Tin tặc khai thác lỗ hổng iOS và Android để tấn công
"Researchers identified a campaign exploiting previously patched 'n-day' vulnerabilities in iOS and Android via watering hole attacks and supply chain compromise. Attackers, potentially linked to the Kremlin's Foreign Intelligence Service, used JavaScript injection and exploit chains like DarkSword to steal browser cookies, Wi-Fi passwords, and device data. The campaign targeted websites related to Ukraine and high-profile events like the US Constitution's anniversary."
Khai thác lỗ hổng đã được vá cho thấy sự phức tạp của các cuộc tấn công hiện đại. Việc sử dụng chuỗi cung ứng làm vector tấn công có thể gây ra hậu quả nghiêm trọng.
Mất dữ liệu và gián đoạn dịch vụ là những rủi ro chính. Các doanh nghiệp cần đầu tư vào bảo mật chuỗi cung ứng và cập nhật phần mềm thường xuyên.
Các tin tặc, có liên quan đến tình báo nước ngoài, khai thác lỗ hổng đã được vá trên iOS và Android để tấn công người dùng. Chiến dịch này nhắm mục tiêu vào các trang web liên quan đến Ukraine và sự kiện kỷ niệm 250 năm Hiến pháp Hoa Kỳ.
Tin tặc sử dụng JavaScript để chèn mã độc vào lưu lượng truy cập, sau đó khai thác các lỗ hổng để đánh cắp cookie trình duyệt, mật khẩu Wi-Fi và dữ liệu thiết bị. Một trong những trang web bị tấn công là america250.org, trang web của một nhóm phi đảng phái. Tin tặc đã đăng ký america250[.]holiday làm proxy ngược để chuyển hướng người dùng đến trang web gốc, đồng thời chèn mã độc.
Ngoài ra, tin tặc còn tấn công theowo[.]club, trang web của khách sạn Raffles London OWO, nơi Tổng thống Ukraine Volodymyr Zelenskyy đã ở lại vào tháng 10. Họ cũng tấn công một công ty sản xuất khí đốt hàng đầu của Ukraine và một dịch vụ phân tích web phục vụ hàng nghìn trang web. Sekoia, công ty bảo mật phân tích vụ việc, cho biết họ tin rằng các cuộc tấn công này có liên quan đến APT29, một nhóm tin tặc bị nghi ngờ liên kết với chính phủ Nga.
Tin tặc sử dụng ba phương pháp tấn công: chèn JavaScript trực tiếp, sử dụng proxy domain và tấn công chuỗi cung ứng. Các lỗ hổng được khai thác đều đã được vá, vì vậy chỉ các thiết bị sử dụng phiên bản iOS hoặc Android cũ mới bị ảnh hưởng. Họ sử dụng DarkSword, một bộ công cụ khai thác iOS, cùng với hai chuỗi khai thác khác chưa được tiết lộ. JavaScript injection là phương pháp chính để xác định và nhắm mục tiêu thiết bị.
Câu hỏi thường gặp
Chiến dịch tấn công này nhắm mục tiêu vào những ai?
Chiến dịch này nhắm mục tiêu vào người dùng iOS và Android truy cập các trang web liên quan đến Ukraine và các sự kiện như kỷ niệm 250 năm Hiến pháp Hoa Kỳ. Tin tặc cũng nhắm mục tiêu vào các tổ chức chính phủ và doanh nghiệp.
Các tin tặc sử dụng phương pháp nào để tấn công?
Tin tặc sử dụng ba phương pháp: chèn JavaScript trực tiếp vào lưu lượng truy cập, sử dụng proxy domain và tấn công chuỗi cung ứng. Họ cũng sử dụng các chuỗi khai thác như DarkSword để khai thác các lỗ hổng đã được vá.
Lỗ hổng nào đã được khai thác trong chiến dịch này?
Các lỗ hổng được khai thác đều đã được vá, vì vậy chỉ các thiết bị sử dụng phiên bản iOS hoặc Android cũ mới bị ảnh hưởng. Các tin tặc sử dụng DarkSword, một bộ công cụ khai thác iOS, và hai chuỗi khai thác khác chưa được tiết lộ.
Góc nhìn của Orange Cloud
Theo chúng tôi, chiến dịch này cho thấy các nhóm tin tặc liên kết với chính phủ vẫn tích cực khai thác các lỗ hổng đã được vá để tấn công các mục tiêu cụ thể. Các doanh nghiệp Việt Nam, đặc biệt là các tổ chức chính phủ và các công ty có liên quan đến Ukraine, cần đặc biệt chú ý đến việc cập nhật phần mềm và tăng cường bảo mật. Điều đáng chú ý là việc sử dụng các chuỗi cung ứng để tấn công cho thấy tầm quan trọng của việc bảo mật toàn bộ hệ thống, không chỉ các thiết bị đầu cuối.