Nhóm tình báo bị nghi ngờ tấn công các trường đại học qua Roundcube
"Proofpoint says suspected China-aligned actors targeted a few dozen US and Canadian universities since May by exploiting Roundcube mailserver vulnerabilities to steal credentials and session data from physics and engineering staff. The attack chain used CVE-2024-42009 for initial access and CVE-2025-49113 to deploy webshells and implants such as SquareShell and VShell; mitigation involved scanning for compromise and notifying victims."
Tác động đáng kể do kẻ tấn công có thể chiếm quyền phiên và thực thi mã từ xa: CVE-2024-42009 giúp truy cập ban đầu qua webmail, CVE-2025-49113 cho phép cài webshell và mở rộng kiểm soát.
Rủi ro gián đoạn vận hành và rò rỉ dữ liệu đối với các trường đại học, đặc biệt khi nhắm tới nhóm quản trị và giảng viên; cần ưu tiên kiểm tra máy chủ email và thông báo sự cố để giảm thiểu ảnh hưởng.
Theo Proofpoint, các tác nhân bị cho là liên kết với Trung Quốc đã xâm nhập nhiều trường đại học tại Mỹ và Canada từ tháng 5, nhắm vào bộ phận quản trị và giảng viên các khoa vật lý và kỹ thuật để đánh cắp dữ liệu và thông tin phiên làm việc trên máy chủ email Roundcube. Proofpoint ghi nhận trực tiếp “dưới 10” trường bị nhắm tới, đồng thời ước tính tổng số mục tiêu có thể là “vài chục”, nhưng nhấn mạnh đây là suy đoán.
Chuỗi tấn công bắt đầu bằng phishing gửi từ các nguồn hợp pháp bị chiếm hoặc tên miền bị lạm dụng để giả mạo. Khi người dùng mở email trong webmail của Roundcube dễ bị tổn thương, kẻ tấn công khai thác CVE-2024-42009 (lỗ hổng XSS) để đạt truy cập ban đầu, sau đó triển khai stealer IceCube nhằm thu thập tên đăng nhập, mật khẩu, token phiên và cookie. Tiếp theo, kẻ tấn công dùng CSRF token để kích hoạt khai thác CVE-2025-49113 (lỗ hổng deserialization), cài webshell SquareShell và implant VShell; trường hợp webshell không chạy sẽ chuyển sang kênh dự phòng.
Khuyến nghị: rà soát máy chủ Roundcube theo các dấu hiệu SquareShell/VShell, kiểm tra log truy cập và hành vi bất thường sau phishing, đồng thời phối hợp thông báo cho các đơn vị bị ảnh hưởng.