Điểm tin an ninh mạng: 59 lỗ hổng Linux, mã độc gián điệp Falcon và làn sóng tấn công mới

Tuần qua, cộng đồng an ninh mạng chứng kiến hàng loạt sự kiện đáng chú ý, từ việc phát hiện các lỗ hổng nghiêm trọng trong nhân Linux cho đến các chiến dịch gián điệp tinh vi nhắm vào chính phủ. Dưới đây là những điểm tin chính:

1. 59 lỗ hổng trong nhân Linux

Microsoft đã công bố kết quả quét các subsystem của nhân Linux, phát hiện 59 báo cáo lỗ hổng và 33 mã CVE. Đáng chú ý, có 8 lỗ hổng cho phép leo thang đặc quyền (privilege escalation) lên quyền root, bao gồm CVE-2026-64563 – một lỗi trong thư viện rhashtable ảnh hưởng cả môi trường Linux và Android.

2. Chiến dịch gián điệp Falcon qua trình duyệt

Một framework C2 (Command and Control) có tên Falcon (hay còn gọi là XG) đang được sử dụng để tấn công các cổng thông tin webmail và ứng dụng chính phủ. Bằng cách chèn mã JavaScript độc hại trực tiếp vào trang web, kẻ tấn công có thể cài đặt các tiện ích mở rộng Chrome giả mạo để đánh cắp mật khẩu, cookie phiên và dữ liệu liên lạc của nạn nhân tại khu vực Trung Đông và Đông Nam Á.

3. Sự gia tăng của GSocket trên Linux

Microsoft cảnh báo về việc sử dụng công cụ truy cập từ xa mã nguồn mở GSocket để duy trì quyền truy cập trái phép trên các server Linux. Số lượng phát hiện liên quan đến GSocket đã tăng 356% từ tháng 3 đến tháng 8/2026, chủ yếu nhắm vào các ứng dụng PHP, cPanel và Apache.

4. Ransomware Citrus và sự hỗ trợ từ AI

Nhóm ransomware mới mang tên Citrus đang nhắm vào các doanh nghiệp thông qua tài khoản nhà thầu bị chiếm đoạt. Điểm đặc biệt của nhóm này là sử dụng các script PowerShell và lệnh được tạo bởi AI để thực hiện tấn công, đồng thời xóa dấu vết log hệ thống để tránh bị phát hiện.

5. Kỹ thuật tấn công BluePhishing mới

Proofpoint đã cảnh báo về BluePhishing, một kỹ thuật lạm dụng sự đồng ý OAuth. Kẻ tấn công đánh lừa người dùng cấp quyền cho các “agent” độc hại (như Microsoft Entra Agent ID), từ đó chiếm đoạt token truy cập và hoạt động với đặc quyền của agent đó trong tenant của nạn nhân.

6. Các hoạt động đáng chú ý khác

• Europol đã triệt phá hạ tầng của các mã độc như GootLoader, CastleRAT và StealC, thu giữ 235 server và 257 tên miền.
• Các chiến dịch SEO poisoning đang mạo danh các trang web phần mềm uy tín như Chocolatey để phát tán mã độc Armorsteal.
• Microsoft đã cập nhật Windows để tăng cường bảo mật cho NTLM signing, nhằm ngăn chặn các cuộc tấn công relay (CVE-2026-118737).

Các chuyên gia khuyến cáo các tổ chức cần thắt chặt kiểm soát quyền truy cập của nhà thầu, liên tục giám sát các kết nối outbound và không nên chỉ dựa vào việc vá lỗi ứng dụng để đảm bảo an toàn hệ thống.

Nguồn tham khảo: The Hacker News