Coi chừng máy tính bị điều khiển từ xa vì lỗ hổng Microsoft Office!

Nhóm Nghiên cứu và Phân tích toàn cầu Kaspersky Lab vừa công bố kết quả theo dõi nhiều nhóm tội phạm mạng trên khắp khu vực châu Á - Thái Bình Dương và vùng Viễn Đông. Theo hãng bảo mật này, tất cả các nhóm tin tặc đều có xu hướng lợi dụng lỗ hổng CVE-2015-2545 để phát tán mã độc thông qua phần mềm độc hại.

Điều đáng lo ngại là lỗ hổng này nằm trong phần mềm Microsoft Office rất thông dụng, mặc đã được vá vào cuối năm 2015 nhưng vẫn tồn tại nhiều mối nguy cho người dùng. Platinum, APT16, EvilPost và SPIVY là những nhóm tội phạm đã từng khai thác lỗ hổng này và giờ đây, chúng hợp nhất thành cái tên mới: Danti.

Lỗ hổng CVE-2015-2545 chứa trong phần mềm Microsoft Office thông dụng.

Nhiều năm trước, việc sử dụng lỗ hổng zero-day (những lỗ hổng bị khai thác trước khi có bản vá lỗi) là đặc điểm nhận dạng những mối đe dọa tinh vi, nhưng giờ đây nhiều thứ đã thay đổi: Các nhóm gián điệp mạng có khả năng sẽ sử dụng những lỗ hổng đã được biết đến, chỉ vì nó đơn giản và có thể lây nhiễm ở một mức độ có thể chấp nhận được.

Nếu tin tặc khai thác thành công lỗ hổng CVE-2015-2545 thì hậu quả hết sức nghiêm trọng, vì nó sử dụng thủ thuật PostScript và có thể lách chức năng bảo mật Address Space Layout Randomization (ASLR, ngẫu nhiên hóa sơ đồ không gian địa chỉ) và Data Execution Prevention (DEP, ngăn chặn thực thi dữ liệu) trên Windows.

Danti là nhóm lớn nhất bị phát hiện đã sử dụng lỗ hổng này. Danti tập trung cao vào các tổ chức ngoại giao. Nó có thể có được quyền truy cập vào mạng lưới nội bộ trong nhiều tổ chức chính phủ Ấn Độ. Theo mạng lưới bảo mật Kaspersky, nhiều trojan từ Danti đã được phát hiện tại Kazakhstan, Kyrgyzstan, Uzbekistan, Myanmar, Nepal và the Philippines. Hoạt động của nó bị phát hiện lần đầu tiên vào tháng 2 và vẫn tiếp tục hoạt động cho đến tận bây giờ.

Việc khai thác được thực hiện thông qua những email có chứa liên kết đến trang web lừa đảo. Nhằm thu hút sự chú ý của nạn nhân, hacker đã tạo ra email dưới danh nghĩa của những quan chức cấp cao trong chính phủ Ấn Độ. Một khi việc khai thác lỗ hổng được thực hiện, kẻ tấn công sẽ có được quyền truy cập vào máy tính bị lây nhiễm và lấy đi thông tin nhạy cảm.

Nguồn gốc của Danti hiện vẫn chưa rõ nhưng những nhà nghiên cứu tại Kaspersky Lab cho biết, họ có lý do để nghi ngờ nhóm này có liên quan đến nhóm Nettraveler và DragonOK. Kaspersky Lab tin chắc nhóm hacker Danti nói tiếng Trung Quốc.

Bên cạnh đó, các nhà nghiên cứu tại Kaspersky Lab đã phát hiện nhiều cuộc tấn công vào các tổ chức tại Đài Loan và Thái Lan thông qua lỗ hổng CVE-2015-2545 mà chưa rõ nguồn gốc liệu có phải là Danti hay không.