CVE-2024-4577 là một lỗ hổng nghiêm trọng chèn tham số PHP-CGI đã được vá vào tháng 6, ảnh hưởng đến các cài đặt PHP chạy trên hệ thống Windows đang hoạt động ở chế độ CGI. Nó cho phép kẻ tấn công chưa được xác thực thực thi mã tùy ý và dẫn đến xâm phạm toàn bộ hệ thống sau khi khai thác thành công.
Kẻ tấn công đã triển khai phần mềm độc hại dưới dạng hai thư viện liên kết động (weblog[.]dll và wmiclnt[.]dll), được tải bởi tiến trình Apache httpd[.]exe.
Tính năng đáng chú ý nhất của Msupedge là sử dụng lưu lượng DNS để trao đổi dữ liệu với máy chủ kiểm soát tấn công (C&C). Mặc dù nhiều nhóm tin tặc đã áp dụng kỹ thuật này trong quá khứ, nhưng hiện nay kỹ thuật này đã ít được sử dụng.
Kẻ tấn công đã tận dụng DNS Tunneling (một tính năng được triển khai dựa trên công cụ dnscat2 nguồn mở), cho phép dữ liệu được đóng gói trong các truy vấn và phản hồi DNS để nhận lệnh từ máy chủ C&C. Ngoài ra, kẻ tấn công có thể sử dụng Msupedge để thực hiện nhiều lệnh khác nhau, được kích hoạt dựa trên octet thứ ba của địa chỉ IP đã giải quyết của máy chủ C&C. Backdoor Msupedge cũng hỗ trợ nhiều lệnh, bao gồm tạo tiến trình, tải xuống tệp và quản lý tệp tạm thời.
Nhóm Threat Hunter của Symantec - đơn vị đã phát hiện ra phần mềm độc hại mới này, cho rằng những kẻ tấn công đã truy cập được vào các hệ thống bị xâm phạm sau khi khai thác lỗ hổng CVE-2024-4577.
Lỗ hổng bảo mật này cho phép vượt qua các biện pháp bảo vệ của PHP triển khai cho CVE-2012-1823. Lỗ hổng này đã bị khai thác trong các cuộc tấn công trong nhiều năm sau khi được khắc phục để nhắm vào các máy chủ Linux và Windows bằng phần mềm độc hại RubyMiner.
Nhóm Threat Hunter của Symantec cho biết: “Cuộc xâm nhập ban đầu có thể là thông qua việc khai thác lỗ hổng PHP mới được vá gần đây (CVE-2024-4577). Cho đến nay, chúng tôi vẫn chưa phát hiện bằng chứng nào cho phép chúng tôi xác định mối đe dọa này cũng như động cơ đằng sau cuộc tấn công”.
Sau khi những nhà bảo trì phát hành bản vá CVE-2024-4577, WatchTowr Labs đã đưa ra mã khai thác (PoC) cho lỗ hổng này. Shadowserver Foundation cũng đã báo cáo về việc phát hiện các hoạt động khai thác trên honeypot của họ trong cùng ngày.
Chưa đầy 48 giờ sau khi bản vá được phát hành, nhóm ransomware TellYouThePass cũng bắt đầu khai thác lỗ hổng để triển khai webshell và mã hóa hệ thống của nạn nhân.
Các chuyên gia khuyên cáo người dùng nên thường xuyên kiểm tra và cập nhật bản vá đầy đủ cho các phần mềm, thư viện đang sử dụng và loại bỏ các phần mềm, thư viện không còn sử dụng để giảm nguy cơ bị tấn công.
Bá Phúc
14:00 | 17/09/2024
14:00 | 05/08/2024
10:00 | 19/08/2024
09:00 | 15/08/2024
13:00 | 31/10/2024
Từ đầu năm 2023 đến tháng 9/2024, các chuyên gia của hãng bảo mật Kaspersky đã phát hiện hơn 500 tin quảng cáo về công cụ Exploit để khai thác các lỗ hổng zero-day trên web đen và các kênh Telegram ẩn dạnh.
07:00 | 21/10/2024
Một nghiên cứu mới đây cho thấy 7 nhãn hiệu ô tô hàng đầu tại Úc đang thu thập và bán dữ liệu về người lái, gây lo ngại về quyền riêng tư. Đặc biệt, Hyundai và Kia bị cáo buộc bán dữ liệu nhận dạng giọng nói cho bên thứ ba để huấn luyện AI.
10:00 | 19/08/2024
Công ty an ninh mạng Fortra (Hoa Kỳ) đã đưa ra cảnh báo về một lỗ hổng mới nghiêm trọng được phát hiện trên Windows có thể gây ra hiện tượng “màn hình xanh chết chóc”, đe dọa đến dữ liệu và hệ thống của hàng triệu người dùng.
14:00 | 30/07/2024
Một nhóm tin tặc có liên quan đến Trung Quốc có tên là APT17 đã được phát hiện nhắm mục tiêu vào các công ty và tổ chức của Chính phủ Ý bằng cách sử dụng một biến thể của phần mềm độc hại đã biết có tên là 9002 RAT.
Từ đầu năm 2023 đến tháng 9/2024, các chuyên gia của hãng bảo mật Kaspersky đã phát hiện hơn 500 tin quảng cáo về công cụ Exploit để khai thác các lỗ hổng zero-day trên web đen và các kênh Telegram ẩn dạnh.
13:00 | 31/10/2024