Tấn công chuỗi cung ứng

Cảnh báo: Các gói Laravel-Lang PHP bị tấn công chuỗi cung ứng để cài mã độc đánh cắp tài khoản

Các chuyên gia an ninh mạng vừa phát hiện một chiến dịch tấn công chuỗi cung ứng quy mô lớn nhắm vào các gói PHP của Laravel-Lang. Tin tặc đã chiếm quyền kiểm soát hạ tầng phát hành để chèn mã độc đánh cắp thông tin (credential stealer) đa nền tảng vào hơn 700 phiên bản được đẩy lên trong thời gian ngắn.

Danh sách các gói thư viện bị ảnh hưởng

laravel-lang/lang

laravel-lang/http-statuses

laravel-lang/attributes

laravel-lang/actions

Cơ chế lây nhiễm tinh vi

Mã độc được chèn trực tiếp vào tệp src/helpers.php. Vì tệp này được đăng ký tự động thực thi thông qua composer.json, mã độc sẽ chạy trên mọi yêu cầu PHP xử lý bởi ứng dụng bị nhiễm.

Kẻ tấn công sử dụng các kỹ thuật sau để duy trì sự hiện diện:

Vượt rào mã hóa: Sử dụng tệp thực thi Windows để vượt qua cơ chế bảo vệ App-Bound Encryption (ABE) của Chrome/Chromium.
Đa nền tảng: Thực thi mã độc thông qua Visual Basic Script trên Windows và lệnh exec() trên Linux/macOS.
Tự xóa dấu vết: Sau khi thu thập dữ liệu và gửi về máy chủ điều khiển (C2), mã độc sẽ tự xóa mình khỏi ổ đĩa để tránh bị phát hiện bởi các công cụ điều tra số.

Dữ liệu mục tiêu bị đánh cắp

Hạ tầng Cloud & DevOps: AWS IAM roles, Azure tokens, Google Cloud credentials, Kubernetes Service Accounts, và các token từ GitHub, GitLab, Jenkins.

Tài chính & Crypto: Seed phrases và file cấu hình ví điện tử như MetaMask, Ledger Live, Trezor, Exodus, Atomic.

Thông tin hệ thống: SSH private keys, file cấu hình .env, mật khẩu cơ sở dữ liệu, lịch sử shell và các cấu hình VPN (NordVPN, OpenVPN).

Dữ liệu cá nhân: Cookies, mật khẩu trình duyệt, phiên đăng nhập Slack, Discord, Telegram và dữ liệu Outlook/Thunderbird.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO DEVELOPER

Kiểm tra phiên bản: Rà soát lịch sử cập nhật gói Laravel-Lang trong tệp composer.lock, đặc biệt là các bản cập nhật vào ngày 22-23/05/2026.
Cách ly hệ thống: Ngay lập tức ngắt kết nối các máy chủ bị nghi nhiễm và kiểm tra các kết nối ra ngoài đến tên miền flipboxstudio[.]info.
Thu hồi tài khoản: Thực hiện thay đổi toàn bộ mật khẩu, thu hồi tất cả các API Token, Access Key đã được lưu trữ trong môi trường phát triển.
Rà quét malware: Sử dụng các công cụ EDR chuyên sâu để tìm kiếm dấu vết của mã độc trong tệp helpers.php và các tệp thực thi lạ.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS