CẢNH BÁO TẤN CÔNG CHUỖI CUNG ỨNG

Các gói Laravel-Lang PHP bị chiếm quyền điều khiển để phát tán mã độc đánh cắp thông tin đa nền tảng

Các nhà nghiên cứu an ninh mạng vừa phát hiện một chiến dịch tấn công chuỗi cung ứng quy mô lớn nhắm vào hệ sinh thái PHP. Kẻ tấn công đã chiếm quyền điều khiển tổ chức Laravel-Lang, sửa đổi hàng loạt phiên bản để cài cắm mã độc đánh cắp thông tin (Credential Stealer) có khả năng hoạt động trên Windows, Linux và macOS.

Danh sách các gói bị ảnh hưởng

laravel-lang/lang

laravel-lang/http-statuses

laravel-lang/attributes

laravel-lang/actions

Hơn 700 phiên bản (tags) liên quan đến các gói này đã bị gắn mã độc chỉ trong vòng vài giây vào ngày 22 và 23 tháng 5 năm 2026. Điều này cho thấy kẻ tấn công đã sử dụng công cụ tự động sau khi chiếm được thông tin xác thực cấp tổ chức hoặc cơ sở hạ tầng phát hành của Laravel-Lang.

Cơ chế hoạt động tinh vi

Thay vì sửa đổi mã nguồn trực tiếp, kẻ tấn công đã ghi đè mọi git tag hiện có trong các kho lưu trữ để trỏ đến một commit độc hại mới. Mã độc được nhúng vào file src/helpers.php và tự động thực thi thông qua cơ chế autoload.files của Composer ngay khi ứng dụng khởi động.

Kích hoạt tự động: Không cần khởi tạo class hay gọi phương thức, mã độc chạy ngay khi ứng dụng PHP nạp vendor autoload.
Dấu vân tay máy chủ: Sử dụng MD5 hash của đường dẫn thư mục và kiến trúc hệ thống để đảm bảo mỗi máy chỉ bị nhiễm một lần, tránh gây nghi ngờ.
Tự hủy: Sau khi gửi dữ liệu đã mã hóa AES-256 về máy chủ C2, mã độc sẽ tự xóa khỏi đĩa cứng để xóa dấu vết pháp y.

Các loại dữ liệu bị đánh cắp

Dữ liệu Đám mây & DevOps:
- AWS IAM roles, Azure access tokens.
- Google Cloud credentials.
- Kubernetes Service Account tokens.
- GitHub Actions, GitLab Runners, Jenkins.

Dữ liệu Cá nhân & Tài chính:
- Ví tiền điện tử (MetaMask, Trust Wallet...).
- Browser Cookies, Password Managers.
- SSH keys, VPN configurations.
- File cấu hình .env và wp-config.php.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO CÁC NHÀ PHÁT TRIỂN

Nếu bạn đang sử dụng các gói Laravel-Lang trong dự án, hãy thực hiện ngay các bước sau:

Kiểm tra File Composer: Kiểm tra lại composer.lock để xác định phiên bản đang sử dụng có thuộc các tag bị sửa đổi vào ngày 22-23/05/2026 hay không.
Làm sạch Vendor: Xóa thư mục vendor/ và cài đặt lại từ các nguồn tin cậy hoặc chuyển sang phiên bản đã được vá lỗi.
Thu hồi Credentials: Ngay lập tức thu hồi và thay đổi tất cả các khóa API, token đám mây, mật khẩu cơ sở dữ liệu và SSH keys có trong môi trường phát triển/triển khai.
Kiểm tra Hệ thống: Quét mã độc toàn bộ máy chủ và máy trạm của lập trình viên để tìm kiếm các dấu hiệu của mã độc PHP-based.

Nguồn tham khảo: The Hacker News, Socket, StepSecurity

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo: Các gói Laravel-Lang PHP bị tấn công chuỗi cung ứng phát tán mã độc đánh cắp thông tin