VNCERT cảnh báo phương thức tấn công mới của nhóm hacker Shadow Brokers

​VNCERT cho biết, ngày 14/4 vừa qua, nhóm hacker có tên gọi Shadow Brokers tuyên bố đã đánh cắp được một bộ công cụ gián điệp tấn công hệ thống nhằm khai thác dữ liệu của Cơ quan An ninh mạng quốc gia Hoa Kỳ (NSA). Do không đạt được thỏa thuận về tài chính để đánh đổi bộ công cụ, nhóm hacker này đã tung lên mạng thông qua website chuyên về mã nguồn mở Github.

Bộ công cụ bao gồm các chương trình nhị phân đã được biên dịch để khai thác bất kỳ hệ thống nào sử dụng các phiên bản của hệ điều hành Windows (trừ Windows 10 và Windows Server 2016) thông qua các lỗ hổng chưa được khai thác. Mục tiêu của các công cụ tấn công này nhằm vào các tổ chức tiền tệ, ngân hàng lớn, phần đông có trụ sở tại khu vực Trung Đông như UAE, Kuwait, Qatar, Palestine và Yemen. Theo báo cáo đánh giá của các chuyên gia an toàn thông tin mạng cho thấy điều này có gây ra nguy cơ mất an toàn thông tin trên diện rộng đa quốc gia, trong đó có Việt Nam.

Về phương thức tấn công khai thác dữ liệu hệ thống, VNCERT cho biết, một trong các công cụ Hacking được công bố gọi là Eternalromance, chứa một giao diện dễ sử dụng và khai thác hệ thống Window thông qua các cổng TCP 445 và 139. Các lỗ hổng của hệ điều hành Window được công bố gồm có EternalBlue (MS17-010),  EmeraldThread (MS10-06), EternalChampion (CVE-2017-0146 và CVE-2017-0147), ErraticGopher (lỗ hổng trên Windows Vista - không được hỗ trợ), EsikmoRoll (MS14-068), EternalRomance (MS17-010), EducatedScholar (MS09-050), EternalSynergy (MS17-010), Eclipsed Wing (MS08-067).

Bên cạnh đó, nhóm hacker Shadow Brokers còn khai thác lỗ hổng zero-day (CVE-2016-6366) ExtraBacon qua giao thức SNMP - giao thức tầng ứng dụng trong phần mềm Cisco ASA cho phép tin tặc không cần xác thực từ xa để khởi động lại hệ thống hoặc thực thi mã tùy ý, từ đó chiếm quyền kiểm soát thiết bị. Một hành vi tấn công hệ thống của Cisco cũng được khai thác thông qua tệp tin giải mã lưu lượng mạng riêng ảo (VPN) Cisco PIX và cấy mã độc vào bo mạch chủ firmware nhằm che dấu hành vi và xóa dấu vết.

Để phòng tránh các rủi ro mất an toàn thông tin mạng liên quan đến các công cụ tấn công mới được nhóm hacker Shadow Broker đưa ra, VNCERT khuyến cáo các đơn vị, doanh nghiệp triển khai một số biện pháp.

Cụ thể, với hệ thống sử dụng hệ điều hành Windows (từ Windows Server 2000 tới Windows Server 2012, Windows XP, Windows Vista, Windows 7, Windows 8,…), cần nhanh chóng rà soát và cập nhật các bản vá lỗi được cảnh báo trên tại website  chính thức của Mircosoft.

Đối với hệ thống sử dụng các thiết bị của Cisco, cần cập nhật các bản vá lỗi liên quan đến lỗ hổng zero - day (CVE-2016-6366). Để bảo vệ dữ liệu an toàn, máy tính nên được bảo vệ đằng sau Router hoặc Firewalls. Trang bị các hệ thống phòng chống tấn công mạng như IPS/IDS, Firewalls...

Đồng thời, các cơ quan, đơn vị, doanh nghiệp cũng được VNCERT đề nghị cập nhật phiên bản mới nhất của các chương trình diệt Virus để phát hiện và xử lý các mã thực thi do hacker tấn công vào hệ thống; thực hiện sao lưu dữ liệu định kỳ (sử dụng các ổ đĩa lưu trữ ngoài như ổ cứng cắm ngoài, ổ đĩa USB để lưu trữ các dữ liệu quan trọng trong máy tính; sau khi sao lưu xong đưa ra cất giữ riêng và không kết nối vào Internet).

Ngoài ra, để giúp các cơ quan chức năng theo dõi, phân tích và kịp thời phản ứng nhanh với các phương thức tấn công mới, các cơ quan, doanh nghiệp được đề nghị ngay khi phát hiện sự cố và không có khả năng xử lý, cần thông báo ngay về đầu mối điều phối ứng cứu sự cố quốc gia là Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam - VNCERT, có địa chỉ tại tầng 5, tòa nhà 115 Trần Duy Hưng, Cầu Giấy, Hà Nội. Các số điện thoại 04 3640 4423 số máy lẻ 112; 0934 424 009 và hòm thư điện tử tiếp nhận báo cáo sự cố ir@vncert.gov.vn.

MN