Nhóm tấn công liên kết Trung Quốc bị nghi khai thác lỗ hổng Roundcube nhắm vào trường đại học
"Suspected China-aligned attackers are exploiting patched Roundcube webmail vulnerabilities, including CVE-2024-42009 and CVE-2025-49113, against U.S. and Canadian university departments to steal credentials and gain persistent access. The campaign uses phishing emails, browser-based XSS payloads, and follow-on RCE to deploy VShell or web shells such as SquareShell, with fallback loaders like SNOWLIGHT; the primary fix is to patch Roundcube and harden email authentication and server defenses."
Tác động cao do chuỗi tấn công kết hợp XSS và RCE để trộm thông tin xác thực và duy trì quyền truy cập. Điểm then chốt gồm: CVE-2024-42009 dẫn tới chiếm phiên/thu thập dữ liệu, CVE-2025-49113 tạo RCE sau đăng nhập, và khả năng triển khai web shell/VShell để duy trì hiện diện.
Nguy cơ gián đoạn vận hành và rò rỉ dữ liệu do nhắm vào hệ thống email của đơn vị học thuật. Tác động chính: mất tài khoản và khả năng truy cập kéo dài, ảnh hưởng đến tính sẵn sàng dịch vụ email và chi phí điều tra/phục hồi sau sự cố.
Một cụm hoạt động bị nghi liên kết với Trung Quốc được ghi nhận đang khai thác Roundcube webmail tại các khoa Vật lý và Kỹ thuật của nhiều trường đại học ở Mỹ và Canada. Chiến dịch nhắm tới các hệ thống đã vá nhưng vẫn bị lợi dụng thông qua chuỗi tấn công có phishing và khai thác lỗ hổng phía máy khách.
Theo ghi nhận, kẻ tấn công lợi dụng CVE-2024-42009 (CVSS 9.3) để thực hiện XSS: chỉ cần người nhận mở email trong ứng dụng Roundcube là có thể dẫn tới truy cập vào máy chủ thư. Payload được mô tả là IceCube, có nhiệm vụ thu thập thông tin xác thực (bao gồm dữ liệu trình duyệt, 2FA và cookie) và trinh sát môi trường (ngôn ngữ, kích thước màn hình, giá trị trường biểu mẫu).
Sau đó, IceCube gửi dữ liệu ra ngoài qua HTTP POST, rồi dùng CSRF token để kích hoạt CVE-2025-49113 (CVSS 9.9) nhằm đạt RCE sau đăng nhập. Mục tiêu là cài web shell (ví dụ SquareShell) hoặc triển khai công cụ quản trị từ xa VShell; nếu cài đặt web shell thất bại, chuỗi tấn công có thể chuyển sang bộ nạp dự phòng SNOWLIGHT.
Khuyến nghị: rà soát và vá Roundcube kịp thời, siết chặt DMARC/SPF/DKIM, tăng cường kiểm soát xác thực email và giám sát máy chủ mail để phát hiện hành vi bất thường từ phía trình duyệt và các endpoint liên quan.