Điểm chính

  • Nhóm tin tặc UAT-6275 đang thực hiện chiến dịch tấn công mạng nhắm vào các tổ chức chính phủ tại khu vực CIS.
  • Chiến dịch này lợi dụng lỗ hổng bảo mật CVE-2025-8088 trong WinRAR để ghi mã độc vào thư mục Startup.
  • Kẻ tấn công kết hợp sử dụng tài liệu mồi nhử, tập lệnh độc hại và các nền tảng lưu trữ hợp pháp như GitHub để né tránh sự phát hiện.
  • Các chuyên gia khuyến nghị cập nhật phần mềm ngay lập tức và tăng cường giám sát hành vi hệ thống.

Các nhà nghiên cứu bảo mật từ Cisco Talos và Insikt Group vừa phát hiện một chiến dịch tấn công mạng có chủ đích do nhóm UAT-6275 thực hiện, tập trung vào các cơ quan chính phủ thuộc khu vực Cộng đồng các Quốc gia Độc lập (CIS).

Chi tiết kỹ thuật khai thác lỗ hổng WinRAR

Điểm trọng tâm trong phương thức hoạt động của nhóm UAT-6275 là việc lạm dụng lỗ hổng CVE-2025-8088. Đây là một lỗi điều hướng đường dẫn (path traversal) cho phép kẻ xấu ghi tệp tin ra ngoài thư mục đích thông qua các tệp lưu trữ được định dạng đặc biệt. Nhờ đó, mã độc có thể được thả thẳng vào thư mục khởi động của hệ thống mà không cần đến quyền quản trị viên.

Kẻ tấn công thường ngụy trang bằng các tệp PDF mồi nhử bên trong định dạng RAR, đồng thời giấu các tải trọng độc hại qua cơ chế luồng dữ liệu thay thế của hệ thống tệp NTFS. Ngay khi nạn nhân tiến hành giải nén, mã độc sẽ tự động cài cắm vào đường dẫn khởi động, kích hoạt quá trình tự chạy mỗi khi người dùng đăng nhập.

Đa dạng hóa công cụ và cách thức ngụy trang

Bên cạnh phương thức trên, UAT-6275 liên tục thay đổi công cụ từ giữa năm 2025, chuyển dịch từ tài liệu Word chứa macro sang các trình tải xuống dạng PS2EXE và tệp lối tắt độc hại. Các bộ công cụ như PickleShell, Chvost và Laplas được tích hợp để thiết lập kết nối điều khiển từ xa (reverse shell).

Đặc biệt, nhóm này còn tận dụng các nền tảng lưu trữ mã nguồn uy tín như GitHub để phân phối tập lệnh và tải trọng. Thủ thuật này giúp chúng dễ dàng qua mặt các giải pháp bảo mật truyền thống vốn dựa vào danh tiếng tên miền, buộc các đội ngũ vận hành an ninh mạng phải chuyển dịch sang giám sát hành vi tập lệnh.

Biện pháp phòng ngừa và khuyến nghị bảo mật

Trước mối đe dọa hiện hữu, các tổ chức được khuyến cáo cần nhanh chóng thực hiện các bước gia cố hệ thống. Việc nâng cấp ứng dụng WinRAR lên phiên bản 7.13 là yêu cầu cấp thiết để vô hiệu hóa lỗ hổng CVE-2025-8088. Đồng thời, các nhà quản trị cần thiết lập cơ chế kiểm soát chặt chẽ đối với các tệp tin phát sinh tại thư mục khởi động của người dùng.

Các chuyên gia cũng đề xuất áp dụng các bộ quy tắc phát hiện từ Cisco Talos cho hệ thống giám sát để sớm nhận diện các kết nối độc hại từ xa, kết hợp phân tích hành vi chuyên sâu đối với các tệp thực thi lạ nhằm đảm bảo an toàn thông tin toàn diện.