Điểm chính

  • Các nhà nghiên cứu phát hiện chiến dịch tấn công quy mô lớn nhắm vào hơn 140 thiết bị tại 34 quốc gia.
  • Kẻ tấn công khai thác lỗ hổng trong sản phẩm D-Link, Ubiquiti và SAP để cài đặt phần mềm proxy độc hại.
  • Hệ thống bị biến thành proxy dân cư, đồng thời thiết lập khóa SSH để duy trì quyền truy cập trái phép lâu dài.

Một chiến dịch tội phạm mạng quy mô lớn vừa được các nhà nghiên cứu bảo mật công bố, nhắm mục tiêu vào ít nhất 143 thiết bị tại 34 quốc gia thông qua việc khai thác các điểm yếu bảo mật phần mềm và phần cứng.

Phương thức tấn công và cách thức hoạt động

Bằng cách khai thác các lỗ hổng bảo mật trong các sản phẩm của D-Link, Ubiquiti và SAP, kẻ tấn công đã cài đặt phần mềm proxy Pawns.app, biến các thiết bị này thành các nút proxy dân cư. Hành vi này cho phép kẻ tấn công định tuyến lưu lượng truy cập internet thông qua địa chỉ IP thực của nạn nhân, giúp các hoạt động độc hại trở nên khó bị phát hiện và dễ dàng hòa lẫn với lưu lượng người dùng thông thường.

Nhóm nghiên cứu từ GreyNoise đã xác định được bốn lỗ hổng cụ thể trên ba nhóm sản phẩm công nghệ. Các lỗ hổng này đóng vai trò là điểm xâm nhập ban đầu để kẻ tấn công thực thi mã từ xa hoặc chiếm quyền điều khiển thiết bị.

Chi tiết các lỗ hổng bị khai thác

Đối với các thiết bị D-Link ShareCenter, các lỗ hổng CVE-2024-3272 và CVE-2024-3273 cho phép kẻ tấn công thực thi các lệnh tùy ý thông qua giao diện quản trị. Trong khi đó, CVE-2021-44228 trên các hệ thống Ubiquiti UniFi Video NVRs là một lỗ hổng nghiêm trọng đã được biết đến từ lâu, cho phép kẻ tấn công chiếm quyền điều khiển hệ thống giám sát video. Đặc biệt, CVE-2025-31324 trong thành phần Metadata Uploader của SAP NetWeaver Visual Composer cho phép kẻ tấn công không cần xác thực vẫn có thể tải lên các tệp thực thi, mở rộng phạm vi tấn công sang các hệ thống doanh nghiệp.

Sau khi giành được quyền truy cập, kẻ tấn công cài đặt phần mềm Pawns.app. Mặc dù đây là một ứng dụng hợp pháp nếu được người dùng đồng ý, nhưng trong bối cảnh này, nó được sử dụng để proxyjack thiết bị. Kẻ tấn công kiếm tiền từ băng thông của nạn nhân trong khi đẩy mọi rủi ro pháp lý và kỹ thuật về phía chủ sở hữu thiết bị.

Duy trì quyền truy cập và biện pháp phòng ngừa

Kẻ tấn công đã thiết lập xác thực bằng khóa SSH như một phương thức dự phòng để duy trì quyền truy cập. Điều này có nghĩa là ngay cả khi lỗ hổng ban đầu được vá, kẻ tấn công vẫn có thể truy cập vào thiết bị nếu khóa SSH không bị loại bỏ. Các tổ chức cần nhanh chóng kiểm tra hệ thống, áp dụng bản vá và thực hiện săn tìm mối đe dọa dựa trên các chỉ số kỹ thuật đã ghi nhận.