Malicious NuGet package mạo danh một SDK chính thức đã bị phát hiện âm thầm đánh cắp thông tin xác thực ngân hàng, cho thấy lỗ hổng CVE không phải là nguồn rủi ro duy nhất trong an toàn thông tin, mà còn có cả rủi ro từ chuỗi cung ứng phần mềm.
Phân tích gói Sicoob.Sdk trên NuGet
Gói độc hại được phát hành dưới tên Sicoob.Sdk, nhắm tới các nhà phát triển xây dựng tích hợp với API ngân hàng Sicoob. Trong quá trình thực thi bình thường, package này thu thập lén credentials xác thực và gửi ra ngoài mà không có cảnh báo rõ ràng.
Gói xuất hiện trên NuGet vào đầu tháng 5/2026 và nhanh chóng phát hành nhiều phiên bản từ 2.0.0 đến 2.0.4 trước khi bị gỡ bỏ. Nó tự nhận là một .NET 8 SDK hỗ trợ xác thực, mutual TLS (mTLS) và giao tiếp API với hệ thống Sicoob.
Hành vi exfiltration trong lỗ hổng chuỗi cung ứng phần mềm
Phân tích sâu cho thấy SDK chứa chức năng exfiltration ẩn. Khi nhà phát triển khởi tạo client bằng client ID, tệp chứng chỉ PFX và mật khẩu, package sẽ đọc chứng chỉ từ đĩa, mã hóa nội dung và gửi đi kèm password dạng plaintext cùng client ID đến một endpoint của Sentry.
Tệp PFX thường chứa cả chứng chỉ và private key đi kèm, nên việc bị lộ có thể dẫn đến việc giả mạo phiên xác thực hợp lệ. Nếu bị khai thác, kẻ tấn công có thể impersonate các tích hợp ngân hàng hợp lệ và truy cập trái phép vào các API tài chính nhạy cảm.
Điểm nguy hiểm của kênh truyền dữ liệu
Điểm đáng chú ý của lỗ hổng chuỗi cung ứng phần mềm này là việc sử dụng hạ tầng telemetry hợp pháp. Thay vì dùng máy chủ command-and-control truyền thống, SDK độc hại tận dụng Sentry để truyền dữ liệu bị đánh cắp.
Cách tiếp cận này giúp lưu lượng exfiltration hòa lẫn với telemetry bình thường của ứng dụng và làm giảm khả năng bị phát hiện. Phân tích tĩnh và động xác nhận việc gửi dữ liệu xảy ra trong quá trình khởi tạo SDK ở production mode.
// Mô tả hành vi ở mức kỹ thuật
var client = new SicoobSdkClient(clientId, pfxFilePath, password);
// SDK đọc PFX từ đĩa
// SDK mã hóa chứng chỉ
// SDK gửi clientId, password và dữ liệu chứng chỉ đến endpoint telemetry
Ảnh hưởng tới hệ thống và dữ liệu
Ngoài chứng chỉ và mật khẩu, trong một số trường hợp dữ liệu giao dịch tài chính như phản hồi thanh toán boleto cũng có thể bị đưa vào luồng telemetry. Điều này làm lộ thông tin giao dịch, dữ liệu người thanh toán và trạng thái thanh toán.
Với quy mô sử dụng của hệ sinh thái này, tác động có thể mở rộng sang nhiều môi trường phát triển và sản xuất. Nếu attacker sử dụng được credentials bị đánh cắp, họ có thể truy cập API ngân hàng để lấy dữ liệu tài khoản, khởi tạo giao dịch hoặc lạm dụng các hệ thống thanh toán như Pix và boleto.
Rủi ro bảo mật cũng tăng đáng kể trong các CI/CD pipeline và môi trường production, nơi thường lưu trữ thông tin xác thực thật. Đây là một ví dụ điển hình của mối đe dọa mạng xuất phát từ package tưởng như hợp lệ.
IOC và dấu hiệu nhận diện
Trong trường hợp này không có IOC dạng malware hash hoặc domain hạ tầng C2 công khai, nhưng có một số chỉ dấu kỹ thuật cần lưu ý:
- Tên package: Sicoob.Sdk
- Phiên bản bị ghi nhận: 2.0.0 đến 2.0.4
- Hành vi: đọc tệp PFX, lấy password và client ID, gửi đến telemetry endpoint
- Kênh exfiltration: Sentry
- Ngữ cảnh thực thi: xảy ra trong quá trình khởi tạo SDK bình thường
Đối chiếu repository và tampering binary
Kho GitHub liên kết với SDK có vẻ sạch và không chứa logic độc hại như trong gói NuGet đã biên dịch. Sự khác biệt này cho thấy một cuộc tấn công chuỗi cung ứng phần mềm có chủ đích, trong đó mã nguồn bề ngoài vô hại được dùng làm lớp vỏ để phát tán binary đã bị chỉnh sửa.
Nhà phát hành còn sở hữu nhiều package mang thương hiệu Sicoob khác. Dù chỉ SDK chính được xác nhận có hành vi độc hại, các package liên quan vẫn cần được xem là không đáng tin cậy do cùng nguồn phát hành.
Dấu hiệu thiếu tin cậy của nhà phát hành
Phân tích cho thấy tổ chức GitHub đứng sau dự án không có các chỉ dấu độ tin cậy như tài khoản xác minh, cộng tác viên đã được thiết lập hoặc hoạt động cộng đồng rõ ràng. Điều này củng cố nhận định rằng đây là hành vi mạo danh hệ sinh thái phát triển chính thức.
Khuyến nghị xử lý và cập nhật bản vá bảo mật
Dữ liệu nghiên cứu từ NVD và báo cáo từ Socket cho thấy tổ chức bị ảnh hưởng nên thực hiện ngay các biện pháp cập nhật bản vá và rà soát hệ thống sử dụng package này. Mặc dù đây không phải lỗ hổng CVE cổ điển, mức độ rủi ro bảo mật vẫn tương đương một sự cố nghiêm trọng trong an ninh mạng.
Các bước cần làm gồm xoay vòng credentials, thu hồi chứng chỉ và kiểm tra hoạt động API để phát hiện truy cập bất thường. Những môi trường đã cài package độc hại cần xem xét lại toàn bộ pipeline, artifact và dependency lockfile để tránh tái sử dụng version đã bị nhiễm.
Trong bối cảnh tin bảo mật mới nhất về supply chain ngày càng xuất hiện nhiều, việc kiểm soát nguồn gói, xác thực nhà phát hành và giám sát hành vi runtime là yêu cầu bắt buộc đối với mọi hệ thống tích hợp tài chính.
Tham khảo kỹ thuật: Socket: Malicious NuGet package impersonates Sicoob SDK
