Lỗ hổng 0-day của Pulse Secure đang bị tin tặc khai thác

17:00 | 03/05/2021 | HACKER / MALWARE

Mới đây, các chuyên gia đã phát hiện một lỗ hổng 0-day nghiêm trọng tồn tại trên cổng Pulse Connect Secure, cho phép kẻ tấn công vượt qua cơ chế xác thực. Lỗ hổng hiện đang bị khai thác trong thực tế, nhưng vẫn chưa được cập nhật bản vá.

Có ít nhất 2 nhóm tin tặc đứng sau các cuộc tấn công nhắm vào các tổ chức quốc phòng, chính phủ, các tổ chức tài chính ở Mỹ và nhiều quốc gia khác, thông qua việc khai thác lỗ hổng trong các thiết bị Pulse Secure VPN để vượt qua cơ chế xác thực đa yếu tố (multi-factor) và xâm nhập vào mạng các tổ chức.

Công ty an ninh mạng FireEye cho biết: "Nhiều lỗ hổng bảo mật đã được biết đến từ trước và một lỗ hổng mới CVE-2021-22893 được phát hiện vào tháng 4/2021. Tin tặc đã kết hợp các lỗ hổng bảo mật để khởi phát tấn công". Công ty này cũng chỉ ra 12 loại mã độc có liên quan đến việc khai thác trên các thiết bị Pulse Secure VPN.

FireEye đã theo dõi các hoạt động của 2 nhóm tấn công chưa được phân loại là UNC2630 và UNC2717. Nhóm đầu tiên có liên quan tới việc đột nhập vào mạng Defense Industrial base (Mỹ), nhóm thứ 2 được phát hiện trong chiến dịch nhắm đến một tổ chức châu Âu từ tháng 3/2021. Báo cáo chỉ ra nhóm UNC2630 hoạt động dưới danh nghĩa của chính phủ Trung Quốc và có khả năng liên quan đến nhóm APT5, dựa trên sự tương đồng trong quá trình tấn công được ghi nhận từ năm 2014, 2015.

Lỗ hổng 0-day của Pulse Secure đang bị tin tặc khai thác

Những cuộc tấn công do nhóm UNC2630 thực hiện được cho là bắt đầu từ đầu tháng 8/2020 và kéo dài đến tháng 10/2020. Trong khi nhóm UNC2717 lợi dụng những lỗ hổng này để cài mã độc trên hạ tầng mạng của các cơ quan chính phủ Mỹ và châu Âu và được kéo dài đến tháng 3/2021.

Thông qua việc khai thác nhiều lỗ hổng của Pulse Security VPN: CVE-2019-11510, CVE-2020-8260, CVE-2020-8243 và CVE-2021-22893; nhóm UNC2630 được cho là đã thu thập được các thông tin đăng nhập, từ đó tiến hành leo thang đặc quyền bên trong hệ thống. Để duy trì sự tồn tại các mã độc, nhóm này sử dụng những file binary hợp lệ của Pulse Secure để cho phép thực thi mã bất kì và cài cắm web shell có khả năng trích xuất file và có thể khởi chạy mã độc.

Ivanti, công ty đứng sau Pulse Secure VPN, đã phát hành bản vá để xử lý lỗ hổng cho phép thực thi file bất kì CVE-2021-22893 có điểm CVSS là 10. Công ty này cho biết những lổ hổng này đã ảnh hưởng đến một số ít khách hàng. Ngoài ra, hãng này đã cung cấp công cụ Pulse Connect Secure Integrity tới khách hàng để kiểm tra hệ thống của mình có bị ảnh hưởng hay không.

Những tổ chức sử dụng Pulse Secure được khuyến nghị cập nhật PCS Server phiên bản 9.1R.11.4 khi bản này được phát hành.

Mai Hương

‹ › ×

Tin liên quan

Lỗ hổng trong Pulse Secure VPN có thể cho phép tấn công MiTM

10:00 | 09/02/2018

Viện Kỹ thuật Phần mềm tại Đại học Carnegie Mellon (KB CERT) đã đưa ra một cảnh báo cho biết khi khởi động giao diện đồ họa người dùng (Graphic User Interface -GUI) của Pulse Secure Linux VPN không xác nhận các chứng chỉ SSL có thể giúp tin tặc mở các cuộc tấn công man-in-the-middle (MiTM).

Pulse Secure liên tiếp cảnh báo lỗ hổng bảo mật

07:00 | 24/05/2021

Ngay sau khi đưa ra cảnh báo về lỗ hổng CVE-2021-22893, Pulse Secure tiếp tục phát đi cảnh báo tới người dùng về 3 lỗ hổng mới trên cổng Pulse Connect Secure (PCS) cho phép đối tượng tấn công thực thi mã từ xa.

Tin tặc phát triển chiến thuật tấn công lừa đảo dựa trên sở thích của người dùng

09:00 | 25/05/2021

OpenText (công ty của Canada chuyên phát triển phần mềm quản lý thông tin doanh nghiệp) tiết lộ, hoạt động lừa đảo (phishing) đã gia tăng đáng kể trong các tháng đầu năm 2020, lợi dụng sự thiếu hụt sản phẩm do đại dịch gây ra và sự gia tăng sử dụng các dịch vụ phát trực tuyến.

FBI cảnh báo các nhóm APT đang tích cực khai thác lỗ hổng trên VPN

15:00 | 22/04/2021

FBI cùng Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) đã cảnh báo các nhóm tin tặc APT được nhà nước bảo trợ đang tích cực khai thác các lỗ hổng bảo mật trong hệ điều hành an ninh mạng của một công ty tại Mỹ, gây ảnh hưởng đến các sản phẩm SSL VPN của công ty này.

Cảnh báo lỗ hổng bảo mật trong máy chủ Microsoft Exchange

11:00 | 14/04/2021

Trung tâm Công nghệ thông tin và Giám sát an ninh mạng (Ban Cơ yếu Chính phủ) vừa phát đi cảnh báo về 04 lỗ hổng bảo mật nghiêm trọng: CVE-2021-28480, CVE-2021-28481, CVE-2021-28482, CVE-2021-28483 trong các máy chủ thư điện tử sử dụng Microsoft Exchange.

Tin cùng chuyên mục

Tin tặc Trung Quốc phân phối mã độc NSPX30 thông qua các bản cập nhật phần mềm

09:00 | 05/02/2024

Mới đây, công ty an ninh mạng ESET (Slovakia) báo cáo về việc một nhóm tin tặc gián điệp mạng của Trung Quốc đã thực hiện các chiến dịch tấn công mạng nhắm vào các cá nhân, tổ chức ở Trung Quốc và Nhật Bản. Bằng cách lợi dụng các lỗ hổng phần mềm để thao túng các bản cập nhật, các tin tặc đã phát tán mã độc và xâm phạm dữ liệu người dùng, đồng thời tạo các backdoor cho các cuộc tấn công trong tương lai.

Phần mềm độc hại NKAbuse: Mối đe dọa mới với công nghệ Blockchain

08:00 | 12/01/2024

Trung tuần tháng 12, các nhà nghiên cứu của hãng bảo mật Kaspersky phát hiện một mối đe dọa đa nền tảng mới có tên là NKAbuse. Phần mềm độc hại này được viết bằng ngôn ngữ Golang, sử dụng công nghệ NKN (New Kind of Network) để trao đổi dữ liệu giữa các thiết bị mạng ngang hàng, được trang bị khả năng tạo backdoor và phát động các cuộc tấn công từ chối dịch vụ phân tán (DDoS), bên cạnh đó NKAbuse cũng có đủ sự linh hoạt để tạo các tệp nhị phân tương thích với nhiều kiến trúc khác nhau.

Lỗ hổng LogoFAIL có thể ảnh hưởng đến phần lớn các máy tính

16:00 | 18/12/2023

Các nhà nghiên cứu từ công ty bảo mật chuỗi cung ứng Binarly cho biết lỗ hổng firmware có tên gọi là LogoFAIL có thể ảnh hưởng đến 95% máy tính, cho phép tin tặc vượt qua cơ chế bảo vệ Secure Boot và thực thi phần mềm độc hại trong quá trình khởi động. Các lỗ hổng xuất phát từ trình phân tích cú pháp hình ảnh được sử dụng trong firmware hệ thống UEFI để tải hình ảnh logo trên màn hình khởi động.

Giải mã Ducktail: Phần mềm độc hại có nguồn gốc từ Việt Nam

07:00 | 11/12/2023

Hoạt động từ cuối năm 2021, Ducktail là họ phần mềm độc hại nhằm mục đích đánh cắp tài khoản doanh nghiệp trên Facebook. Theo báo cáo của 2 hãng bảo mật WithSecure (Phần Lan) và GridinSoft (Ukraine) cho biết các cuộc tấn công Ducktail được thực hiện bởi một nhóm tin tặc đến từ Việt Nam.