Tổng hợp ThreatsDay: NuGet giả mạo, RAT/spyware, ransomware 24 giờ và lỗ hổng Oracle/KNX được khai thác
"The article is a roundup of multiple cybersecurity incidents, including malware campaigns delivered via fake NuGet tools, trojanized installers, and fake GitHub repositories, as well as a newly observed Spirals ransomware attack that encrypted a victim network within 24 hours. It also notes CISA adding actively exploited Oracle E-Business Suite and KNX Protocol vulnerabilities to the KEV catalog, alongside guidance on coordinated vulnerability disclosure and several law-enforcement actions against fraud and cybercrime networks."
Tác động bảo mật cao do nhiều chuỗi tấn công nhắm tới chuỗi cung ứng và khả năng triển khai nhanh. Các điểm then chốt gồm ransomware mã hóa trong 24 giờ, NuGet giả mạo để tải payload nhiều tầng, và lỗ hổng Oracle/KNX trong KEV có yêu cầu vá khẩn.
Rủi ro vận hành đáng kể vì các chiến dịch có thể ảnh hưởng hệ thống doanh nghiệp qua RAT, đánh cắp dữ liệu và gián đoạn dịch vụ. Điểm cần chú ý: yêu cầu vá theo KEV có thể tác động lịch phát hành, xâm nhập qua máy chủ IIS và mã hóa nhanh làm tăng chi phí khôi phục và gián đoạn kinh doanh.
Trong tuần, nhiều sự cố tấn công chuỗi cung ứng và xâm nhập ban đầu được ghi nhận, thường bắt đầu từ các nội dung “quen thuộc” như kho mã và bộ cài. Nổi bật là chiến dịch 11 gói NuGet độc hại giả làm “game cheats” để tải payload, trong đó giai đoạn sau là pepesoft.exe lấy cấu hình từ các nguồn công khai và có cơ chế ràng buộc/loại trừ theo phần cứng. Một nhánh khác sử dụng trình cài đặt bị trojan hóa để triển khai Starland RAT và WLDR (C2 dạng memory implant), nhắm vào người dùng tại Mỹ và châu Âu; chuỗi tấn công có thể bao gồm HTA lures, tải PowerShell stager và triển khai qua công cụ như PsExec.
Về ransomware, họ Spirals được quan sát mã hóa mạng nạn nhân trong 24 giờ sau khi xâm nhập ban đầu vào máy chủ IIS thông qua ASP.NET web shell, sau đó leo thang, gỡ phần mềm bảo vệ và trích xuất dữ liệu hệ thống trước khi triển khai mã hóa. CISA đồng thời đưa CVE-2026-46817 (Oracle E-Business Suite) và CVE-2023-4346 (KNX Protocol) vào KEV, yêu cầu cơ quan liên bang cập nhật theo mốc thời gian tương ứng. Khuyến nghị: rà soát nguồn gói/Repo, siết kiểm soát quyền quản trị, ưu tiên vá các CVE trong KEV và triển khai quy trình coordinated vulnerability disclosure để giảm rủi ro khai thác lặp lại.