Admin dùng mật khẩu 'chửi' hacker để thể hiện đẳng cấp, nhưng vẫn bị tấn công
"A penetration tester gained domain admin rights to a factory network by exploiting an unpatched Windows 7 server vulnerable to the EternalBlue exploit. The server contained an administrator account with a surprisingly strong, albeit offensive, password ('heyhackergof***yourself' in leet speak). The incident highlights the importance of patching legacy systems over relying on password complexity."
Sự việc này cho thấy mức độ nghiêm trọng của việc không vá các lỗ hổng bảo mật đã biết. EternalBlue vẫn là một mối đe dọa lớn đối với các hệ thống cũ.
Các doanh nghiệp có thể phải đối mặt với tổn thất tài chính và mất uy tín nếu hệ thống của họ bị tấn công do các lỗ hổng bảo mật. Việc vá lỗi kịp thời là một biện pháp phòng ngừa quan trọng.
Một chuyên gia kiểm thử xâm nhập (penetration tester) đã giành quyền quản trị miền (domain admin rights) trên mạng lưới nhà máy bằng cách khai thác lỗ hổng *EternalBlue trên một máy chủ Windows 7 chưa được vá. Máy chủ này chứa tài khoản quản trị viên với mật khẩu mạnh, nhưng lại sử dụng ngôn ngữ thô tục ('heyhackergof**yourself' viết theo kiểu leet speak). Sự việc này cho thấy việc vá các hệ thống cũ quan trọng hơn là chỉ dựa vào độ phức tạp của mật khẩu.
Với các doanh nghiệp Việt Nam đang sử dụng các hệ thống cũ, đây là lời cảnh tỉnh về việc cập nhật bản vá bảo mật thường xuyên. Việc chỉ tập trung vào mật khẩu mạnh mà bỏ qua việc vá lỗi có thể tạo ra kẽ hở cho kẻ tấn công.
Chuyên gia Dahvid Schloss của Suzu Labs đã được thuê để kiểm tra an ninh mạng của nhà máy. Anh phát hiện nhiều máy chủ Windows 7 vẫn kết nối với các máy CNC, dù Microsoft đã ngừng hỗ trợ hệ điều hành này từ lâu. Các công ty thường giữ lại hệ điều hành cũ vì lo ngại ảnh hưởng đến các ứng dụng chuyên dụng.
Schloss ban đầu gặp khó khăn vì hầu hết máy chủ không kết nối với domain. Tuy nhiên, anh cuối cùng tìm thấy một máy chủ kết nối với domain và dễ bị tấn công qua *EternalBlue. Sau khi khai thác lỗ hổng, anh tìm thấy một tài khoản quản trị viên với mật khẩu 'heyhackergof**yourself' (viết theo kiểu leet speak).
Schloss nghi ngờ đây là một trò đùa và giữ mật khẩu này trong một tuần. Khi trình bày kết quả với đội IT, anh hỏi ai đã đặt mật khẩu này. Người quản lý IT đã thừa nhận đó là mật khẩu thật của anh ta. Anh ta muốn “chửi” hacker nếu bị tấn công lần nữa.
Thử nghiệm mật khẩu này vào thứ Hai, Schloss đã giành được quyền kiểm soát toàn bộ mạng. Anh ta tìm thấy nhiều mật khẩu khác cũng là những lời xúc phạm dành cho hacker. Tuy nhiên, lỗ hổng EternalBlue trên máy chủ cũ mới là nguyên nhân chính dẫn đến việc bị tấn công, chứ không phải mật khẩu yếu.
Bài học rút ra là hãy vá các hệ thống của bạn và tránh sử dụng hệ điều hành cũ không được hỗ trợ. Mật khẩu mạnh không đủ để bảo vệ nếu hệ thống dễ bị tấn công qua các lỗ hổng đã biết.
Câu hỏi thường gặp
EternalBlue là gì?
EternalBlue là một lỗ hổng bảo mật trong giao thức SMBv1 của Windows. Nó cho phép kẻ tấn công thực thi mã từ xa trên các hệ thống chưa được vá. Lỗ hổng này đã được sử dụng trong các cuộc tấn công ransomware lớn như WannaCry.
Leet speak là gì?
Leet speak là một cách viết sử dụng các ký tự và số để thay thế các chữ cái, thường được sử dụng trong cộng đồng hacker. Ví dụ, 'a' có thể được thay thế bằng '4', 'e' bằng '3', và 'o' bằng '0'.
Tại sao việc vá lỗi lại quan trọng?
Việc vá lỗi giúp khắc phục các lỗ hổng bảo mật trong phần mềm, ngăn chặn kẻ tấn công khai thác chúng để xâm nhập vào hệ thống. Các bản vá thường được phát hành để sửa các lỗi đã được phát hiện.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự việc này cho thấy các doanh nghiệp Việt Nam cần đặc biệt chú trọng đến việc vá các hệ thống cũ, ngay cả khi chúng vẫn đang hoạt động. Việc sử dụng mật khẩu mạnh là cần thiết, nhưng không thể thay thế việc cập nhật bản vá bảo mật thường xuyên. Các doanh nghiệp nên xem xét việc nâng cấp lên các hệ điều hành được hỗ trợ hoặc triển khai các biện pháp bảo mật bổ sung để giảm thiểu rủi ro.