Lỗ hổng Windows PetitPotam nhận được bản vá không chính thức
Một bản vá không chính thức của lỗ hổng PetitPotam trên Windows vừa được ra mắt nhằm ngăn chặn các kẻ tấn công.
Bản vá không chính thức của lỗ hổng PetitPotam vừa được công bố
Theo BleepingComputer , các cuộc tấn công PetitPotam buộc các máy tính Windows phải xác thực chống lại các máy chủ chuyển tiếp NTLM độc hại của các tác nhân đe dọa sử dụng Microsoft Encrypting File System Remote Protocol (EFSRPC) đã được nhà nghiên cứu bảo mật Gilles Lionel (hay còn gọi là Topotam) tiết lộ vào tháng trước.
Sử dụng phương pháp tấn công này, các tác nhân đe dọa hoàn toàn có thể tiếp quản các miền của Windows, cho phép chúng thúc đẩy các chính sách nhóm mới và triển khai phần mềm độc hại (bao gồm cả ransomware) trên tất cả thiết bị đầu cuối.
Vào tháng 7, Microsoft giải thích cách giảm thiểu các cuộc tấn công chuyển tiếp NTLM nhắm mục tiêu vào Active Directory Certificate Services (AD CS) và nói các máy chủ dễ bị tấn công không được định cấu hình chính xác. Mặc dù lời khuyên của Microsoft được thiết kế để giúp ngăn chặn các cuộc tấn công chuyển tiếp NTLM, nhưng nó không cung cấp bất kỳ hướng dẫn nào về cách thực sự chặn PetitPotam.
Hiện dịch vụ sửa lỗi 0patch (0patch.com) đã phát hành một bản vá không chính thức miễn phí có thể được sử dụng để chặn các cuộc tấn công chuyển tiếp PetitPotam NTLM trên phiên bản Windows:
Video đang HOT
Windows Server 2019 (cập nhật tháng 7.2021)
Windows Server 2016 (cập nhật tháng 7.2021)
Windows Server 2012 R2 (cập nhật tháng 7.2021)
Windows Server 2008 R2 (cập nhật tháng 1.2020, không có Extended Security Updates)
Và không có bản vá nào được phát hành cho Windows Server 2012, Windows Server 2008 và Windows Server 2003 vì dựa trên phân tích của 0patch, các bản phát hành này không bị ảnh hưởng bởi PetitPotam.
Bạn có thể tải bản vá từ trang web chính thức của 0patch, tuy nhiên cần phải đăng ký thành viên của trang web trước khi thực hiện tải về.
Tấn công mã độc đồng loạt nhắm vào hàng trăm công ty IT Mỹ
Các quan chức mạng Mỹ đang theo dõi một cuộc tấn công ransomware mới ở quy mô lớn, của cùng một nhóm từng tấn công nhà cung cấp thực phẩm JBS Foods vào mùa xuân vừa qua.
Cuộc tấn công mã độc mới nhắm vào hàng loạt công ty quản lý IT lớn ở Mỹ
Nhưng điểm khác biệt ở lần tấn công này là phần mềm độc hại REvil đã tấn công một loạt công ty quản lý công nghệ thông tin (IT) ở Mỹ và xâm phạm hàng trăm khách hàng doanh nghiệp của họ. Theo các chuyên gia an ninh mạng, những băng đảng tội phạm mạng này - được cho là đang hoạt động ở Đông Âu hoặc Nga - đã nhắm mục tiêu vào một nhà cung cấp phần mềm quan trọng tên là Kaseya, hiện phần mềm của họ được các công ty quản lý IT sử dụng rộng rãi.
Hôm qua Tổng thống Joe Biden nói rằng, chính phủ Mỹ không chắc chắn ai đứng sau vụ tấn công, nhưng ông đã chỉ đạo các cơ quan liên bang hỗ trợ phản ứng. Ông Biden cho biết, "thực tế là tôi đã chỉ đạo cộng đồng tình báo cung cấp cho tôi chi tiết tổng quan về những gì đã xảy ra và tôi sẽ có thông tin rõ hơn vào ngày mai. Nếu kết quả đó là Nga thì tôi sẽ đáp trả như những gì tôi đã từng nói với ông Putin". Cách nay một tháng, ông Biden từng có cuộc gặp với nhà lãnh đạo của Nga. "Chúng tôi không chắc chắn. Dù các kết quả điều tra ban đầu có thể không phải do chính phủ Nga đứng sau, nhưng vẫn chưa có gì chắc chắn".
Kyle Hanslovan, CEO của công ty an ninh mạng Huntress Labs cho biết, cuộc tấn công ransomware (mã độc tống tiền) mới nhất này đã đánh bại ít nhất một chục công ty hỗ trợ IT dựa vào công cụ quản lý từ xa của Kaseya có tên là VSA. Trong đó có công ty bị những kẻ tấn công yêu cầu một khoản tiền chuộc lên tới 5 triệu USD.
Ảnh hưởng sâu rộng tới hàng trăm công ty
Cuộc tấn công mã độc này ảnh hưởng tới hàng trăm khách hàng sử dụng dịch vụ quản lý IT
Theo CNN, vụ việc không chỉ ảnh hưởng đến các công ty quản lý IT, mà cả các khách hàng doanh nghiệp đã thuê các công ty quản lý IT. Hanslovan ước tính có tới 1.000 doanh nghiệp vừa và nhỏ có thể bị ảnh hưởng trong vụ tấn công này, dù "thông tin về cuộc tấn công mới được tiết lộ và chúng ta vẫn chưa biết rõ quy mô".
Trong những tháng gần đây, tội phạm mạng ngày càng nhắm vào các tổ chức đóng vai trò quan trọng trên khắp nền kinh tế Mỹ. Trước đó, đã có một cuộc tấn công nhắm vào đường ống dẫn dầu dọc bờ biển phía Đông nước Mỹ, khến việc mua bán nhiên liệu rơi vào khủng hoảng và trì trệ. Trong khi cuộc tấn công mạng của JBS đã dẫn đến việc đóng cửa tạm thời tất cả chín nhà máy chế biến thịt bò của Mỹ.
Trong tháng 6 vừa qua, một loạt cuộc tấn công nhắm vào McDonald's, Electronic Arts, Volkswagen và Audi cũng khiến các công ty này phải siết chặt việc quản lý thông tin khách hàng và mã nguồn. Do vậy, cuộc tấn công mới nhất đã khiến các chuyên gia an ninh mạng cảnh giác và lập tức cảnh báo: "Nếu bạn sử dụng Kaseya VSA, hãy tắt nó ngay lập tức, cho đến khi được yêu cầu kích hoạt lại" . Christopher Krebs, cựu giám đốc Cơ quan An ninh Mạng và Cơ sở hạ tầng của Bộ An ninh Nội địa Mỹ (CISA) đã đăng tải lời cảnh báo này trên Twitter. Trong khi đó, CISA cho biết họ đang bắt tay vào tìm hiểu để giải quyết vụ việc.
Trong một bài đăng trên blog, Kaseya cho biết họ đã đóng cửa các máy chủ đám mây của mình khi điều tra sự cố liên quan đến phần mềm VSA. Một phân tích về phần mềm độc hại của công ty an ninh mạng Emsisoft cho thấy, cuộc tấn công do REvil phát động, đây cũng là nhóm chuyên tấn công ransomware mà các quan chức Mỹ cho rằng đã từng tấn công JBS Foods vào hồi đầu năm.
Hanslovan cho biết, mã độc tống tiền dường như đã được bí mật nhúng vào Kaseya VSA, qua đó gián tiếp phát tán phần mềm độc hại vào các khách hàng vì VSA được các công ty quản lý IT sử dụng để phân phối các bản cập nhật phần mềm cho khách hàng của họ. Hiện vẫn chưa rõ vì sao phần mềm của Kaseya bị xâm phạm.
Cuộc tấn công theo kiểu chuỗi cung ứng này tương tự như chiến thuật được tin tặc Nga sử dụng trong vụ tấn công SolarWinds gần đây, mặc dù trong trường hợp này, phần mềm độc hại đã được sử dụng để chiếm đoạt hệ thống mạng của nạn nhân thay vì theo dõi chúng.
Mỹ truy tố một phụ nữ giúp phát triển phần mềm độc hại Trickbot Bộ Tư pháp Mỹ (DOJ) đã buộc tội một phụ nữ Latvia vì vai trò của cô này trong việc phát triển phần mềm độc hại Trickbot lây nhiễm hàng triệu máy tính với mục tiêu là các trường học, bệnh viện và chính phủ. Alla Witte là một thành viên của Trickbot Group Theo Theverge , DOJ cáo buộc Alla Witte là...