Thông thường, khi ai đó khám phá khai thác (exploit) cho một chương trình, bản vá nóng (hotfix) được phát hành để vá nó. Vòng đời này cho các khai thác một tuổi thọ tương đối ngắn giữa khám phá và sửa chữa. Vì vậy, rất không chồng chất cho một lỗi cũ của một chương trình phổ biến vẫn còn lan truyền, đặc biệt sau khi bản vá được phát hành để sửa nó.
Đây là lý do tại sao đáng chú ý rằng một khai thác cũ của Microsoft Office vẫn đang xoay quanh Internet. Nó thậm chí trở thành cuộc tấn công phổ biến thứ ba năm 2018. Vấn đề là, khai thác này đã được sửa vào 2017, và nó vẫn gây thiệt hại đến ngày nay!
Khai Thác Này Là Gì?
Khai thác có tên khó đọc "CVE-2017-11882". Nó khai thác một phần của Office không xử lý đúng bộ nhớ được cấp cho nó; Sử dụng khai thác này, tin tặc có thể ép Office chạy mã. Thậm chí tệ hơn, nếu nạn nhân có quyền quản trị, khai thác có thể dùng để kiểm soát chính máy tính.
Để khai thác tấn công một bản sao Office, tin tặc cần thuyết phục người dùng mở tệp bị nhiễm trong Word. Điều này có nghĩa khai thác lan truyền tốt nhất qua các lừa đảo khiến người dùng tò mò mở tệp văn bản bị nhiễm. Tin tặc có thể thiết lập trang web giả chứa tài liệu và tuyên bố nó là tài liệu quan trọng hoặc gửi email yêu cầu người dùng tải tệp – thường tuyên bố nó cấp thiết phải đọc ngay.
Chiến Dịch Khai Thác Mới Hoạt Động Như Thế Nào?
An active malware campaign using emails in European languages distributes RTF files that carry the CVE-2017-11882 exploit, which allows attackers to automatically run malicious code without requiring user interaction. pic.twitter.com/Ac6dYG9vvw
— Microsoft Security Intelligence (@MsftSecIntel) June 7, 2019
Làn sóng tấn công mới này thấy email được gửi bằng ngôn ngữ Châu Âu, kèm tệp RTF. Nếu người dùng tải và mở tệp, nó thực thi mã tải và chạy script. Các script này mở cửa sau (backdoor) trong Office, sau đó mở kết nối đến trung tâm điều khiển.
Tại Sao Nó Quay Lại?
Về lý do tin tặc lặp lại khai thác "đã sửa" năm 2017, chưa chắc đã biết điều gì kích hoạt làn sóng tấn công cụ thể này. Có thể do các tấn công bản chất này vẫn thành công hai năm sau ngày phát hành bản vá, và do đó là "cược an toàn" (safe bet) cho tin tặc nhắm vào.
"Lỗ hổng CVE-2017-11882 đã được sửa 2017, nhưng đến ngày nay, chúng tôi vẫn quan sát khai thác trong tấn công," Microsoft nói trên Twitter. "Đáng chú ý, chúng tôi thấy hoạt động tăng trong vài tuần qua. Chúng tôi mạnh mẽ khuyến nghị áp dụng bản cập nhật bảo mật."
Cách Sửa Khai Thác
Như tweet trên nhắc, bản vá đã có sẵn nhiều năm. Đáng tiếc, bản vá này không được triển khai hoàn toàn, ngay đến ngày nay. Có tiềm năng tranh luận về việc đây là lỗi của Microsoft vì không phân phối bản vá "đúng cách" hay lỗi người dùng vì bỏ qua cập nhật sẵn sàng hai năm. Nhưng tất cả quan trọng bây giờ là bạn nên cập nhật phần mềm Office ngay lập tức.
Để làm này, mở ứng dụng Office như Word. Trên menu trên nhấp "Help" (Trợ giúp), sau đó "Check for Updates" (Kiểm tra cập nhật). Office sẽ tìm và tải các cập nhật thiếu, bao gồm bản sửa cho vấn đề trên nếu bạn chưa có.
Các Kẻ Hack Cũ Khó Chết (Old Hacks Die Hard)
Làn sóng tấn công dựa trên Office gần đây là một lạ, vì nó là vấn đề "nên đã" biến mất hai năm trước. Nếu bạn không nhớ lần cuối cập nhật Office, hãy kiểm tra nhanh để chắc chắn bạn có bản vá.
Cách tốt nhất ngăn các khai thác cũ lặp lại xảy ra trong phần mềm là gì? Cho chúng tôi biết bên dưới.