Nhóm APT lợi dụng lỗ hổng VPN để xâm nhập: phân tích và ứng phó

Các nhóm APT lợi dụng lỗ hổng VPN vì thiết bị VPN doanh nghiệp nằm ngay biên mạng, luôn mở ra Internet, có quyền truy cập sâu vào mạng nội bộ và thường không được giám sát kỹ như máy chủ. Mô thức lặp đi lặp lại trong nhiều năm qua là: một lỗ hổng nghiêm trọng trên cổng VPN hoặc thiết bị truy cập từ xa được khai thác như zero-day, sau đó khi bản vá công bố, hàng loạt nhóm khác đổ vào khai thác thiết bị chưa vá. Bài viết phân tích vì sao VPN trở thành mục tiêu, cách kẻ tấn công lợi dụng và quy trình ứng phó cho tổ chức.

Lưu ý: bài viết nói về VPN truy cập từ xa của doanh nghiệp (thiết bị cổng kết nối), khác với ứng dụng VPN cá nhân dùng để bảo vệ quyền riêng tư.

Vì sao thiết bị VPN là "mỏ vàng" của APT

• Luôn lộ ra Internet: phải mở để nhân viên kết nối từ bất cứ đâu.
• Đặc quyền mạng: đứng giữa Internet và mạng nội bộ, xử lý thông tin xác thực của toàn bộ nhân viên.
• Hộp đen: hệ điều hành đóng, khó cài công cụ giám sát, đội bảo mật có ít quyền nhìn vào bên trong.
• Vá lỗi khó: cập nhật cần thời gian bảo trì, làm gián đoạn làm việc từ xa nên hay bị trì hoãn.
• Mã nguồn cũ: nhiều sản phẩm chứa thành phần viết từ lâu bằng ngôn ngữ không an toàn bộ nhớ.

Trong vài năm gần đây, lỗ hổng nghiêm trọng bị khai thác trong thực tế đã được công bố ở sản phẩm của nhiều hãng lớn về VPN và truy cập từ xa. Cơ quan an ninh mạng nhiều nước đã phát cảnh báo chung, yêu cầu vá khẩn cấp và kiểm tra dấu hiệu xâm nhập.

Kẻ tấn công khai thác như thế nào

Kiểu lỗ hổng thường gặp

Sau khi chiếm được thiết bị

1. Thu thập thông tin xác thực: sửa thành phần đăng nhập để ghi lại tên và mật khẩu mọi nhân viên kết nối.
2. Chiếm phiên: lấy token phiên đã xác thực, vượt qua cả xác thực đa yếu tố.
3. Cài cửa hậu: web shell hoặc mã độc chuyên cho thiết bị, đôi khi được thiết kế để tồn tại qua bản cập nhật hoặc đánh lừa công cụ kiểm tra toàn vẹn của hãng.
4. Đi sâu vào mạng: dùng thông tin đăng nhập thu được truy cập hệ thống nội bộ, tiếp tục chuỗi tấn công như mô tả trong bài APT tấn công hạ tầng quan trọng.
5. Xóa dấu vết: sửa hoặc xóa nhật ký trên thiết bị.

Từ zero-day đến khai thác hàng loạt

Giai đoạn đầu, lỗ hổng thường chỉ được một nhóm APT dùng với số mục tiêu hạn chế. Khi hãng công bố cảnh báo và bản vá, các nhà nghiên cứu và kẻ tấn công khác nhanh chóng phân tích, công cụ quét xuất hiện, và các nhóm ransomware cũng nhảy vào. Khoảng thời gian từ công bố tới khai thác đại trà có thể chỉ tính bằng ngày. Bài học tương tự áp dụng cho trình duyệt, xem bài vá lỗ hổng zero-day trình duyệt.

Dấu hiệu thiết bị VPN có thể đã bị xâm nhập

• Tệp lạ xuất hiện trong thư mục web của thiết bị, hoặc công cụ kiểm tra toàn vẹn của hãng báo tệp không khớp.
• Thiết bị khởi động lại ngoài lịch, cấu hình bị thay đổi mà không có phiếu yêu cầu.
• Nhiều phiên đăng nhập của cùng một người dùng từ các địa chỉ IP ở các quốc gia khác nhau trong thời gian ngắn.
• Nhật ký trên thiết bị bị trống hoặc gián đoạn bất thường.
• Lưu lượng từ thiết bị VPN tới máy chủ nội bộ mà người dùng VPN thông thường không bao giờ truy cập, như bộ điều khiển miền hay máy chủ sao lưu.

Quy trình ứng phó khi có cảnh báo lỗ hổng VPN

1. Xác định phạm vi: tổ chức có dùng sản phẩm và phiên bản bị ảnh hưởng không, bao nhiêu thiết bị.
2. Áp dụng biện pháp giảm thiểu ngay: nếu chưa có bản vá, làm theo hướng dẫn tạm thời của hãng, như tắt tính năng bị ảnh hưởng, áp dụng tệp cấu hình giảm thiểu.
3. Kiểm tra dấu hiệu xâm nhập trước khi vá: chạy công cụ kiểm tra toàn vẹn của hãng, đối chiếu chỉ dấu trong cảnh báo. Vá lỗi không xóa được cửa hậu đã cài.
4. Vá hoặc thay thế: cập nhật lên phiên bản an toàn; với thiết bị đã hết hỗ trợ, lên kế hoạch thay thế.
5. Nếu có dấu hiệu bị xâm nhập: khôi phục cài đặt gốc theo hướng dẫn của hãng, đổi mọi mật khẩu, khóa, chứng chỉ lưu trên thiết bị, hủy phiên đang hoạt động, đặt lại mật khẩu cho người dùng VPN, và săn tìm dấu hiệu di chuyển ngang trong mạng.
6. Báo cáo: thông báo cơ quan chuyên trách theo quy định và chia sẻ chỉ dấu với cộng đồng.

Giảm phụ thuộc vào thiết bị biên dễ tổn thương

• Giảm bề mặt tấn công: không để giao diện quản trị thiết bị truy cập được từ Internet.
• Xác thực đa yếu tố chống lừa đảo cho mọi kết nối từ xa.
• Đưa nhật ký thiết bị về hệ thống tập trung, để kẻ tấn công không xóa được dấu vết.
• Phân vùng sau VPN: người dùng VPN chỉ truy cập được hệ thống cần thiết, không phải toàn mạng. Tường lửa nội bộ có khả năng kiểm tra theo ứng dụng và danh tính giúp thực hiện điều này; tham khảo cơ chế hoạt động của tường lửa thế hệ mới.
• Cân nhắc mô hình zero trust (ZTNA): cấp quyền theo từng ứng dụng thay vì đưa người dùng vào mạng nội bộ, giảm thiệt hại khi một thành phần bị chiếm.
• Đưa thiết bị biên vào chương trình quản lý lỗ hổng với cam kết thời gian vá ngắn nhất trong tổ chức.

Khi máy chủ phía sau VPN bị xâm nhập, ransomware thường là bước tiếp theo, đặc biệt trên hạ tầng ảo hóa; xem bài ransomware nhắm vào hệ thống Linux.