Hacker Đang Khai Thác Lỗ Hổng Trên Microsoft Word Để Chiếm Quyền Điều Khiển PC

Khoảng cuối tháng 11/2017, hacker đang lợi dụng lỗ hổng Microsoft Office để cài đặt phần mềm độc hại có thể điều khiển được hệ thống bị nhiễm, cho phép kẻ tấn công có khả năng trích xuất các tập tin, thực hiện các lệnh và nhiều hơn...

Phần mềm độc hại Cobalt có khả năng mạnh mẽ vì nó sử dụng một công cụ kiểm tra thâm nhập nổi tiếng và hợp pháp, Cobalt Strike - một dạng phần mềm cho Simulations và Red Team Operations – có thể được sử dụng để truy cập vào các kênh bí mật của hệ thống.

Lỗ hổng CVE-2017-11882 cho phép hacker thực thi mã từ xa, tồn tại trong phần mềm Microsoft Office trong suốt 17 năm. Nó là kết quả của cách phần mềm xử lý các đối tượng nhất định trong bộ nhớ. Dù Microsoft đã phát hành bản vá cho lỗ hổng, nhưng nhiều người vẫn không cập nhật và trở thành nạn nhân của hacker. Kẻ tấn công có thể khai thác lỗ hổng để chạy mã tùy ý. Nếu người dùng có quyền quản trị, các hacker có thể lợi dụng để phát hành lệnh hoặc cung cấp phần mềm độc hại có thể kiểm soát hệ thống.

Dù lỗ hổng chỉ mới được công bố trong thời gian ngắn, nhưng các nhà nghiên cứu tại Fortinet đã phát hiện ra rằng kẻ tấn công đã nhanh chóng lợi dụng nó, với hy vọng phân phối phần mềm độc hại trước khi người dùng cài đặt bản cập nhật bảo mật có liên quan.

Chiến dịch cụ thể nhắm mục tiêu vào các diễn giả Nga với một email spam có nội dung là thông báo từ Visa về thay đổi quy tắc đối với dịch vụ payWave. Thông báo chứa tài liệu RTF được bảo vệ bằng mật mã, người dùng được cung cấp các thông tin cần thiết để mở khóa. Tệp RTF chứa mã độc hại nhưng mật mã bảo vệ giúp ẩn nó khỏi các biện pháp bảo mật. Sau khi mở, người dùng được trình bày với một tài liệu gần như trống rỗng. Tuy nhiên, nó đã âm thầm chạy một kịch bản PowerShell để tải Cobalt Strike và kiểm soát hệ thống của nạn nhân. Sau khi cài đặt, kẻ tấn công có thể điều khiển hệ thống của nạn nhân và di chuyển qua mạng bằng lệnh Cobalt Strike.

Jasper Manual và Joie Salvio, 2 nhà nghiên cứu bảo mật của hãng Fortinet cho biết: “Các tác nhân đe doạ luôn tìm kiếm các lỗ hổng để khai thác và sử dụng chúng cho các chiến dịch phát tán phần mềm độc hại. Điều này xảy ra đối với các lỗ hổng mới và cũ, cho dù chúng có được công bố hay không. Điều này có thể bắt nguồn từ việc vẫn có một số lượng đáng kể người sử dụng không thực hiện cập nhật một cách nghiêm túc”.

Người dùng Microsoft Office hiện đã có thể tải xuống bản cập nhật quan trọng bảo vệ chúng khỏi lỗ hổng CVE-2017-11882. Những người đã cập nhật không bị ảnh hưởng bởi cuộc tấn công. Link tải: https://portal.msrc.microsoft.com/en-US/eula