Ngày 22/10, theo cảnh báo của Tập đoàn an ninh mạng Bkav, Zerologon (CVE-2020-1472) có điểm CVSS (thang độ tiêu chuẩn về mức độ nghiêm trọng của lỗ hổng phần mềm) đạt mức tối đa 10/10, cho phép hacker chiếm quyền điều khiển server DC và quyền quản trị dịch vụ DC mà không cần thông tin đăng nhập.

Quá trình khai thác của hacker được thực hiện bằng cách gửi một số lượng lớn các yêu cầu xác thực đến server DC thông qua giao thức NetLogon (giao thức xác thực đăng nhập từ xa của quản trị), với thông tin đăng nhập chỉ chứa các giá trị bằng 0 (Zero). Xác thực sẽ thành công nếu server chọn được khóa ngẫu nhiên phù hợp. Xác suất khóa này được chọn là 1/256.

{keywords}
Lỗ hổng Zerologon trên máy chủ Domain Controller cho phép đối tượng thực hiện tấn công leo thang để chiếm quyền quản trị hệ thống. (Ảnh minh họa)

Các chuyên gia Bkav phân tích, kịch bản tấn công thực tế sẽ bao gồm hai bước. Bước đầu, tin tặc tấn công chiếm quyền điều khiển một máy tính hoặc server có kết nối đến máy chủ DC, đó có thể là máy chủ VPN, máy tính người dùng, máy chủ web... Từ máy tính đã bị chiếm quyền điều khiển này, hacker tấn công vào server DC thông qua khai thác lỗ hổng Zerologon.

Chuyên gia Bkav cũng cho biết, Việt Nam đã có nạn nhân đầu tiên của chiến dịch tấn công bằng Zerologon. Tin tặc đã xâm nhập thành công vào hệ thống và kiểm soát toàn bộ tài khoản người dùng của doanh nghiệp này.

Do tính chất đặc biệt nguy hiểm của lỗ hổng, các chuyên gia khuyến cáo các quản trị khẩn trương rà soát và cập nhật bản vá cho hệ thống của mình, có thể xem chi tiết về lỗ hổng, hướng dẫn kiểm tra và vá lỗ hổng tại đây. Riêng các hệ thống đang triển khai giải pháp Trung tâm giám sát, điều hành an ninh mạng eEye SOC sẽ được tự động bảo vệ trước các cuộc tấn công bằng Zerologon.

Được biết trước đó ngày 11/8, Microsoft đã công bố lỗ hổng CVE-2020-1472 (còn được gọi là Zerologon) trên các máy chủ Domain Controller.

Được đánh giá là lỗ hổng đặc biệt nghiêm trọng, Zerologon ảnh hưởng tới các máy chủ Domain Controller sử dụng Windows Server 2008, 2012, 2016, 2019; Windows Server version 1903, 1909, 2004.

Lỗ hổng cho phép đối tượng thực hiện tấn công leo thang để chiếm quyền quản trị. Domain Controller là máy chủ đóng vai trò trung tâm trong hệ thống mạng triển khai theo mô hình quản lý tập trung, dùng để xác thực và quản lý các máy trạm khác. Khi tấn công được vào máy chủ này thì đối tượng tấn công xem như kiểm soát toàn bộ hệ thống thông tin của tổ chức.

Do đó, để đảm bảo an toàn thông tin cho hệ thống thông tin của đơn vị mình, góp phần bảo đảm an toàn cho không gian mạng Việt Nam, Cục An toàn thông tin  yêu cầu các cơ quan, đơn vị triển khai quyết liệt một số khuyến nghị.

Các cơ quan, đơn vị được đề nghị kiểm tra, rà soát và có phương án ngăn chặn những nhóm đối tượng tấn công tận dụng lỗ hổng để thực hiện các chiến dịch tấn công APT nguy hiểm.

Đồng thời, tăng cường giám sát và sẵn sàng phương án xử lý khi phát hiện có dấu hiệu bị khai thác, tấn công mạng. Đối với các cơ quan, tổ chức có nhân sự kỹ thuật tốt, có thể thử nghiệm xâm nhập vào hệ thống thông qua lỗ hổng này.

Bạch Hân