Phần Mềm rTorrent Bị Hacker Lợi Dụng Khai Thác Đào Tiền Ảo

Khoảng đầu tháng 03/2018, các nhà nghiên cứu cho biết, những kẻ tấn công đã tạo ra được 3,900 USD từ các chiến dịch khai thác ứng dụng nổi tiếng rTorrent để ngầm cài đặt phần mềm chạy máy đào tiền ảo trên những máy tính chạy trên các hệ điều hành như Unix.

Đối với Tavis Ormandy, nhà nghiên cứu thuộc dự án Project Zero của Google, các lỗ hổng do cách cấu hình tương tự ở một số điểm với những lỗ hổng từng xuất hiện trên các ứng dụng BitTorrent như Transmission và uTorrent. Phần minh chứng cho các cuộc tấn công (Proof of Concept) được phát triển để khai thác các điểm yếu trong giao diện chương trình JSON-RPC, vốn cho phép các trang web có người dùng truy cập có thể tải xuống và kiểm soát các phím chức năng quan trọng khác. Phần minh chứng cho thấy, các trang web độc hại có thể lạm dụng giao diện để chạy các đoạn code độc hại trên những chiếc máy tính dễ bị tấn công.

Các cuộc tấn công nhắm vào rTorrent đang khai thác XML-RPC, một giao diện rTorrent sử dụng HTTP và công cụ XML mạnh mẽ hơn để nhận dữ liệu vào từ các máy tính điều khiển từ xa. rTorrent không yêu cầu việc xác nhận từ XML-RPC. Thậm chí giao diện có thể thực thi lệnh shell command trực tiếp trên hệ điều hành mà rTorrent đang chạy.

Các nhà nghiên cứu tại hãng bảo mật F5 ở Seattle cho biết, những kẻ tấn công đang quét trên Internet để tìm ra những máy tính chạy ứng dụng rTorrent, và sau đó khai thác lỗ hổng để cài đặt phần mềm đào đồng tiền mã hóa Monero.

Tính đến đầu tháng 03/2018, tổng cộng các ví điện tử của kẻ tấn công đã có khoảng 3,900 USD. Với tốc độ hiện tại, những kẻ tấn công đang tạo ra khoảng 43 USD/ngày. Kịch bản cuộc tấn công nhắm vào rTorrent nguy hiểm hơn so với uTorrent và Transmission, vì những kẻ tấn công có thể khai thác ứng dụng rTorrent mà không cần có sự can thiệp của người dùng. Ngược lại, các lỗ hổng trên uTorrent và Transmission chỉ có thể bị khai thác bằng những trang web người dùng thường xuyên truy cập.

Cách khai thác của Ormandy sử dụng một kỹ thuật có tên là Phục hồi lại DNS (Domain Name System rebinding) để tạo ra một tên miền Internet không đáng tin, được phân giải về địa chỉ IP nằm trên máy tính đang chạy ứng dụng BitTorrent có lỗ hổng. Nhà phát triển của rTorrent đã “đề nghị rõ ràng không sử dụng chức năng RPC qua các socket TCP.” Điều này chỉ ra rằng giao diện dễ bị tổn thương XML-RPC không được bật theo mặc định. Nhiều người dùng BitTorrent nhận thấy giao diện rất hữu ích, và giả sử chúng chỉ có thể bị điều khiển bởi ai đó truy cập trực tiếp vào máy tính đang chạy.

Vì nó dễ bị tác động bằng cuộc tấn công Phục hồi DNS hoặc các kỹ thuật hack khác làm vô hiệu giả định này, ít nhất là vì giao diện thiếu việc xác thực mật mã hoặc các biện pháp bảo mật sâu khác, hoặc vì chúng không được nhà phát triển cung cấp hay người dùng cuối cho phép.

Malware khai thác trên không chỉ chạy phần mềm đào tiền mã hóa gây tiêu tốn điện năng và sức mạnh điện toán. Nó còn quét các máy tính nhiễm malware để tìm kiếm các “thợ mỏ” đối địch, và nỗ lực loại bỏ đối thủ. Malware chỉ bị phát hiện bởi 3 trong số 59 nhà cung cấp phần mềm diệt virus hàng đầu. Nhưng con số đó sẽ sớm thay đổi trong tương lai. Jari Sundell, nhà phát triển rTorrent, cho biết: “Sẽ không có bản vá nào vì lỗ hổng là do việc thiếu kiến thức về những gì sẽ bị phơi bày khi chức năng RPC được bật, thay vì một lỗ hổng có thể sửa chữa được trong phần code. Cần luôn giả định rằng người dùng sẽ phải đảm bảo họ đã xử lý việc hạn chế truy cập một cách chính xác. “Không có “hành vi mặc định” nào trong rTorrent để bật RPC, và việc sử dụng các socket Unix cho RPC được khuyến khích. Sai sót có lẽ là vì tôi đã tạo ra một phần mềm rất linh hoạt, nhưng chưa hướng dẫn đủ tốt để người dùng thông thường hiểu được tất cả cạm bẫy có thể gặp phải.”

Những người dùng rTorrent nên kiểm tra lại máy tính một cách cẩn thận để biết các dấu hiệu nhiễm malware, bao gồm cả lượng băng thông và sức mạnh điện toán đang được tiêu thụ. Người dùng rTorrent cũng nên đảm bảo rằng họ đang làm theo lời khuyên của Sundell. Những người đang chạy các ứng dụng BitTorrent khác cũng nên thận trọng với giao diện RPC và tắt khi có thể.