Theo công ty bảo mật IoT dành cho doanh nghiệp Armis (có trụ sở chính tại California), cuộc tấn công mới được thực hiện dựa trên kỹ thuật đã được tiết lộ trước đó. Nó có thể vượt qua bộ định tuyến, tường lửa và tiếp cận bất kỳ thiết bị nào trong mạng nội bộ từ Internet.
Được tiết lộ lần đầu tiên bởi nhà nghiên cứu bảo mật Samy Kamkar vào cuối tháng 10/2020, cuộc tấn công dựa trên JavaScript đánh lừa người dùng truy cập vào một trang web độc hại để phá vỡ các hạn chế về cổng dựa trên trình duyệt. Đồng thời, cho phép kẻ tấn công truy cập từ xa vào các dịch vụ TCP/UDP trên thiết bị của nạn nhân, ngay cả khi thiết bị được bảo vệ bởi tường lửa hoặc kỹ thuật NAT.
Các biện pháp đã được khuyến cáo sử dụng từ ngày 11/11/2020 để bảo vệ khỏi cuộc tấn công trong trình duyệt Chrome 87, Firefox 84 và Safari; bằng cách ngăn chặn các kết nối trên cổng 5060 hoặc 5061. Ben Seri và Gregory Vishnipolsky (các nhà nghiên cứu của Armis) đã tiết lộ rằng, NAT Slipstreaming 2.0 đặt các thiết bị nhúng không được quản lý vào mức độ rủi ro cao hơn, bằng cách cho phép những kẻ tấn công lấy thông tin thiết bị nằm trên mạng nội bộ tiếp xúc trực tiếp với Internet.
Các thiết bị bao gồm máy in văn phòng, bộ điều khiển công nghiệp, camera IP và các giao diện chưa được xác thực khác có thể bị tấn công dễ dàng khi NAT/tường lửa bị đánh lừa mở lưu lượng mạng tới thiết bị nạn nhân.
Các nhà nghiên cứu cho biết: "Sử dụng biến thể mới của cuộc tấn công NAT Slipstreaming để truy cập các loại giao diện này từ Internet có thể dẫn đến các cuộc tấn công ransomware tinh vi".
Google, Apple, Mozilla và Microsoft đã khẩn trương phát hành các bản vá cho các trình duyệt Chrome (v87.0.4280.141), Safari (v14.0.3), Firefox (v85.0) và Edge (v87.0.664.75) để giải quyết vấn đề này.
NAT Slipstreaming cho phép kẻ tấn công vượt qua NAT/firewall và truy cập từ xa vào bất kỳ dịch vụ TCP/UDP nào được liên kết với máy nạn nhân. Đặc biệt, mã JavaScript độc hại chạy trên trình duyệt của nạn nhân trích xuất địa chỉ IP nội bộ và lợi dụng việc phân gói tin TCP/IP để điều chỉnh ranh giới gói tin. Thông qua đó, kẻ tấn công có thể để tạo gói tin TCP/UDP bắt đầu bằng giao thức SIP như REGISTER hoặc INVITE. Các gói tin trong giao thức SIP chứa địa chỉ IP nội bộ bên trong gửi đi yêu cầu HTTP POST qua cổng TCP 5060.
NAT Slipstreaming 2.0 tương tự như cuộc tấn công NAT Slipstreaming, sử dụng cùng một cách tiếp cận nhưng dựa trên giao thức H.323 VoIP thay vì SIP để gửi và nhận nhiều yêu cầu đến máy chủ của kẻ tấn công trên cổng H.323 (1720), cho phép kẻ tấn công quét qua một loạt địa chỉ IP và cổng, mở từng cổng và địa chỉ IP đó với Internet.
Các nhà nghiên cứu kết luận: "Thật không may, giải pháp lâu dài để khắc phục tấn công cần phải được chỉnh sửa một số cơ sở hạ tầng Internet. Điều quan trọng là phải hiểu vấn đề bảo mật không phải nằm ở cách thức của việc tạo ra NAT, mà nó chủ yếu bắt nguồn từ sự cạn kiệt tiềm năng của các địa chỉ IPv4. Các yêu cầu kế thừa như ALG vẫn là vấn đề chính trong thiết kế NAT ngày nay và là lý do chính khiến các cuộc tấn công bỏ qua dạng này phổ biến".
Thanh Bùi ( The Hacker News)
13:00 | 04/02/2021
13:00 | 03/02/2021
09:00 | 03/05/2024
Một lỗ hổng nghiêm trọng ảnh hưởng đến nhiều ngôn ngữ lập trình cho phép kẻ tấn công chèn lệnh vào các ứng dụng Windows.
07:00 | 08/04/2024
Tháng 01/2024, nhóm nghiên cứu Zero Day Initiative (ZDI) của hãng bảo mật Trend Micro phát hiện chiến dịch phân phối phần mềm độc hại DarkGate. Các tác nhân đe dọa đã khai thác lỗ hổng CVE-2024-21412 trong Windows Defender SmartScreen để vượt qua kiểm tra bảo mật (bypass) và tự động cài đặt phần mềm giả mạo.
10:00 | 13/03/2024
Các nhà nghiên cứu của công ty bảo mật đám mây Zscaler (Hoa Kỳ) cho biết, kể từ tháng 12/2023 các tác nhân đe dọa đã tạo ra các trang web giả mạo phần mềm họp trực tuyến phổ biến như Google Meet, Skype và Zoom để phát tán Trojan truy cập từ xa (RAT), bao gồm SpyNote RAT cho nền tảng Android, NjRAT và DCRat trên Windows.
10:00 | 21/02/2024
Một tác nhân đe dọa có động cơ tài chính đã sử dụng thiết bị USB để lây nhiễm phần mềm độc hại ban đầu và lạm dụng các nền tảng trực tuyến hợp pháp, bao gồm GitHub, Vimeo và Ars Technica để lưu trữ các payload được mã hóa.
Một lỗ hổng nghiêm trọng ảnh hưởng đến nhiều ngôn ngữ lập trình cho phép kẻ tấn công chèn lệnh vào các ứng dụng Windows.
09:00 | 03/05/2024