Mật khẩu và khóa khôi phục trong tầm ngắm
Mật khẩu quản trị viên và khóa khôi phục BitLocker nằm trong số những thứ UTA0576 tìm kiếm khi khai thác Ivanti Connect Secure. Theo The Hacker News, tác nhân này được quan sát lấy thông tin xác thực và một phần siêu dữ liệu Active Directory, do thám máy chủ, đồng thời tìm kiếm các dữ liệu quản trị nói trên.
Chi tiết đó đáng để đội ứng cứu chú ý: tìm kiếm khóa khôi phục không đồng nghĩa với đã lấy được khóa. Tuy nhiên, hoạt động được ghi nhận cho thấy phạm vi điều tra cần bao gồm thông tin xác thực và dữ liệu quản trị mà kẻ tấn công có thể tiếp cận.
Theo nhận định của TMGS, nếu việc kiểm tra chỉ xoay quanh sự hiện diện của mã độc, doanh nghiệp có thể bỏ sót một câu hỏi quan trọng hơn: tài khoản nào có nguy cơ bị lộ, và tài khoản ấy còn mở được những cánh cửa nào trong hệ thống?
Đọc điều kiện khai thác trong cả chuỗi
CISA đã bổ sung hai lỗ hổng ảnh hưởng Ivanti Connect Secure vào danh mục Known Exploited Vulnerabilities, gọi tắt là KEV, sau khi ghi nhận khai thác thực tế. Một trong số đó là CVE-2026-111357, có điểm CVSS 8.8. Lỗi thiếu xác thực cho một chức năng quan trọng này có thể cho phép kẻ tấn công cục bộ đã xác thực nâng quyền.
Điều kiện “cục bộ đã xác thực” cần được giữ nguyên khi đánh giá riêng lỗ hổng. Ở cấp độ chuỗi tấn công, Volexity ghi nhận các lỗi được kết hợp với lỗ hổng vượt qua xác thực CVE-2026-104935, do UTA0576 sử dụng. Vì vậy, theo TMGS, đội bảo mật cần đánh giá cả mối liên hệ giữa các bước khai thác, thay vì chỉ dựa vào điều kiện của từng lỗi để quyết định mức ưu tiên.
Theo nguồn tin, bản phát hành mới nhất của Ivanti xử lý toàn bộ các lỗ hổng đã bị kết hợp và khai thác thực tế. Đây là cơ sở để triển khai khắc phục, đồng thời tiếp tục xác định liệu hệ thống đã chịu tác động trước khi cập nhật hay chưa.
Mở rộng phạm vi xử lý sang danh tính
TMGS khuyến nghị doanh nghiệp tổ chức công việc theo ba hướng liên quan trực tiếp đến những hành vi đã được ghi nhận:
- Vá và xác minh: triển khai bản phát hành khắc phục theo hướng dẫn của nhà cung cấp, kiểm tra kết quả cập nhật trên từng thiết bị trong phạm vi quản lý.
- Rà soát dấu vết truy cập: bảo toàn nhật ký còn lưu giữ, đối chiếu hoạt động trên thiết bị với nhật ký xác thực và hoạt động quản trị trong môi trường liên quan.
- Xử lý thông tin có nguy cơ lộ: xác định tài khoản và bí mật có thể bị tiếp cận; đổi thông tin xác thực, thu hồi phiên truy cập theo phạm vi điều tra. Với khóa khôi phục BitLocker, kiểm tra quyền truy cập và thực hiện thay khóa theo quy trình quản trị nếu xác định có nguy cơ lộ.
Với doanh nghiệp Việt Nam có đội vận hành thuê ngoài, TMGS đề xuất đưa cả tài khoản của nhà thầu vào phạm vi rà soát khi các tài khoản đó có quyền quản trị hệ thống liên quan. Người phụ trách cần xác định rõ bên nào giữ nhật ký, bên nào được đổi mật khẩu và bên nào chịu trách nhiệm thu hồi quyền truy cập. Sự phân chia này nên được làm rõ ngay khi xử lý sự cố.
Theo TMGS, tiêu chí hoàn tất xử lý nên bao gồm cả tình trạng bản vá và kết quả đánh giá nguy cơ lộ thông tin xác thực. Nếu bằng chứng còn thiếu, hồ sơ sự cố cần ghi rõ giới hạn ấy, thay vì coi việc cập nhật thành công là bằng chứng rằng mọi quyền truy cập đều an toàn.
Nguồn tham khảo
The Hacker News: Chuỗi khai thác Ivanti Connect Secure và các lỗ hổng được đưa vào KEV