Bản đồ an ninh mạng Tháng 8 - Chằng chịt các điểm nóng

[WhiteHat Team]

Tháng 8 vừa qua, bức tranh an ninh mạng toàn cầu như một tấm bản đồ chằng chịt các điểm nóng: từ những lỗ hổng nghiêm trọng trong hệ thống quản trị, các kỹ thuật leo thang đặc quyền mới trên Windows và Linux cho tới những chiến dịch ransomware và mã độc di động đầy tinh vi. Khi ghép các mảnh lại, có thể thấy rõ một xu hướng: kẻ tấn công không ngừng mở rộng “vùng đất” của mình, từ hạ tầng doanh nghiệp, ứng dụng đám mây, cho đến cả chiếc điện thoại cá nhân. Bản tin này của WhiteHat sẽ điểm lại những sự kiện đáng chú ý, không chỉ để cảnh báo mà còn để cùng suy ngẫm: tại sao cuộc chiến này ngày càng khó lường hơn.

Lỗ hổng trong hệ thống quản trị: “Cửa chính” bị bỏ ngỏ​

Ngay đầu tháng, SUSE Manager bị phát hiện lỗ hổng CVE-2025-46811 cho phép thực thi lệnh từ xa với quyền root mà không cần xác thực. Điểm yếu nằm ở giao diện websocket, khiến bất kỳ ai có kết nối mạng đều có thể tấn công. Với mức độ nguy hiểm CVSS 9,3, hệ quả là kẻ xấu có thể cài backdoor, đánh cắp dữ liệu hoặc di chuyển ngang trong mạng nội bộ.

Song song, Fortinet FortiSIEM - “trái tim” của nhiều trung tâm SOC lại có lỗ hổng command injection (CVSS 9,8) bị khai thác thực tế và gần như không để lại dấu vết. Một khi SIEM bị chiếm quyền, toàn bộ cơ chế giám sát và cảnh báo sẽ trở nên vô nghĩa.

Câu chuyện tương tự lặp lại ở HashiCorp Vault và CyberArk, những sản phẩm quản lý bí mật cốt lõi, khi các nhà nghiên cứu chỉ ra tới 14 lỗ hổng nghiêm trọng cho phép RCE mà không cần bất kỳ thông tin xác thực nào. Chúng ta dễ thấy càng nhiều “hạ tầng quản trị” tập trung thì rủi ro càng cao và khi chúng thủng thì toàn bộ lớp phòng thủ có thể sụp đổ theo dây chuyền.

Ransomware và APT: Khi kẻ tấn công chơi “nhiều ván” cùng lúc​

Một trong những câu chuyện nổi bật tháng 8 là Storm-2603, nhóm APT Trung Quốc đã triển khai đồng thời nhiều loại ransomware như LockBit Black và Warlock. Chúng dùng kỹ thuật BYOVD (Bring Your Own Vulnerable Driver) để tắt diệt virus, kết hợp framework C2 tuỳ chỉnh với kênh liên lạc mã hóa phức tạp. Đây không còn là những vụ tấn công “đánh nhanh rút gọn” mà là các chiến dịch có chiến lược dài hơi, phối hợp nhiều công cụ để tối đa hóa sát thương.

LockBit, nhóm ransomware khét tiếng cũng hoàn thiện kỹ thuật DLL sideloading, mạo danh tệp và biểu tượng hợp pháp để vượt qua phòng thủ truyền thống. Điểm đáng chú ý không chỉ là kỹ thuật mà là cách các nhóm này ngày càng “chuyên nghiệp hóa” mô hình tấn công: giống như doanh nghiệp thật sự, có chuỗi cung ứng, kênh phân phối và thậm chí “dịch vụ sau bán hàng” để duy trì quyền truy cập.

Linux, Windows và Android: Nền tảng nào cũng có kẽ hở​

Trong mảng hệ điều hành, các zero-day liên tục xuất hiện. Nhóm “Crusaders of Rust” khai thác thành công CVE-2025-38001 trong Linux kernel, leo thang lên root chỉ trong vài giây. Cùng thời điểm, Windows đối mặt với CVE-2025-53779 trong Kerberos, cho phép nâng quyền lên domain admin.

Android cũng không thoát khỏi vòng xoáy: Google phát hành bản vá tháng 8 cho 6 lỗ hổng, trong đó có lỗi RCE CVE-2025-48530 cho phép thực thi mã mà không cần tương tác người dùng. 2 lỗ hổng Qualcomm GPU thậm chí đã bị khai thác giới hạn trong thực tế. Điều này đặt ra câu hỏi: trong kỷ nguyên di động, khi điện thoại trở thành ví tiền, chìa khóa ngân hàng và kho dữ liệu cá nhân, liệu các bản vá có theo kịp tốc độ khai thác?

Phishing thế hệ mới: Từ OAuth tới npm​

Phishing không còn đơn giản là email lừa đảo. Proofpoint phát hiện hàng loạt chiến dịch giả mạo ứng dụng OAuth (DocuSign, SharePoint, RingCentral…) để đánh cắp token, vượt qua cả MFA. Chỉ cần một cú nhấp “chấp nhận quyền”, người dùng đã trao chìa khóa vàng cho kẻ tấn công.

Cộng đồng lập trình viên cũng hứng chịu cú sốc: sự cố npm tháng 8 khi email phishing nhắm tới maintainer đã dẫn đến hàng loạt gói bị chèn Trojan. Điều đáng sợ là vòng tự động cập nhật của Dependabot đã giúp lây lan nhanh hơn, biến một sơ suất cá nhân thành vấn đề toàn cầu. Đây là minh chứng rằng chuỗi cung ứng phần mềm, vốn là “mạch máu” của hạ tầng số cũng mong manh chẳng kém người dùng cuối.

Ứng dụng di động giả mạo: “Khu chợ đêm” của VexTrio​

Không thể bỏ qua chiến dịch VexTrio Viper với hàng loạt ứng dụng VPN, hẹn hò, chặn spam… xuất hiện công khai trên Google Play và App Store, đạt tới hàng triệu lượt tải. Người dùng tưởng mình cài công cụ bảo vệ nhưng thực chất bị ép đăng ký gói đắt đỏ, dữ liệu cá nhân bị thu thập và thiết bị biến thành công cụ quảng cáo gian lận.

Điều khiến VexTrio khác biệt là họ dựng hẳn “doanh nghiệp ảo”, công ty vỏ bọc và mạng quảng cáo trá hình, biến cả hệ sinh thái thành cỗ máy kiếm tiền bất hợp pháp. Đây là minh chứng cho sự hòa trộn giữa tội phạm mạng và tội phạm kinh tế, nơi nạn nhân vừa mất tiền vừa mất dữ liệu.

WinRAR, EDR và những “vết nứt” khó ngờ​

Một lỗi tưởng chừng vô hại trong WinRAR (CVE-2025-8080) đã bị khai thác để cài RomCom malware chỉ bằng việc người dùng mở file RAR độc hại. Thêm một ví dụ điển hình: công cụ nén quen thuộc hàng chục năm cũng có thể trở thành “cửa sau” nếu người dùng chủ quan.

Trong khi đó, Elastic EDR - công cụ phòng thủ vốn được nhiều doanh nghiệp tin tưởng lại xuất hiện zero-day khiến cả hệ thống có thể sập BSOD hoặc bị biến thành công cụ phát tán mã độc. Nguy hiểm ở chỗ phần mềm vốn để bảo vệ lại trở thành điểm yếu chí mạng.

Quan ngại về sự phòng thủ​

Nhìn lại toàn cảnh, có thể thấy ba xu hướng nổi bật:

1. Lỗ hổng ngày càng xuất hiện trong chính những sản phẩm bảo mật hoặc quản trị trọng yếu
2. Phishing tiến hóa thành kỹ nghệ, vượt qua cả MFA và lan sâu vào chuỗi cung ứng phần mềm
3. Tội phạm mạng đang “doanh nghiệp hóa”, xây dựng hạ tầng kinh doanh từ ứng dụng giả mạo cho đến mô hình ransomware-as-a-service.

Với tư cách một chuyên gia WhiteHat, tôi cho rằng điểm mấu chốt không chỉ nằm ở việc “vá lỗi nhanh hơn” hay “mua thêm công cụ bảo mật”. Tháng 8 cho thấy sự mong manh mang tính hệ thống: tin tưởng mù quáng vào một công cụ, một phần mềm hay một quy trình duy nhất đều tiềm ẩn rủi ro. Chúng ta cần một tư duy khác: coi an ninh mạng không phải là “đích đến” mà là một trạng thái động, liên tục thay đổi.

Trong bối cảnh kẻ tấn công luôn sáng tạo và không ngừng thử nghiệm, có lẽ điều quan trọng nhất là khả năng thích ứng: hệ thống, tổ chức và cả từng cá nhân người dùng.