Google cảnh báo nhóm gián điệp nghi liên hệ Trung Quốc khai thác lỗ hổng BeyondTrust

Nhóm an ninh mạng của Google ngày 15/10 cho biết một nhóm gián điệp mạng bị nghi có liên hệ với Trung Quốc đã khai thác lỗ hổng chưa được công bố trong sản phẩm của công ty an ninh mạng Mỹ BeyondTrust hồi tháng 8.

Theo bản tin của Epoch Times, báo cáo do Google Threat Intelligence Group (GTIG) và công ty an ninh mạng Mandiant công bố cùng ngày quy vụ tấn công cho nhóm Armory Castle, trước đây được theo dõi dưới tên UNC5221. Báo cáo cho biết nhóm này khai thác lỗ hổng zero-day để xâm nhập thiết bị hỗ trợ từ xa của BeyondTrust vào cuối tháng 8. Zero-day là lỗ hổng bảo mật chưa được nhà cung cấp phát hiện hoặc vá tại thời điểm bị khai thác.

Sản phẩm Remote Support cho phép nhân viên công nghệ thông tin của doanh nghiệp kết nối từ xa để xử lý sự cố máy tính. Mandiant cho biết sau khi xâm nhập, kẻ tấn công giành quyền cao nhất trong hệ thống, tìm cách trích xuất mật khẩu lưu trên thiết bị, sử dụng chức năng hỗ trợ từ xa để kết nối tới máy tính nội bộ doanh nghiệp và tải tài liệu nội bộ, đồng thời nhiều lần xóa nhật ký nhằm tránh bị phát hiện.

Báo cáo cảnh báo sau khi lỗ hổng được công bố, các tổ chức cần chuẩn bị trước khả năng bị khai thác trên diện rộng. Mandiant giải thích nhóm này trước đây từng âm thầm sử dụng lỗ hổng zero-day nhằm vào các mục tiêu cụ thể, sau đó mở rộng xâm nhập khi lỗ hổng công khai nhưng các tổ chức chưa kịp vá.

GTIG cho biết Armory Castle hoạt động ít nhất từ tháng 10/2023, nhắm tới nhiều quốc gia và lĩnh vực, từng khai thác lỗ hổng trong thiết bị mạng của Citrix và Ivanti. GTIG đánh giá với độ tin cậy cao rằng nhóm sẽ tiếp tục khai thác lỗ hổng zero-day trong thiết bị ở biên mạng để phục vụ hoạt động gián điệp.

BeyondTrust xác nhận hai hệ thống bị xâm nhập ngày 29/8 và hãng đã phát hành bản vá vào đầu tháng 10.

Theo Lâm Vũ Hà, Epoch Times. Đối chiếu: báo cáo GTIG và Mandiant, thông báo BeyondTrust.