CẢNH BÁO LỖ HỔNG NGHIÊM TRỌNG

Lỗ hổng KnowledgeDeliver LMS bị khai thác để triển khai Godzilla và Cobalt Strike

Một lỗ hổng bảo mật mức độ nghiêm trọng cao ảnh hưởng đến KnowledgeDeliver, hệ thống quản lý học tập (LMS) phổ biến tại Nhật Bản, đã bị khai thác dưới dạng zero-day để phát tán web shell Godzilla và triển khai mã độc Cobalt Strike Beacon.

Cơ chế khai thác ViewState Deserialization

Lỗ hổng được theo dõi với mã định danh CVE-2026-5426 (điểm CVSS: 7.5), xuất phát từ việc sử dụng các ASP.NET machine keys được mã hóa cứng (hard-coded). Điều này cho phép kẻ tấn công không cần xác thực có thể thực thi mã từ xa (RCE) thông qua một cuộc tấn công giải tuần tự hóa ViewState.

Mã lỗ hổng: CVE-2026-5426

Loại tấn công: Deserialization

Mức độ ưu tiên: Khẩn cấp

Phạm vi: Toàn cầu (đặc biệt là Nhật Bản)

Quy trình tấn công và triển khai mã độc

Dưới đây là các bước mà nhóm Mandiant của Google đã ghi nhận trong các chiến dịch tấn công thực tế:

Bước 1: Kẻ tấn công sử dụng các machine keys công khai để tạo ra payload ViewState độc hại, buộc máy chủ giải tuần tự hóa và thực thi mã.
Bước 2: Triển khai web shell Godzilla (hay còn gọi là BLUEBEAM) để chiếm quyền điều khiển hệ thống tệp và thực thi lệnh.
Bước 3: Chỉnh sửa các tệp JavaScript hợp pháp của ứng dụng để hiển thị cảnh báo bảo mật giả, lừa người dùng tải về bộ cài đặt chứa Cobalt Strike Beacon.

Nguy cơ từ các bí mật dùng chung (Shared Secrets)

Vấn đề cốt lõi nằm ở việc các bản cài đặt KnowledgeDeliver dựa trên tệp web.config tiêu chuẩn do nhà cung cấp cung cấp, chứa các giá trị machineKey giống nhau cho mọi khách hàng. Khi một khóa bị lộ, toàn bộ hệ sinh thái các bản cài đặt KnowledgeDeliver đối mặt với internet đều có thể bị xâm nhập.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP

Cập nhật bản vá: Nâng cấp lên phiên bản KnowledgeDeliver mới nhất đã được vá lỗi từ ngày 24/02/2026.
Thay đổi MachineKey: Đảm bảo mỗi bản cài đặt ASP.NET sử dụng một khóa machineKey duy nhất và mạnh, không sử dụng cấu hình mặc định.
Giám sát hệ thống: Kiểm tra các tệp .js và thư mục web để phát hiện các đoạn mã lạ hoặc quyền truy cập "Everyone" bất thường.
Rà soát Endpoint: Sử dụng các giải pháp EDR/MDR để phát hiện sự hiện diện của Cobalt Strike và Godzilla web shell.

Nguồn tham khảo: The Hacker News, Google Mandiant

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Lỗ hổng KnowledgeDeliver LMS bị khai thác để triển khai mã độc Godzilla và Cobalt Strike