Lỗ hổng do lưu mật khẩu dịch vụ trong trường mô tả Active Directory
"A security incident report describes an organization storing service account passwords in Active Directory description fields, making them readable by ordinary domain users. After an initial phishing compromise and Sliver execution, an attacker queried AD, recovered passwords with domain-wide access, deleted backups, and deployed ransomware that encrypted Hyper-V hosts, taking the company offline for months and affecting 2000+ users. The fix is to avoid cleartext credential storage and use a proper password vault or equivalent secure secret management."
Rò rỉ mật khẩu toàn miền và xóa bản sao lưu dẫn đến mất kiểm soát hệ thống diện rộng.
Sự cố khiến hệ thống ngừng hoạt động nhiều tháng, ảnh hưởng đến hơn 2000 người dùng và gây gián đoạn vận hành nghiêm trọng.
Một tổ chức đã gặp sự cố nghiêm trọng khi mật khẩu tài khoản dịch vụ được lưu trực tiếp dưới dạng cleartext trong trường mô tả (description) của Active Directory. Điều này khiến bất kỳ người dùng domain thông thường nào cũng có thể truy xuất và đọc các mật khẩu này. Sau khi bị tấn công qua phishing và triển khai công cụ tấn công Sliver, kẻ xâm nhập đã sử dụng quyền truy cập để quét Active Directory, thu thập các mật khẩu có quyền truy cập toàn miền. Tiếp theo, chúng xóa toàn bộ bản sao lưu và triển khai ransomware để mã hóa các máy chủ Hyper-V, khiến hệ thống của công ty bị gián đoạn trong nhiều tháng và ảnh hưởng đến hơn 2000 người dùng.
Sự cố này nhấn mạnh rủi ro khi lưu trữ thông tin xác thực ở các vị trí không an toàn, đặc biệt là dưới dạng cleartext trong các trường dễ truy cập. Để giảm thiểu nguy cơ, các tổ chức cần sử dụng hệ thống quản lý mật khẩu chuyên dụng hoặc giải pháp quản lý bí mật bảo mật, đồng thời thường xuyên kiểm tra và rà soát các vị trí lưu trữ thông tin nhạy cảm trong hệ thống. Ngoài ra, cần tăng cường đào tạo nhận thức bảo mật cho nhân viên và áp dụng các chính sách kiểm soát truy cập nghiêm ngặt đối với thông tin xác thực.