Chiếm quyền điều khiển mà không cần thông tin đăng nhập
Ông Nguyễn Tử Quảng, Công ty Cổ phần An ninh mạng Bkav cho biết, các chuyên gia an ninh mạng của Bkav mới phát đi một cảnh báo về nguy cơ tấn công, chiếm quyền điều khiển máy chủ chạy hệ điều hành Windows server. Hệ điều hành này hiện đang được sử dụng ở hầu hết các cơ quan, doanh nghiệp ở Việt Nam hiện nay. Cuộc tấn công dựa vào lỗ hổng bảo mật leo thang đặc quyền có tên là Zerologon. Hiện đã có một số doanh nghiệp Việt Nam bị hacker xâm nhập bằng lỗ hổng này.
Theo ông Nguyễn Tử Quảng, Zerologon là lỗ hổng leo thang đặc quyền nguy hiểm nhắm vào máy chủ DC (Domain Controller – máy chủ điều khiển của hệ thống) được sử dụng tại hầu hết các hệ thống mạng các tổ chức, doanh nghiệp lớn tại Việt Nam. Khai thác thành công, hacker có thể chiếm quyền kiểm soát tất cả các tài khoản trong hệ thống, kể cả tài khoản quản trị.
Zerologon (CVE-2020-1472) có điểm CVSS (thang độ tiêu chuẩn về mức độ nghiêm trọng của lỗ hổng phần mềm) đạt mức tối đa 10/10, cho phép hacker chiếm quyền điều khiển server DC và quyền quản trị dịch vụ DC mà không cần thông tin đăng nhập. Quá trình khai thác của hacker được thực hiện bằng cách gửi một số lượng lớn các yêu cầu xác thực đến server DC thông qua giao thức NetLogon (giao thức xác thực đăng nhập từ xa của quản trị), với thông tin đăng nhập chỉ chứa các giá trị bằng 0 (Zero). Xác thực sẽ thành công nếu server chọn được khóa ngẫu nhiên phù hợp. Xác suất khóa này được chọn là 1/256.
Các chuyên gia Bkav phân tích, kịch bản tấn công thực tế sẽ bao gồm hai bước. Bước đầu, tin tặc tấn công chiếm quyền điều khiển một máy tính hoặc server có kết nối đến máy chủ DC, đó có thể là máy chủ VPN, máy tính người dùng, máy chủ web... Từ máy tính đã bị chiếm quyền điều khiển này, hacker tấn công vào server DC thông qua khai thác lỗ hổng Zerologon.
Ông Nguyễn Văn Cường, Trưởng nhóm phân tích Bkav cho biết, bản chất, DC là dịch vụ nền tảng, đứng sau phục vụ cho các hệ thống khác nên ít được quan tâm cập nhật bản vá. Điều đó có nghĩa là hầu như các hệ thống triển khai DC đều tồn tại lỗ hổng này. Với 50% số máy chủ sử dụng hệ điều hành Windows Server, đây sẽ là nguy cơ rất lớn đối với các hệ thống mạng không chỉ ở Việt Nam mà trên cả thế giới.
Tại Việt Nam, tin tặc đã xâm nhập thành công vào hệ thống và kiểm soát toàn bộ tài khoản người dùng của một doanh nghiệp.
Vá lỗ hổng miễn phí
Ngày 22/10/2020, Bkav đã phát hành công cụ miễn phí kiểm tra lỗ hổng nguy hiểm Zerologon nhắm vào máy chủ DC được sử dụng tại hầu hết các hệ thống mạng trong nhiều tổ chức, doanh nghiệp lớn tại Việt Nam. Công cụ miễn phí Zerologon Scan của Bkav giúp quản trị viên kiểm tra nhanh hệ thống của mình có lỗ hổng hay không đồng thời hỗ trợ cập nhật bản vá. Người dùng không cần phải cài đặt mà có thể khởi chạy luôn để quét tại địa chỉ WhiteHat.vn/ZerologonScan.
Khi sử dụng công cụ kiểm tra Zerologon của Bkav, bước đầu sẽ chạy công cụ, bấm Kiểm tra. Công cụ sẽ thông báo máy tính có lỗ hổng hay không và phiên bản hệ điều hành cần cập nhật bản vá. Sau đó, nếu cần tải bản vá, chọn OK để tải về bản vá tương ứng. Cuối cùng là chạy bản vá để vá lỗi
Do tính chất đặc biệt nguy hiểm của lỗ hổng, các chuyên gia khuyến cáo các quản trị khẩn trương rà soát và cập nhật bản vá cho hệ thống của mình, có thể xem chi tiết về lỗ hổng, hướng dẫn kiểm tra và vá lỗ hổng tại đây. Riêng các hệ thống đang triển khai giải pháp Trung tâm giám sát, điều hành an ninh mạng eEye SOC sẽ được tự động bảo vệ trước các cuộc tấn công bằng Zerologon.
