Các nhóm tội phạm mạng của Nga khai thác lỗ hổng 7-Zip để vượt qua các biện pháp bảo vệ MotW của Windows
Một lỗ hổng bảo mật mới được vá trong công cụ lưu trữ 7-Zip đã bị khai thác để phát tán phần mềm độc hại SmokeLoader .
Lỗ hổng, CVE-2025-0411 (điểm CVSS: 7.0), cho phép kẻ tấn công từ xa vượt qua các biện pháp bảo vệ mark-of-the-web ( MotW ) và thực thi mã tùy ý trong bối cảnh của người dùng hiện tại. Lỗ hổng này đã được 7-Zip giải quyết vào tháng 11 năm 2024 với phiên bản 24.09 .
Nhà nghiên cứu bảo mật Peter Girnus của Trend Micro cho biết : "Các nhóm tội phạm mạng của Nga đã tích cực khai thác lỗ hổng này thông qua các chiến dịch lừa đảo trực tuyến, sử dụng các cuộc tấn công bằng ký tự tượng hình để giả mạo phần mở rộng tài liệu và lừa người dùng cũng như Hệ điều hành Windows thực thi các tệp độc hại" .
Người ta nghi ngờ rằng CVE-2025-0411 có thể đã được sử dụng để nhắm vào các tổ chức chính phủ và phi chính phủ ở Ukraine như một phần của chiến dịch gián điệp mạng trong bối cảnh xung đột Nga-Ukraine đang diễn ra.
MotW là tính năng bảo mật được Microsoft triển khai trong Windows để ngăn chặn việc tự động thực thi các tệp được tải xuống từ internet mà không thực hiện thêm các kiểm tra thông qua Microsoft Defender SmartScreen.
CVE-2025-0411 vượt qua MotW bằng cách lưu trữ nội dung hai lần bằng 7-Zip, tức là tạo một kho lưu trữ và sau đó lưu trữ một kho lưu trữ khác để che giấu các phần mềm độc hại.
"Nguyên nhân gốc rễ của CVE-2025-0411 là trước phiên bản 24.09, 7-Zip đã không truyền bá đúng cách các biện pháp bảo vệ MotW đến nội dung của các kho lưu trữ được đóng gói kép", Girnus giải thích. "Điều này cho phép các tác nhân đe dọa tạo ra các kho lưu trữ chứa các tập lệnh hoặc tệp thực thi độc hại sẽ không nhận được biện pháp bảo vệ MotW, khiến người dùng Windows dễ bị tấn công".
Các cuộc tấn công lợi dụng lỗ hổng này như một lỗ hổng zero-day lần đầu tiên được phát hiện vào ngày 25 tháng 9 năm 2024, với chuỗi lây nhiễm dẫn đến SmokeLoader, một phần mềm độc hại đã được sử dụng nhiều lần để nhắm mục tiêu vào Ukraine.
Điểm khởi đầu là một email lừa đảo có chứa một tệp lưu trữ được thiết kế đặc biệt, sau đó sử dụng một cuộc tấn công ký tự tượng hình để đánh lừa tệp ZIP bên trong thành tệp tài liệu Microsoft Word, từ đó kích hoạt lỗ hổng bảo mật.
Theo Trend Micro, các tin nhắn lừa đảo được gửi từ các địa chỉ email liên quan đến các cơ quan quản lý và tài khoản doanh nghiệp của Ukraine tới cả các tổ chức thành phố và doanh nghiệp, cho thấy đã có sự thỏa hiệp trước đó.
Girnus chỉ ra rằng: "Việc sử dụng các tài khoản email bị xâm phạm này tạo nên tính xác thực cho các email được gửi đến mục tiêu, khiến nạn nhân tiềm năng tin tưởng vào nội dung và người gửi".
Cách tiếp cận này dẫn đến việc thực thi tệp lối tắt internet (.URL) có trong tệp ZIP, trỏ đến máy chủ do kẻ tấn công kiểm soát đang lưu trữ tệp ZIP khác. Tệp ZIP mới tải xuống chứa tệp thực thi SmokeLoader được ngụy trang dưới dạng tài liệu PDF.
Ít nhất chín cơ quan chính phủ Ukraine và các tổ chức khác được đánh giá là bị ảnh hưởng bởi chiến dịch này, bao gồm Bộ Tư pháp, Dịch vụ giao thông công cộng Kyiv, Công ty cung cấp nước Kyiv và Hội đồng thành phố.
Trước tình trạng khai thác CVE-2025-0411, người dùng được khuyến cáo cập nhật cài đặt lên phiên bản mới nhất, triển khai tính năng lọc email để chặn các nỗ lực lừa đảo và vô hiệu hóa việc thực thi các tệp từ các nguồn không đáng tin cậy.
Girnus cho biết: "Một điều thú vị mà chúng tôi nhận thấy ở các tổ chức bị nhắm tới và bị ảnh hưởng trong chiến dịch này là các cơ quan chính quyền địa phương nhỏ hơn".
"Những tổ chức này thường chịu áp lực mạng dữ dội nhưng lại thường bị bỏ qua, ít hiểu biết về mạng và thiếu nguồn lực cho một chiến lược mạng toàn diện mà các tổ chức chính phủ lớn hơn có. Những tổ chức nhỏ hơn này có thể là điểm xoay trục có giá trị để các tác nhân đe dọa chuyển hướng sang các tổ chức chính phủ lớn hơn."