CẢNH BÁO NGUY HIỂM

Lỗ hổng KnowledgeDeliver LMS bị khai thác để cài đặt Godzilla và Cobalt Strike

Một lỗ hổng bảo mật nghiêm trọng trên nền tảng Digital Knowledge KnowledgeDeliver (LMS phổ biến tại Nhật Bản) đã bị khai thác dưới dạng Zero-day nhằm triển khai Web shell Godzilla và mã độc Cobalt Strike Beacon, đe dọa trực tiếp đến an toàn thông tin của các tổ chức giáo dục.

Thông tin kỹ thuật lỗ hổng CVE-2026-5426

Mã lỗ hổng: CVE-2026-5426

Điểm CVSS: 7.5 (High)

Phương thức tấn công: ViewState Deserialization

Hệ quả: Thực thi mã từ xa (RCE)

Vấn đề bắt nguồn từ việc các bản cài đặt KnowledgeDeliver dựa trên tệp web.config tiêu chuẩn do nhà cung cấp cung cấp có chứa các mã khóa machineKey được mã hóa cứng. Những khóa này được khung làm việc ASP.NET sử dụng để mã hóa dữ liệu. Nếu tin tặc biết được các khóa này, chúng có thể tạo ra các gói dữ liệu ViewState độc hại để buộc máy chủ thực thi mã ngoài ý muốn.

Chiến dịch tấn công tinh vi

Theo phân tích từ Google Mandiant và GTIG, chiến dịch tấn công diễn ra theo các giai đoạn sau:

Xâm nhập: Khai thác lỗ hổng deserialization để triển khai Web shell Godzilla (còn gọi là BLUEBEAM).
Leo thang: Tin tặc cấp quyền truy cập đầy đủ cho mọi người dùng ("Everyone") vào thư mục ứng dụng web để dễ dàng thay đổi hệ thống.
Tấn công người dùng: Chỉnh sửa tệp JavaScript của ứng dụng để hiển thị thông báo an ninh giả mạo, lừa người dùng cài đặt "security authentication plugin".
Kiểm soát: Trình cài đặt giả mạo thực chất là mã độc Cobalt Strike Beacon, cho phép tin tặc kiểm soát hoàn toàn máy tính của nạn nhân.

HÀNH ĐỘNG KHẨN CẤP

1. Cập nhật bản vá: Các tổ chức đang sử dụng KnowledgeDeliver cần cập nhật ngay các bản vá được phát hành sau ngày 24/02/2026.

2. Thay đổi MachineKey: Đảm bảo mỗi bản cài đặt ứng dụng sử dụng một mã khóa machineKey duy nhất và bí mật, không sử dụng cấu hình mặc định của nhà cung cấp.

3. Giám sát hệ thống: Kiểm tra nhật ký máy chủ web để tìm các tham số __VIEWSTATE bất thường và giám sát các thay đổi không xác định trong tệp tin JavaScript.

Nguồn tham khảo: The Hacker News, Google Mandiant

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo lỗ hổng Zero-day trên KnowledgeDeliver LMS bị khai thác để cài đặt Cobalt Strike