Tin tặc Nga APT28 khai thác lỗ hổng nghiêm trọng trong Microsoft Office

[trungthuc]

Với các các thủ thuật tinh vi, bọn tin tặc Nga APT28 đã biến lỗ hổng trên nền tảng Microsoft Office thành kẽ hỡ để tiến hành xâm nhập mạng tấn công nhiều tổ chức và quốc gia.

Chỉ vài ngày sau khi Microsoft cho phát hành ra bản vá khẩn cấp, bọn tin tặc APT28 đã nhanh chóng hóa giải lỗ hổng zero-day trong nền tảng Microsoft Office để thực hiện các cuộc tấn công mạng nhắm vào nhiều quốc gia ở Trung và Đông Âu.

Theo các chuyên gia nghiên cứu bảo mật tại Zscaler ThreatLabz, chiêu trò của bọn tin tặc APT28 mang tên Operation Neusploit, bị phát hiện ra chỉ có 3 ngày sau khi Microsoft cho công bố và vá lỗ hổng CVE-2026-21509 vào ngày 26/1.

Lỗ hổng này được đánh giá ở mức nghiêm trọng cao với điểm CVSS 7.8, cho phép kẻ tấn công thực thi mã độc từ xa mà không cần nạn nhân kích hoạt macro hay bất cứ phần mềm cảnh cáo nào. Điểm yếu nằm ở cách Microsoft Office xử lý các tập tin định dạng Rich Text Format (RTF) được sáng tạo ra đặc biệt.

Các cuộc tấn công bắt đầu qua e-mail lừa đảo chứa tập tin RTF có đính kèm, với nội dung được soạn thảo cẩn thận bằng tiếng Anh, Romania, Slovakia và Ukraine để phù hợp với đối tượng nhắm mục tiêu. Khi nạn nhân mở tập tin ra, lỗ hổng sẽ được kích hoạt ngay lập tức, tải về một dropper DLL từ máy chủ của bọn tin tặc.

Đáng chú ý hơn, bọn tin tặc cho áp dụng kỹ thuật sàng lọc phía máy chủ, chỉ gửi mã độc hại khi yêu cầu đến từ khu vực địa lý mục tiêu và kèm theo đúng header User-Agent, nhằm giúp cho chúng tránh bị phát hiện ra sớm.

Chiêu trò này được thể hiện qua hai nhánh lây nhiễm khác nhau tùy theo phần mềm độc hại được cho sử dụng. Nhánh đầu tiên triển khai MiniDoor, một ứng dụng nhẹ chuyên đánh cắp e-mail từ Microsoft Outlook. MiniDoor can thiệp vào registry Windows để vô hiệu hóa một số chức năng bảo mật của Outlook, sau đó âm thầm thu thập thông tin và chuyển tiếp thư đến địa chỉ do bọn tin tặc kiểm soát.

Nhánh thứ hai phức tạp hơn, sử dụng PixyNetLoader để thiết lập ra quyền truy cập lâu dài thông qua phương thức COM hijacking, trích xuất mã shell ẩn trong ảnh PNG qua kỹ thuật giấu thông tin bí mật (steganography), cuối cùng cho cài đặt implant Covenant Grunt, cho phép tin tặc điều khiển từ xa toàn bộ hệ thống bị chúng xâm nhập trái phép.

Các mục tiêu chính của bọn tin tặc Nga nằm ở khu vực Trung và Đông Âu, đặc biệt ở các nước Ukraine, Romania, Slovakia cùng một số tổ chức ở Ba Lan, Slovenia, Hy Lạp, Thổ Nhĩ Kỳ, Các Tiểu Vương Quốc Ả Rập Thống Nhất (UAE) và Bolivia. Những lĩnh vực bị nhắm đến nhiều nhất là hệ thống quốc phòng, giao thông vận tải và ngoại giao.

Các chuyên gia nghiên cứu từ Trellix và Zscaler ThreatLabz đều đánh giá cao mức độ tinh vi của chiêu trò này, với việc sử dụng dịch vụ đám mây hợp pháp để làm kênh liên lạc và kỹ thuật fileless để tránh để lại dấu vết trên ổ đĩa.

APT28, còn được biết đến với các tên Fancy Bear, Forest Blizzard hay Sofacy, vốn được chính phủ Nga hỗ trợ, từ lâu đã nổi tiếng với các cuộc tấn công xâm nhập mạng. Tốc độ vô hiệu hóa lỗ hổng chỉ trong vòng vài ngày cho thấy khả năng phản ứng khá nhanh của bọn tin tặc này, thu hẹp đáng kể khoảng thời gian mà các tổ chức cần có để cho vá lại hệ thống.

Microsoft đã đưa ra bản vá khẩn cấp cho các phiên bản Office 2016, 2019, 2021, 2024 và Microsoft 365. Các phiên bản mới hơn sẽ được nhận cập nhật tự động nhưng cần cho khởi động lại ứng dụng để bảo vệ có hiệu lực đầy đủ. Với các phiên bản cũ, việc cài đặt thủ công là bắt buộc.

MS cũng cung cấp hướng dẫn cho chỉnh sửa registry để tạm thời chặn vector tấn công cho đến khi quy trình vá được hoàn tất. Các chuyên gia bảo mật khuyến cáo các tổ chức và người tiêu dùng cá nhân cần ưu tiên cập nhật ngay lập tức, đồng thời tăng cường kiểm soát e-mail, hạn chế thực thi macro không cần thiết và theo dõi các hành vi bất thường của Outlook.


** Tham khảo thêm ở đây:
- https://www.trellix.com/blogs/resear...1509-cloud-c2/
- https://www.cyber.nj.gov/threat-land...s/russia-apt28
- https://www.zscaler.com/blogs/securi...tion-neusploit