Google: Tin tặc nghi liên quan ĐCSTQ khai thác lỗ hổng chưa vá để xâm nhập doanh nghiệp

Google hôm thứ Năm (15/10) cho biết một nhóm tin tặc bị nghi có liên hệ với Đảng Cộng sản Trung Quốc (ĐCSTQ) đã khai thác lỗ hổng chưa được vá trong sản phẩm của hãng bảo mật Mỹ BeyondTrust hồi tháng 8 để xâm nhập vào các doanh nghiệp.

Nhóm Tình báo Mối đe dọa của Google (GTIG) và công ty an ninh mạng Mandiant, đơn vị thuộc Google, công bố báo cáo cùng ngày. Báo cáo quy vụ tấn công cho “Armory Castle” (trước đây có tên UNC5221), một nhóm gián điệp bị nghi liên quan đến ĐCSTQ.

Cuối tháng 8, nhóm này đã xâm nhập thiết bị hỗ trợ từ xa của BeyondTrust qua một lỗ hổng “zero-day”, tức lỗ hổng bảo mật chưa có bản vá tại thời điểm bị khai thác.

Sản phẩm bị nhắm đến là Remote Support, công cụ giúp nhân viên IT của doanh nghiệp kết nối từ xa để xử lý sự cố máy tính.

Sau khi xâm nhập vào hệ thống, kẻ tấn công giành quyền truy cập ở cấp cao nhất trong hệ thống và tìm cách lấy mật khẩu lưu trên thiết bị, theo Mandiant. Nhóm tin tặc còn sử dụng chính tính năng hỗ trợ từ xa để vào các máy tính trong mạng doanh nghiệp, tải tài liệu nội bộ về và nhiều lần xóa nhật ký hệ thống nhằm tránh bị phát hiện.

Lỗ hổng này hiện đã được công khai.

Trước đây, nhóm này từng âm thầm khai thác lỗ hổng zero-day để tấn công một số mục tiêu cụ thể. Khi lỗ hổng bị công bố, họ tranh thủ lúc các tổ chức chưa kịp vá để xâm nhập hàng loạt, Mandiant giải thích. Báo cáo cảnh báo các doanh nghiệp cần “chuẩn bị cho khả năng bị khai thác trên diện rộng”.

GTIG cho biết Armory Castle hoạt động liên tục ít nhất từ tháng 10/2023, tấn công các mục tiêu ở nhiều quốc gia và thuộc nhiều ngành khác nhau. Armory Castle từng khai thác lỗ hổng trong các thiết bị mạng do Citrix và Ivanti cung cấp. Đơn vị này đánh giá với độ tin cậy cao rằng nhóm sẽ tiếp tục khai thác lỗ hổng zero-day trong các thiết bị mạng biên để phục vụ hoạt động gián điệp.

BeyondTrust xác nhận hai hệ thống đã bị xâm nhập vào ngày 29/8. Công ty phát hành bản vá vào đầu tháng 10.