Nhóm hacker liên quan Trung Quốc khai thác lỗ hổng PHP2Shell để chiếm quyền root trên tường lửa

Trung tâm nghiên cứu an ninh mạng Dream vừa công bố báo cáo cho thấy một nhóm tấn công có liên hệ với Trung Quốc đã lợi dụng các lỗ hổng PHP2Shell để chiếm quyền root trên tường lửa, sau đó cài webshell nhằm duy trì khả năng truy cập lâu dài vào hệ thống.

Minh họa về các cuộc tấn công mạng có liên hệ Trung Quốc

Chuỗi khai thác nhiều tầng: PHP2Shell kết hợp Fragnesia

Theo Dream, các tin tặc đã kết hợp khai thác hai lỗ hổng PHP, được gán mã CVE-2026-109618 và CVE-2026-109619, cùng với một lỗ hổng leo thang đặc quyền trong nhân Linux có tên Fragnesia, gán mã CVE-2026-46300.

Việc kết hợp nhiều lỗ hổng cho phép nhóm tấn công vượt qua các lớp phòng vệ và leo lên quyền root – mức đặc quyền cao nhất trên hệ thống – để từ đó kiểm soát hoàn toàn thiết bị tường lửa.

Dùng công cụ tìm kiếm FOFA để "điểm danh" mục tiêu

Trong chiến dịch được quan sát, tin tặc sử dụng FOFA – công cụ tìm kiếm tài sản internet của Trung Quốc – để xác định khoảng 19.000 tường lửa của một nhà cung cấp cụ thể đang phơi mình trên internet. Sau đó, chúng tiến hành khai thác 25 thiết bị trong hai ngày 23 và 24/10.

Quy trình lọc mục tiêu diễn ra khá có chủ đích:

• Đầu tiên, lọc các máy chủ đặt tại Mỹ, Nhật Bản, Đài Loan và Hàn Quốc.
• Tiếp theo, chọn những thiết bị chạy phiên bản PHP mới, thu về nhóm 240 mục tiêu tiềm năng.
• Sau đó, dùng công cụ tự động tấn công bằng toàn bộ chuỗi khai thác PHP2Shell-Fragnesia, cài webshell root PHP trên 24 thiết bị.

Hai máy chủ của tổ chức liên quan chính phủ Mỹ bị xâm nhập sâu

Dù 22 trong số 24 tường lửa bị cài webshell nhưng chưa ghi nhận hoạt động khai thác tiếp theo, nhóm tin tặc đã tiến xa hơn trên hai máy chủ thuộc một môi trường có liên quan đến chính phủ Mỹ.

Máy chủ đầu tiên bị chiếm quyền root bị sập ngay sau khi bị khai thác vào ngày 23/10. Đáng chú ý, kẻ tấn công đã theo dõi thiết bị này bằng 240 đầu dò tự động trong suốt hai giờ, chờ hệ thống phục hồi nhưng bất thành. Máy chủ thứ hai – có dữ liệu chứng chỉ xác nhận rõ ràng thuộc tổ chức mục tiêu – đã bị quá thời gian trong đợt tấn công ban đầu, nên nhóm này mở đợt tấn công thứ hai vào ngày 24/10 và lần này đã thành công.

Minh họa về một sự cố an ninh mạng

Từ tường lửa đến máy chủ quản lý nội bộ

Để duy trì truy cập, tin tặc triển khai một đường hầm SSH ngược (reverse SSH tunnel), rồi dùng nó để nhắm vào máy chủ quản lý tường lửa nội bộ bằng chuỗi khai thác PHP2Shell-Fragnesia. Bước đi này cho phép chúng tiếp cận cấu hình, thông tin đăng nhập và thiết lập của toàn bộ tường lửa mà tổ chức đang quản lý.

Từ máy chủ quản lý, nhóm tấn công tiếp tục:

• Truy cập và giải mã mật khẩu tài khoản dịch vụ LDAP.
• Liệt kê người dùng và nhóm trong miền.
• Thực hiện tấn công password spraying (thử mật khẩu phổ biến trên nhiều tài khoản).
• Tìm cách tạo tài khoản backdoor trong Active Directory.

Chưa quy kết cụ thể, nhưng nghi ngờ có bàn tay nhà nước

Dream chưa quy kết chiến dịch này cho một nhóm tấn công cụ thể, song đánh giá đây nhiều khả năng là hoạt động thuộc mạng lưới có liên hệ Trung Quốc.

"Vì Mỹ, Nhật Bản, Đài Loan và Hàn Quốc là bốn đối thủ chiến lược và mục tiêu tình báo chính của các chiến dịch mạng gắn với nhà nước Trung Quốc trong khu vực Thái Bình Dương, điều này cho thấy khả năng có sự tham gia của các đối thủ cấp quốc gia", báo cáo của Dream nhận định.

Biểu tượng an ninh mạng

Ý nghĩa với doanh nghiệp và tổ chức tại Việt Nam

Sự việc là lời cảnh báo rõ ràng cho các tổ chức, doanh nghiệp Việt Nam đang vận hành tường lửa và hạ tầng mạng phơi ra internet. Một số khuyến nghị đáng lưu ý:

• Cập nhật bản vá cho các lỗ hổng PHP và nhân Linux càng sớm càng tốt, đặc biệt với thiết bị biên (edge device) như tường lửa, VPN, gateway.
• Hạn chế phơi bày giao diện quản trị của tường lửa ra internet; nếu buộc phải mở, hãy dùng VPN hoặc lớp xác thực mạnh.
• Giám sát đường hầm SSH ngược và các kết nối bất thường từ thiết bị biên vào mạng nội bộ.
• Rà soát tài khoản dịch vụ LDAP và mật khẩu của chúng, đồng thời theo dõi các nỗ lực password spraying và tạo tài khoản lạ trong Active Directory.

Việc tin tặc dùng công cụ tìm kiếm tài sản internet để lập danh sách mục tiêu cho thấy kẻ tấn công đang ngày càng tự động hóa khâu trinh sát. Điều này khiến những thiết bị lộ diện công khai trở thành mục tiêu dễ dàng nếu không được vá và cấu hình đúng cách.