Diễn Đàn SEO - vnseo.edu.vn - Các hacker đang sử dụng lỗ hổng Microsoft Office đã được tiết lộ gần đây để cài đặt phần mềm độc hại có thể điều khiển được hệ thống bị nhiễm, cung cấp cho kẻ tấn công khả năng trích xuất các tập tin, thực hiện các lệnh và hơn thế nữa. Phần mềm độc hại Cobalt có khả năng mạnh mẽ như vậy bởi vì nó sử dụng một công cụ kiểm tra thâm nhập nổi tiếng và hợp pháp, Cobalt Strike - một dạng phần mềm cho Simulations và Red Team Operations – có thể được sử dụng để truy cập vào các kênh bí mật của hệ thống. Lỗ hổng CVE-2017-11882 là một lỗ hổng giúp hacker thực thi mã từ xa, nó tồn tại trong phần mềm Microsoft Office cách đây đã 17 năm. Nó là kết quả của cách phần mềm xử lý các đối tượng nhất định trong bộ nhớ. Kẻ tấn công có thể khai thác lỗ hổng này để chạy mã tùy ý. Nếu người dùng có quyền quản trị, các hacker có thể lợi dụng điều này để phát hành lệnh hoặc cung cấp phần mềm độc hại có thể kiểm soát hệ thống. Mặc dù lỗ hổng này chỉ được công bố cách đây vài tuần nhưng các nhà nghiên cứu tại Fortinet đã phát hiện ra rằng kẻ tấn công đã nhanh chóng lợi dụng nó, với hy vọng phân phối phần mềm độc hại trước khi người dùng cài đặt bản cập nhật bảo mật có liên quan. Chiến dịch cụ thể nhắm mục tiêu vào các diễn giả Nga với một email spam có nội dung là thông báo từ Visa về thay đổi quy tắc đối với dịch vụ payWave. Thông báo chứa tài liệu RTF được bảo vệ bằng mật khẩu, người dùng được cung cấp các thông tin cần thiết để mở khóa. Tệp RTF này chứa mã độc hại nhưng mật khẩu bảo vệ giúp ẩn nó khỏi các biện pháp bảo mật. Sau khi mở, người dùng được trình bày với một tài liệu gần như trống rỗng. Tuy nhiên, tài liệu này đã âm thầm chạy một kịch bản PowerShell để tải Cobalt Strike và kiểm soát hệ thống của nạn nhân. Sau khi cài đặt, kẻ tấn công có thể điều khiển hệ thống của nạn nhân và di chuyển qua mạng bằng lệnh Cobalt Strike. Jasper Manual và Joie Salvio, hai nhà nghiên cứu bảo mật của hãng Fortinet cho biết: “Các tác nhân đe doạ luôn tìm kiếm các lỗ hổng để khai thác và sử dụng chúng cho các chiến dịch phát tán phần mềm độc hại như thế này. Điều này xảy ra đối với các lỗ hổng mới và cũ, cho dù chúng có được công bố hay không (trong nhiều tháng hoặc nhiều năm). Điều này có thể bắt nguồn từ việc vẫn có một số lượng đáng kể người sử dụng không thực hiện cập nhật một cách nghiêm túc”. Một minh chứng điển hình như: Một diễn giả người Nga nhận được một email spam với nội dung thông báo từ Visa có yêu cầu thay đổi quy tắc trong dịch vụ PayWare. Trong thông báo này có kèm tài liệu RTF có chứa mã độc, được đặt mật khẩu, người nhận phải cung cấp các thông tin cần thiết để mở khóa. Và, sau khi mở, người dùng sẽ nhận được một tài liệu rỗng. Tuy nhiên, khi đã mở ra, phần mềm độc hại sẽ chạy ngầm kịch bản PowerShell để tài Cobalt Strike, rồi tiến hành kiểm soát hệ thống của nạn nhân. Người dùng Microsoft Office có thể tải xuống bản cập nhật quan trọng bảo vệ chúng khỏi lỗ hổng CVE-2017-11882 ở đây. Những người đã cập nhật không bị ảnh hưởng bởi cuộc tấn công này. Nguồn: SecurityBox
