Phân tích chiến dịch tấn công của ShinyHunters và vụ bắt giữ tại Jordan

• Bắt giữ trọng yếu: Saif al-Din Khader (biệt danh Rey), thành viên nhóm ShinyHunters, đã bị bắt giữ tại Jordan và đang hợp tác với FBI.
• Nghi vấn rò rỉ: Nhóm ShinyHunters tuyên bố đã đánh cắp từ 2-3 TB dữ liệu từ hệ thống AWS GovCloud của FBI thông qua lỗ hổng Oracle PeopleSoft.
• Chiến thuật tấn công: Nhóm sử dụng kỹ thuật khai thác lỗ hổng không cần xác thực (unauthenticated RCE) để xâm nhập vào cổng thông tin tuyển dụng của FBI.
• Tác động tiềm tàng: Dữ liệu bị rò rỉ bao gồm thông tin định danh cá nhân (PII) của nhân viên, gây rủi ro cao về lừa đảo danh tính và tấn công phishing có chủ đích.

1. Bối cảnh chiến dịch tấn công của ShinyHunters

Nhóm hacker ShinyHunters gần đây đã trở thành tâm điểm của các cơ quan thực thi pháp luật quốc tế sau hàng loạt tuyên bố về việc xâm nhập vào các hệ thống chính phủ và doanh nghiệp lớn. Sự kiện bắt giữ Saif al-Din Khader tại Jordan vào ngày 29 tháng 9 vừa qua đánh dấu một bước ngoặt quan trọng trong nỗ lực truy vết của FBI nhằm triệt phá mạng lưới này.

Theo các báo cáo tình báo, ShinyHunters là một nhóm tội phạm mạng tập trung vào việc đánh cắp dữ liệu quy mô lớn và tống tiền. Mặc dù nhóm này thường xuyên đưa ra các tuyên bố gây sốc về việc chiếm quyền điều khiển hệ thống, các nhà nghiên cứu an ninh mạng vẫn đang nỗ lực xác minh tính xác thực của các dữ liệu bị đánh cắp so với các tuyên bố từ phía hacker.

2. Phân tích kỹ thuật và chuỗi tấn công (Kill Chain)

Dựa trên các thông tin sơ bộ về vụ tấn công vào cổng thông tin tuyển dụng của FBI (apply.fbijobs.gov), chúng ta có thể phác thảo chuỗi tấn công theo khung MITRE ATT&CK như sau:

• Initial Access (T1190 - Exploit Public-Facing Application): Nhóm tuyên bố đã khai thác một lỗ hổng chưa được công bố trong Oracle PeopleSoft, cho phép thực thi mã từ xa (RCE) mà không cần xác thực.
• Execution (T1059 - Command and Scripting Interpreter): Sau khi chiếm được quyền truy cập ban đầu, kẻ tấn công đã thực thi các lệnh để leo thang đặc quyền và di chuyển ngang (Lateral Movement) vào hệ thống AWS GovCloud.
• Exfiltration (T1048 - Exfiltration Over Alternative Protocol): Dữ liệu ước tính từ 2 đến 3 Terabyte đã được trích xuất khỏi môi trường đám mây của FBI.

Việc defacement (thay đổi giao diện) trang web chỉ là bề nổi của tảng băng chìm. Mục tiêu thực sự của nhóm là truy cập vào cơ sở dữ liệu backend chứa thông tin nhạy cảm của nhân viên, bao gồm số An sinh xã hội (SSN), địa chỉ nhà riêng và thông tin gia đình.

3. Bảng tổng hợp thực thể và chỉ số liên quan

4. Hướng dẫn phát hiện và săn tìm mối đe dọa (Threat Hunting)

Để phát hiện các hoạt động tương tự trong môi trường doanh nghiệp, các đội ngũ SOC cần tập trung vào việc giám sát các hành vi bất thường trên các ứng dụng ERP như Oracle PeopleSoft. Dưới đây là gợi ý truy vấn log để phát hiện các nỗ lực khai thác:

# Ví dụ truy vấn log để tìm kiếm các request bất thường tới PeopleSoft API 

Các quản trị viên hệ thống nên thiết lập cảnh báo cho các hành vi sau:

• Truy cập bất thường: Các request HTTP POST tới các endpoint quản trị mà không có session hợp lệ.
• Dữ liệu xuất lớn: Lưu lượng mạng tăng đột biến từ các máy chủ ứng dụng ra ngoài (Egress traffic) tới các IP không xác định.
• Thay đổi cấu hình: Các thay đổi trong file cấu hình hệ thống hoặc việc tạo mới các tài khoản quản trị không nằm trong kế hoạch.

5. Biện pháp khắc phục và khuyến nghị phòng thủ

⚠️ Cảnh báo quan trọng: Việc khai thác các lỗ hổng trong ứng dụng doanh nghiệp là vector tấn công phổ biến. Các tổ chức cần thực hiện ngay các biện pháp hardening sau:

• Vá lỗi định kỳ: Đảm bảo tất cả các bản vá bảo mật cho Oracle PeopleSoft và các thành phần middleware được cập nhật mới nhất.
• Zero Trust Architecture: Triển khai mô hình Zero Trust, yêu cầu xác thực đa yếu tố (MFA) cho mọi truy cập vào hệ thống backend, ngay cả trong mạng nội bộ.
• Giám sát Cloud: Sử dụng các công cụ Cloud Security Posture Management (CSPM) để giám sát cấu hình AWS GovCloud và phát hiện các hành vi truy cập trái phép vào S3 buckets hoặc các dịch vụ lưu trữ dữ liệu.
• Phân đoạn mạng: Cô lập các hệ thống chứa dữ liệu nhạy cảm (PII) khỏi các cổng thông tin công cộng để giảm thiểu rủi ro nếu một ứng dụng bị xâm nhập.

Việc hợp tác của Saif al-Din Khader với FBI có thể cung cấp thêm thông tin về các kỹ thuật né tránh (evasion techniques) mà nhóm sử dụng. Chúng tôi sẽ tiếp tục cập nhật các chỉ số IOCs mới nhất ngay khi có thông tin xác thực từ các cơ quan chức năng.