CISA cảnh báo tin tặc đang khai thác lỗ hổng Apple đã vá để phát tán mã độc

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa cập nhật danh mục các lỗ hổng bị khai thác thực tế (Known Exploited Vulnerabilities – KEV) bằng cách thêm vào lỗ hổng CVE-2024-27834. Đây là một lỗ hổng bảo mật có mức độ nghiêm trọng trung bình, ảnh hưởng đến nhiều hệ điều hành của Apple.

CVE-2024-27834 (điểm CVSS: 5.5) là một lỗi xác thực không đúng cách, cho phép kẻ tấn công có quyền đọc và ghi tùy ý có thể bypass cơ chế Pointer Authentication. Lỗ hổng này từng được trình diễn như một zero-day tại cuộc thi hack Pwn2Own Vancouver vào tháng 3/2024. Apple đã phát hành bản patch để khắc phục vấn đề này từ tháng 5/2024 trên các phiên bản iOS, iPadOS, macOS, tvOS, watchOS và Safari tương ứng.

Theo báo cáo từ Sekoia, các nhóm tin tặc, được cho là có liên hệ với Nga, đã lợi dụng lỗ hổng này cùng với các lỗ hổng đã được vá trước đó trong Safari và Google Chrome để phát tán mã độc. Mục tiêu của mã độc là thu thập dữ liệu thiết bị và trình duyệt của người dùng. Hoạt động này được cho là có liên quan đến nhóm APT29 (còn gọi là Cozy Bear hoặc Midnight Blizzard), một nhóm tấn công được nhà nước bảo trợ.

Quy trình tấn công sử dụng chuỗi exploit tinh vi, kết hợp giữa lỗ hổng thực thi mã từ xa (RCE) trong WebKit và lỗi bypass Pointer Authentication để thực thi các payload JavaScript độc hại. Các con đường xâm nhập ban đầu bao gồm việc sử dụng các trang web bị chiếm quyền điều khiển, các trang web giả mạo hoặc thông qua các cuộc tấn công chuỗi cung ứng (supply chain attack) nhắm vào Plerdy SEO Tracker.

Trước tình trạng lỗ hổng đang bị khai thác tích cực, CISA yêu cầu các cơ quan thuộc nhánh hành pháp dân sự liên bang (FCEB) tại Hoa Kỳ phải hoàn tất việc áp dụng các bản vá bảo mật cần thiết trước ngày 18 tháng 11 năm 2026.

Nguồn tham khảo: The Hacker News