Điểm chính

  • Kẻ tấn công xâm nhập hệ thống ngân hàng thông qua cổng kết nối bên thứ ba thiếu xác thực đa yếu tố.
  • Hành vi quét mạng diện rộng và dò mật khẩu quản trị viên kéo dài nhiều tháng nhằm tìm kiếm cơ hội leo thang đặc quyền.
  • Mục tiêu cuối cùng là máy chủ WSUS để thực thi mã từ xa nhưng đã bị hệ thống Cortex XDR phát hiện và ngăn chặn kịp thời.

Một ngân hàng tại châu Âu vừa trở thành nạn nhân trong một vụ tấn công mạng tinh vi, bắt đầu từ việc lợi dụng các sơ hở trong khâu quản lý quyền truy cập từ xa và các cổng kết nối ngoại vi.

Phương thức xâm nhập ban đầu

Theo kết quả từ các chuyên gia bảo mật, tin tặc đã đột nhập vào hệ thống thông qua một cổng kết nối (gateway) do bên thứ ba quản lý nhưng thiếu các cơ chế bảo mật cần thiết. Thay vì tận dụng các lỗ hổng phần mềm dạng zero-day, kẻ tấn công lại sử dụng thông tin đăng nhập bị đánh cắp trước đó kết hợp với việc thiếu hụt xác thực đa yếu tố (MFA) trên cổng gateway. Điều này giúp chúng dễ dàng dùng tài khoản hợp lệ để qua mặt các lớp phòng thủ vòng ngoài.

Hành vi leo thang đặc quyền trong mạng nội bộ

Ngay sau khi đặt chân vào mạng nội bộ, tin tặc lập tức tiến hành quét mạng trên quy mô lớn, tương tác với hàng nghìn hệ thống khác nhau. Quá trình này diễn ra khá công khai và rõ ràng, cho thấy đối tượng ưu tiên việc tìm kiếm lỗ hổng để nâng cao đặc quyền thay vì che giấu dấu vết. Suốt nhiều tháng liền, các chiến dịch thử mật khẩu liên tục cũng đã được triển khai nhằm nhắm trực diện vào các tài khoản quản trị cấp cao.

Mục tiêu trọng điểm và biện pháp ngăn chặn

Đích nhắm tối quan trọng của nhóm tấn công là máy chủ Windows Server Update Services (WSUS), hệ thống đóng vai trò cốt lõi trong việc điều phối phần mềm và bản vá trên toàn mạng lưới ngân hàng. Nắm quyền kiểm soát máy chủ này đồng nghĩa với việc tin tặc có thể thực thi mã từ xa với quyền hạn cao nhất, từ đó phát tán phần mềm độc hại hoặc duy trì sự xâm nhập lâu dài.

Dù báo cáo không chỉ rõ một mã định danh CVE cụ thể cho vụ việc này, các chuyên gia vẫn dẫn chứng những lỗ hổng tương tự như CVE-2025-59287 thường xuyên bị lợi dụng. Tuy nhiên, nhờ sự can thiệp kịp thời của giải pháp Cortex XDR, các hoạt động bất thường đã bị phát hiện và ngăn chặn ngay trước khi mã độc kịp thực thi.

Bài học về quản lý bảo mật bên thứ ba

Sự cố nói trên là hồi chuông cảnh tỉnh về mức độ rủi ro khi quản lý các thiết bị kết nối từ bên ngoài. Doanh nghiệp cần siết chặt các tiêu chuẩn bảo mật đối với hạ tầng của đối tác, tương đương với mức áp dụng cho hệ thống nội bộ, đồng thời rà soát và cách ly các gateway này trong các phân đoạn mạng riêng biệt kèm theo chính sách tường lửa nghiêm ngặt.