Nghi ngờ về hoạt động tấn công mạng quy mô lớn liên quan đến nhóm Lazarus của Triều Tiên

 
Một nhóm được cho là có liên quan đến tổ chức tấn công mạng Lazarus của Triều Tiên đang chuẩn bị cho một cuộc tấn công mạng quy mô lớn bằng cách khai thác lỗ hổng bảo mật trong ngôn ngữ lập trình 'PHP', được sử dụng trên nhiều trang web toàn cầu.
 
Theo thông tin từ ngành bảo mật vào ngày 24, công ty an ninh mạng Cyfirma có trụ sở tại Singapore đã xác nhận rằng những người dùng tiếng Hàn trên mạng ẩn danh 'I2P' đang thảo luận về kế hoạch tấn công sử dụng lỗ hổng PHP.
 
Nhóm này đã thảo luận về các phương thức tấn công và trinh sát nhằm tấn công các máy chủ web trên toàn thế giới bằng cách sử dụng lỗ hổng 'PHP2Shell' mới được phát hiện.
 
PHP2Shell là một lỗ hổng bảo mật cho phép thực thi lệnh từ xa trên máy chủ chỉ bằng cách gửi yêu cầu web đã được thao tác mà không cần đăng nhập hay xác thực. Lỗ hổng này được đánh giá 9.2 trên thang điểm 10 của Hệ thống Đánh giá Lỗ hổng Chung (CVSS), được phân loại là nghiêm trọng.
 
Các mục tiêu tấn công chủ yếu bao gồm các cơ quan chính phủ và các tổ chức tài chính như ngân hàng. Ngoài ra, các ngành sản xuất, logistics, hàng hải, hàng không, các nền tảng giao dịch trực tuyến và các công ty xây dựng cũng nằm trong danh sách mục tiêu.
 
Về mặt địa lý, Hàn Quốc, Mỹ, Nhật Bản, Australia, Đài Loan, Ấn Độ, Singapore, Các Tiểu vương quốc Ả Rập Thống nhất (UAE), Ả Rập Saudi và Liên minh châu Âu (EU) đều nằm trong danh sách ưu tiên tấn công.
 
Trong quá trình chuẩn bị tấn công, có dấu hiệu cho thấy nhóm này đã sử dụng trí tuệ nhân tạo (AI). Cyfirma cho biết các kẻ tấn công đã thu thập mã khai thác lỗ hổng (PoC) công khai, sau đó sử dụng mô hình AI của riêng họ để xác định ưu tiên và kiểm tra trong môi trường kiểm soát trước khi thực hiện tấn công thực sự.
 
Cyfirma đã đặt tên cho hoạt động này là chiến dịch 'June 2026 Minjun' và nêu khả năng liên kết với nhóm Lazarus của Triều Tiên. Tuy nhiên, độ tin cậy của phân tích về mối liên hệ với Triều Tiên được đánh giá ở mức 'trung bình'.
 
Trong khi đó, ngành bảo mật cũng bày tỏ sự thận trọng khi khẳng định rằng rất khó để xác định rõ ràng kẻ tấn công là tổ chức của Triều Tiên. Điều này là do thiếu bằng chứng kết nối trực tiếp ngoài việc chỉ ra các chỉ thị tấn công bằng tiếng Hàn và việc lựa chọn mục tiêu chủ yếu là các cơ quan chính phủ và tài chính, cũng như sự tương đồng với chiến thuật tấn công trước đây của nhóm Lazarus.
 
Cũng trong ngày 21 tháng 10, nhóm phát triển PHP đã phát hành bản cập nhật bảo mật khẩn cấp để khắc phục lỗ hổng này.



* Bài viết này được dịch tự động bằng AI.

• #nhóm Lazarus
• #tấn công mạng
• #lỗ hổng PHP