Tin tặc khai thác lỗ hổng quan trọng của Fortinet EMS để triển khai các công cụ truy cập từ xa
Một lỗ hổng bảo mật nghiêm trọng hiện đã được vá ảnh hưởng đến Fortinet FortiClient EMS đang bị các tác nhân độc hại khai thác như một phần của chiến dịch mạng cài đặt phần mềm máy tính từ xa như AnyDesk và ScreenConnect.
Lỗ hổng bảo mật đang được đề cập là CVE-2023-48788 (điểm CVSS: 9.3), một lỗi tiêm SQL cho phép kẻ tấn công thực thi mã hoặc lệnh trái phép bằng cách gửi các gói dữ liệu được tạo đặc biệt.
Công ty an ninh mạng Kaspersky của Nga cho biết cuộc tấn công vào tháng 10 năm 2024 nhắm vào máy chủ Windows của một công ty giấu tên đã bị lộ trên internet và có hai cổng mở liên quan đến FortiClient EMS.
"Công ty mục tiêu sử dụng công nghệ này để cho phép nhân viên tải xuống các chính sách cụ thể vào thiết bị của công ty, cấp cho họ quyền truy cập an toàn vào Fortinet VPN", báo cáo phân tích hôm thứ Năm cho biết .
Phân tích sâu hơn về sự cố này cho thấy kẻ tấn công đã lợi dụng CVE-2023-48788 làm vectơ truy cập ban đầu, sau đó thả tệp thực thi ScreenConnect để truy cập từ xa vào máy chủ bị xâm phạm.
Kaspersky cho biết: "Sau khi cài đặt ban đầu, những kẻ tấn công bắt đầu tải thêm các phần mềm độc hại vào hệ thống bị xâm phạm để bắt đầu các hoạt động khám phá và di chuyển ngang, chẳng hạn như liệt kê tài nguyên mạng, cố gắng lấy thông tin xác thực, thực hiện các kỹ thuật né tránh phòng thủ và tạo ra một loại tấn công dai dẳng khác thông qua công cụ điều khiển từ xa AnyDesk".
Một số công cụ đáng chú ý khác bị loại bỏ trong quá trình tấn công được liệt kê dưới đây -
- webbrowserpassview.exe, một công cụ khôi phục mật khẩu giúp hiển thị mật khẩu được lưu trữ trong Internet Explorer (phiên bản 4.0 – 11.0), Mozilla Firefox (tất cả các phiên bản), Google Chrome, Safari và Opera
- Bắt chước
- netpass64.exe, một công cụ khôi phục mật khẩu
- netscan.exe, một máy quét mạng
Những kẻ đe dọa đứng sau chiến dịch này được cho là đã nhắm mục tiêu vào nhiều công ty khác nhau có trụ sở tại Brazil, Croatia, Pháp, Ấn Độ, Indonesia, Mông Cổ, Namibia, Peru, Tây Ban Nha, Thụy Sĩ, Thổ Nhĩ Kỳ và UAE bằng cách sử dụng nhiều tên miền phụ ScreenConnect khác nhau (ví dụ: infinity.screenconnect\[.\]com).
Kaspersky cho biết họ đã phát hiện thêm những nỗ lực nhằm lợi dụng CVE-2023-48788 vào ngày 23 tháng 10 năm 2024, lần này là thực thi một tập lệnh PowerShell được lưu trữ trên miền webhook\[.\]site để "thu thập phản hồi từ các mục tiêu dễ bị tấn công" trong quá trình quét hệ thống dễ bị lỗ hổng.
Việc tiết lộ này được đưa ra hơn tám tháng sau khi công ty an ninh mạng Forescout phát hiện ra một chiến dịch tương tự liên quan đến việc khai thác CVE-2023-48788 để cung cấp các phần mềm ScreenConnect và Metasploit Powerfun.
Các nhà nghiên cứu cho biết: "Việc phân tích sự cố này giúp chúng tôi xác định rằng các kỹ thuật hiện được kẻ tấn công sử dụng để triển khai các công cụ truy cập từ xa đang liên tục được cập nhật và ngày càng phức tạp hơn".