Phân tích vụ xâm nhập ngân hàng châu Âu qua cổng kết nối bên thứ ba

• Điểm xâm nhập: Kẻ tấn công lợi dụng cổng kết nối (gateway) của bên thứ ba không được cấu hình xác thực nghiêm ngặt.
• Mục tiêu chiến lược: Kẻ tấn công nhắm vào hạ tầng Windows Server Update Services (WSUS) nhằm leo thang đặc quyền và duy trì sự hiện diện.
• Phát hiện & Ngăn chặn: Giải pháp Cortex XDR đã phát hiện và ngăn chặn kịp thời nỗ lực thực thi mã từ xa (RCE) trước khi kẻ tấn công có thể thiết lập quyền truy cập bền vững.
• Bài học kinh nghiệm: Cần áp dụng kiểm soát danh tính nghiêm ngặt đối với các thiết bị do bên thứ ba quản lý và thực hiện giám sát endpoint liên tục.

Một ngân hàng tại châu Âu gần đây đã trở thành mục tiêu của một cuộc tấn công mạng tinh vi, bắt đầu từ việc khai thác các lỗ hổng trong quản lý truy cập từ xa. Theo báo cáo từ các nhà nghiên cứu bảo mật, kẻ tấn công đã xâm nhập thành công vào hệ thống thông qua một cổng kết nối (gateway) của bên thứ ba không được bảo mật đúng cách, sau đó tìm cách khai thác hạ tầng Windows Server Update Services (WSUS) của ngân hàng.

Phân tích chuỗi tấn công và xâm nhập ban đầu

Cuộc điều tra cho thấy kẻ tấn công đã sử dụng thông tin đăng nhập bị đánh cắp để truy cập vào các hệ thống nội bộ thông qua gateway. Điểm mấu chốt ở đây không phải là một lỗ hổng phần mềm zero-day trên thiết bị gateway, mà là sự thiếu hụt các biện pháp xác thực mạnh mẽ, chẳng hạn như xác thực đa yếu tố (MFA). Điều này cho phép kẻ tấn công sử dụng tài khoản hợp lệ để vượt qua các lớp bảo vệ bên ngoài.

Sau khi thiết lập được vị trí trong mạng nội bộ, kẻ tấn công đã thực hiện các hành vi quét mạng (network scanning) trên diện rộng, tương tác với hàng ngàn hệ thống khác nhau. Các hành động này được mô tả là khá ồn ào, cho thấy kẻ tấn công ưu tiên việc tìm kiếm cơ hội leo thang đặc quyền hơn là cố gắng ẩn mình trong thời gian dài. Trong suốt nhiều tháng, các chiến dịch dò đoán mật khẩu (password-guessing) liên tục nhắm vào các tài khoản quản trị viên đã được ghi nhận.

Nỗ lực khai thác hạ tầng WSUS

Mục tiêu cao nhất của kẻ tấn công là máy chủ WSUS, một thành phần quan trọng trong việc quản lý phân phối phần mềm và cập nhật trên toàn bộ hệ thống của ngân hàng. Việc kiểm soát được máy chủ này sẽ cho phép kẻ tấn công thực thi mã từ xa (RCE) với đặc quyền cao nhất, từ đó phát tán mã độc hoặc duy trì sự hiện diện bền vững trong mạng lưới.

Mặc dù báo cáo không công bố định danh CVE cụ thể cho nỗ lực khai thác này, các chuyên gia lưu ý rằng các lỗ hổng liên quan đến WSUS như CVE-2025-59287 thường xuyên là mục tiêu của các cuộc tấn công tương tự. Tuy nhiên, trong trường hợp này, hệ thống Cortex XDR đã phát hiện kịp thời các hành vi bất thường và ngăn chặn nỗ lực thực thi mã trái phép trước khi kẻ tấn công có thể đạt được mục tiêu cuối cùng.

Khuyến nghị phòng thủ và săn tìm mối đe dọa

Sự cố này nhấn mạnh tầm quan trọng của việc quản lý truy cập đối với các thiết bị do bên thứ ba quản lý. Các tổ chức cần áp dụng các biện pháp bảo mật nghiêm ngặt tương đương với hệ thống nội bộ. Dưới đây là các bước hardening cần thiết:

• Thắt chặt xác thực: Bắt buộc áp dụng xác thực đa yếu tố (MFA) cho tất cả các cổng kết nối từ xa và VPN.
• Giám sát Endpoint: Triển khai các giải pháp EDR/XDR để phát hiện các hành vi bất thường như quét mạng hoặc nỗ lực thực thi mã từ các tiến trình hệ thống.
• Quản lý bản vá: Đảm bảo các máy chủ quản trị trung tâm như WSUS luôn được cập nhật bản vá bảo mật mới nhất để tránh các lỗ hổng RCE.
• Săn tìm mối đe dọa (Threat Hunting): Định kỳ rà soát nhật ký (logs) từ các máy chủ Windows và Linux để phát hiện các dấu hiệu truy cập trái phép hoặc các tài khoản bị chiếm đoạt.

⚠️ Cảnh báo quan trọng: Việc để lộ các cổng quản trị ra internet mà không có lớp bảo vệ MFA là một rủi ro cực kỳ nghiêm trọng. Các tổ chức cần rà soát lại toàn bộ danh sách các thiết bị gateway của bên thứ ba và cô lập chúng trong các phân đoạn mạng (VLAN) riêng biệt với các chính sách Firewall nghiêm ngặt.