Nhóm hacker sử dụng 11 lỗ hổng zero-day để tấn công người dùng Windows, iOS, Android

Google Project Zero là một trong những tổ chức bảo mật được đánh giá rất cao về mặt chuyên môn hiện nay. Những phát hiện của nhóm không chỉ có ý nghĩa quan trọng đối với chính sản phẩm của Google, mà còn với cả các sản phẩm phần mềm, dịch vụ của nhà phát triển khác.

Các chuyên gia Project Zero vừa đưa ra thông báo phát hiện một nhóm tin tặc đã sử dụng tổng cộng 11 lỗ hổng zero-day khác nhau trong các cuộc tấn công của mình, với mục tiêu nhắm tới là người dùng Windows, iOS và Android. Được biết, chiến dịch này đã diễn ra trong vòng ít nhất một năm.

Ngoài ra, cũng theo kết quả điều tra sơ bộ của Project Zero, nhóm hacker đứng sau các cuộc tấn công này đã thực hiện hai chiến dịch riêng biệt, vào tháng 2 và tháng 10 năm 2020. Tuy nhiên thiệt hại cũng như tác độc gây ra trong thực tế vẫn chưa được thống kê đầy đủ.

Trong các chiến dịch này, những kẻ tấn công đã sử dụng cùng lúc hàng chục trang web lưu trữ máy chủ khai thác, mỗi trang web đều nhắm mục tiêu đến các nhóm người dùng iOS cũng như Windows hoặc Android.

Nhà nghiên cứu bảo mật Maddie Stone, thành viên nhóm Project Zero, cho biết: "Trong thử nghiệm của chúng tôi, cả hai máy chủ khai thác đều tồn tại trên tất cả các miền được phát hiện. Sau quá trình lấy mẫu ban đầu (có vẻ như dựa trên nguồn gốc của địa chỉ IP và tác nhân người dùng), một iframe đã được đưa vào trang web trỏ đến một trong hai máy chủ khai thác".

Nhìn chung, sau khi khi phân tích tương đối kỹ lưỡng chiến dịch diễn ra vào tháng 10 năm 2020, các nhà nghiên cứu của Project Zero đã tìm thấy:

Một chuỗi khai thác toàn phần (full exploit) nhắm mục tiêu đến Windows 10 đã được vá đầy đủ bằng Google Chrome.

Hai chuỗi khai thác bán phần (partial exploit) nhắm mục tiêu đến 2 thiết bị Android 10 được vá đầy đủ khác nhau sử dụng Google Chrome và Samsung Browser.

Một vài chuỗi khai thác RCE nhằm mục tiêu đến các thiết bị iOS 11-13. Và một chuỗi khai thác leo thang đặc quyền nhắm đến iOS 13 (với các lỗi đã bị khai thác có mặt trên cả iOS 14.1).

“Tóm lại, các tác nhân độc hại đã sử dụng kết hợp tổng cộng 11 lỗ hổng zero-day khác nhau trong những chiến dịch diễn ra trong vòng chưa đầy một năm của mình”. 11 lỗ hổng được sử dụng để xây dựng chuỗi khai thác quy mô lớn này có mã định danh như sau:

• CVE-2020-6418 - Chrome - tháng 2 năm 2020
• CVE-2020-0938 - Windows - tháng 2 năm 2020
• CVE-2020-1020 - Windows - tháng 2 năm 2020
• CVE-2020-1027 - Windows - tháng 2 năm 2020
• CVE-2020-15999 - Chrome - tháng 10 năm 2020
• CVE-2020-17087 - Windows - tháng 10 năm 2020
• CVE-2020-16009 - Chrome - tháng 10 năm 2020
• CVE-2020-16010 - Windows - tháng 10 năm 2020
• CVE-2020-27930 - Safari - tháng 10 năm 2020
• CVE-2020-27950 - iOS - tháng 10 năm 2020
• CVE-2020-27932 - iOS - tháng 10 năm 2020

Đây là một phát hiện đáng khen của Project Zero. Mỗi hoạt động khai thác được phát hiện lại cho thấy sự hiểu biết của các chuyên gia về lỗ hổng cũng như nền tảng mà nó ảnh hưởng đến.

"Tạm đặt hoạt động khai thác sang một bên, mô-đun của tải trọng, chuỗi khai thác có thể hoán đổi cho nhau, ghi nhật ký, nhắm mục tiêu và mức độ trưởng thành trong hoạt động của tác nhân này làm cho chúng khác biệt. Quá trình tìm ra cách kích hoạt lỗ hổng đặc quyền của hạt nhân iOS sẽ không hề dễ dàng. Các phương pháp giải mã rất đa dạng và tốn nhiều thời gian để tìm ra”, đại diện Project Zero cho biết thêm.

Theo quy định của Google Project Zero, sau khi lỗ hổng bảo mật được phát hiện, các chuyên gia của nhóm sẽ chủ động liên hệ với đơn vị sở hữu phần mềm để cung cấp thông tin chi tiết về lỗ hổng. Nhà phát triển sẽ có 90 ngày để khắc phục vấn đề trước khi Google công khai lỗ hổng đó. Tùy thuộc vào mức độ phức tạp của yêu cầu khắc phục, đôi khi Google cũng sẽ nới lỏng mốc thời gian cần thiết để nhà phát triển vá lỗi.

Ngoài ra, trong trường hợp của Chrome Freetype zero-day, phương pháp khai thác mà nhóm hack này sử dụng là mới đối với Project Zero.