Microsoft: Tin tặc được Nhà nước tài trợ đang khai thác lỗ hổng Log4j

Theo Microsoft, lỗ hổng Apache Log4j 2 nghiêm trọng đang mở đường cho các hacker được nhà nước tài trợ đánh cắp dữ liệu và thực hiện các cuộc tấn công ransomware. 

Vào thứ Ba, công ty cảnh báo nó đã quan sát thấy các nhóm hack quốc gia-nhà nước từ Trung Quốc, Iran, Triều Tiên và Thổ Nhĩ Kỳ đang cố gắng khai thác lỗ hổng Log4j 2. Các hoạt động của họ bao gồm thử nghiệm với lỗi và lạm dụng lỗ hổng để thả các tải trọng độc hại và trích xuất dữ liệu từ nạn nhân. 

Theo Microsoft, một nhóm hack Iran, có tên là Phosphorus hoặc Charming Kitten, đã bị cáo buộc khai thác Log4j 2 để phát tán ransomware. Một nhóm riêng biệt từ Trung Quốc có tên là Hafnium đã được quan sát thấy đã tận dụng lỗ hổng để giúp nó nhắm mục tiêu các nạn nhân tiềm năng. 

“Trong các cuộc tấn công này, các hệ thống liên quan đến Hafnium đã được quan sát bằng cách sử dụng dịch vụ DNS thường liên quan đến hoạt động thử nghiệm đối với hệ thống dấu vân tay,” Microsoft cho biết. 

Lỗ hổng bảo mật đang dấy lên hồi chuông cảnh báo vì phần mềm Log4j 2 của Apache được sử dụng trên toàn ngành công nghiệp internet như một công cụ để ghi lại các thay đổi trong một phần mềm hoặc ứng dụng web. Bằng cách khai thác lỗ hổng này, tin tặc có thể đột nhập vào hệ thống CNTT để lấy cắp dữ liệu hoặc chạy một chương trình độc hại. Không giúp được gì cho vấn đề là cách thiết lập lỗ hổng nhỏ nhặt, khiến cho bất kỳ ai cũng dễ dàng khai thác nó. 

Báo cáo từ Microsoft nhấn mạnh sự cần thiết của toàn bộ ngành công nghệ để vá lỗ hổng trước khi tình trạng hỗn loạn xảy ra. Công ty không xác định các nhóm hack được nhà nước bảo trợ đến từ Triều Tiên hay Thổ Nhĩ Kỳ. Nhưng Microsoft nói thêm rằng các nhóm tội phạm mạng khác, được gọi là “các nhà môi giới truy cập”, đã bị phát hiện khai thác lỗi Log4j 2 để giành được chỗ đứng trong các mạng. 

“Các nhà môi giới truy cập này sau đó bán quyền truy cập vào các mạng này cho các chi nhánh của ransomware-as-a-service,” Microsoft cho biết. “Chúng tôi đã quan sát thấy những nhóm này đang cố gắng khai thác trên cả hệ thống Linux và Windows, điều này có thể dẫn đến sự gia tăng tác động của ransomware do con người vận hành trên cả hai nền tảng hệ điều hành này.”

Các công ty an ninh mạng khác, bao gồm Mandiant, cũng đã phát hiện ra các nhóm hack do nhà nước tài trợ từ Trung Quốc và Iran nhắm vào lỗ hổng này. “Chúng tôi dự đoán các cơ quan nhà nước khác cũng đang làm như vậy hoặc chuẩn bị làm như vậy,” Mandiant Phó Chủ tịch Phân tích Tình báo John Hultquist cho biết. “Chúng tôi tin rằng những tác nhân này sẽ làm việc nhanh chóng để tạo chỗ đứng trong các mạng lưới mong muốn cho hoạt động tiếp theo, có thể kéo dài trong một thời gian.”