giao diện lập trình ứng dụng (API) trong hệ điều hành, cho phép ứng dụng truy cập trực tiếp vào lớp mạng của hệ thống mà không thông qua các lớp giao tiếp mạng tiêu chuẩn trên máy bị nhiễm mã độc, cho phép trao đổi các thông điệp UDP (User Datagram Protocol) qua giao diện mạng. Điều này cho phép các tác nhân đe dọa có khả năng tồn tại lâu dài trên mạng để trao đổi các nội dung độc hại bằng cách sử dụng GTP-C.
Các gói tin từ GTP-C đóng vai trò là kênh phát lệnh đến các máy chủ bị xâm nhập và nhận kết quả từ xa. Ngoài ra, các nhà nghiên cứu lưu ý rằng có thể thực hiện kiểm thử xâm nhập thăm dò bên ngoài để tìm ra phản hồi bằng cách gửi một gói tin TCP đến bất kỳ cổng (port) bất kỳ. Nếu phần cài đặt trên GTPDOOR này hoạt động, một gói tin TCP trống được tạo ra cùng với thông tin nếu cổng đích đã mở hoặc phản hồi (open/responding) trên máy chủ.
Về cơ bản, GTPDOOR dường như được xây dựng dành cho các máy chủ bị xâm nhập trong mạng GRX giao tiếp với các mạng của nhà khai thác viễn thông khác thông qua kết nối GRX. Điều này nhấn mạnh tầm quan trọng của các biện pháp bảo mật mạnh mẽ cần được áp dụng để bảo vệ các cơ sở hạ tầng quan trọng này trước các mối đe dọa đang gia tăng như GTPDOOR.
Trương Đình Dũng
09:00 | 29/02/2024
13:00 | 07/02/2024
10:00 | 21/02/2024
09:00 | 28/04/2024
Trong một chiến dịch tấn công gần đây, các tác nhân đe dọa đã lạm dụng chức năng tìm kiếm của GitHub và sử dụng các kho lưu trữ được thiết kế đặc biệt để phát tán phần mềm độc hại nhằm đánh cắp các khoản thanh toán bằng tiền điện tử.
08:00 | 06/02/2024
GitLab vừa phát hành các bản vá lỗi để giải quyết một lỗ hổng bảo mật nghiêm trọng trong phiên bản dành cho cộng đồng (CE) và phiên bản dành cho doanh nghiệp (EE). Lỗ hổng có thể bị khai thác để ghi các tệp tùy ý trong khi tạo workspace.
15:00 | 26/01/2024
Các nhà nghiên cứu bảo mật của công ty an ninh mạng Akamai (Mỹ) phát hiện ra một mạng botnet mới dựa trên Mirai có tên là NoaBot, hiện đang được các tác nhân đe dọa sử dụng như một phần của chiến dịch khai thác tiền điện tử đã hoạt động kể từ đầu năm 2023. Bài viết này sẽ phân tích về đặc điểm của NoaBot và công cụ khai thác tiền điện tử được sử dụng trong chiến dịch tấn công mạng botnet này.
11:00 | 25/01/2024
Chiến dịch phát tán phần mềm độc hại Phemedrone (chiến dịch Phemedrone) thực hiện khai thác lỗ hổng Microsoft Defender SmartScreen (CVE-2023-36025) để bỏ qua cảnh báo bảo mật của Windows khi mở tệp URL.
Nhóm tình báo mối đe dọa Threat Intelligence của Microsoft cho biết, các tác nhân đe dọa đang tích cực khai thác các lỗ hổng nghiêm trọng trong OpenMetadata để có quyền truy cập trái phép vào khối lượng workload trong Kubernetes và lạm dụng chúng cho hoạt động khai thác tiền điện tử.
14:00 | 25/04/2024