Con voi còi✔
Writer
Trước đây, khi nghĩ đến chuyện điện thoại bị hack, mình thường nghĩ ngay đến những tình huống quen thuộc như bấm vào một đường link lạ, mở một file đáng ngờ hay cài nhầm một ứng dụng chứa mã độc. Nhưng một nghiên cứu mới về WeChat cho thấy hacker có thể không cần người dùng làm bất cứ điều gì như vậy. Thậm chí, nạn nhân không trả lời cuộc gọi cũng không ngăn được cuộc tấn công.
Theo báo cáo từ New York Times, một nhóm các nhà nghiên cứu tại Calif, công ty khởi nghiệp an ninh mạng có trụ sở tại Palo Alto, California, đã phát triển một công cụ có tên WeWorm, có khả năng khai thác các lỗ hổng thực thi mã từ xa trong WeChat thông qua một cuộc gọi đến. Nhóm nghiên cứu gọi đây là loại sâu máy tính không cần nhấp đầu tiên có thể lây lan qua các cuộc gọi WeChat trên cả iOS và Android.
Điểm đáng chú ý nằm ở chỗ nạn nhân không cần trả lời cuộc gọi hay tương tác với điện thoại. Theo các nhà nghiên cứu, ngay cả khi nạn nhân trả lời, họ cũng không nghe thấy gì và cuộc tấn công vẫn có thể thành công. Từ chối cuộc gọi có thể ngăn chặn nỗ lực tấn công tại thời điểm đó, nhưng kẻ tấn công có thể thử lại sau.
Vậy một cuộc gọi làm được chuyện này bằng cách nào? Các nhà nghiên cứu phát hiện một lỗi hỏng bộ nhớ trong thành phần VoIP của WeChat. Lỗi này có thể cho phép kẻ tấn công thực thi mã từ xa. Nói cách khác, vấn đề không nằm ở việc người dùng có nghe cuộc gọi hay không, mà nằm ở cách WeChat tự động xử lý dữ liệu trong quá trình nhận và thiết lập cuộc gọi.
Các nhà nghiên cứu phát hiện lỗ hổng vào tháng 7 bằng cách sử dụng kết hợp nhiều mô hình ngôn ngữ lớn, gồm cả các mô hình mã nguồn mở và mô hình mã nguồn đóng từ các phòng thí nghiệm AI hàng đầu của Mỹ. Họ không tiết lộ cụ thể những mô hình nào đã được sử dụng cũng như không công bố chi tiết kỹ thuật về lỗ hổng.
Sau khi báo cáo lỗi cho Tencent, công ty đứng sau WeChat, nhóm nghiên cứu cho biết tài khoản WeChat của họ ban đầu bị cấm. Sau đó, Tencent xác nhận lỗ hổng có thể cho phép thực thi lệnh từ xa và phát hành các phiên bản WeChat đã được vá lỗi, gồm Android 8.0.77 và iOS 8.0.76.
Điều đáng chú ý tiếp theo là tốc độ phát triển công cụ khai thác. Theo nhóm nghiên cứu, họ chỉ mất hai ngày để phát triển các công cụ khai thác lỗ hổng WeChat, sau đó mất thêm khoảng một tuần để hoàn thiện WeWorm.
WeWorm có thể cho phép kẻ tấn công kiểm soát hoàn toàn tài khoản WeChat mục tiêu, đọc và gửi tin nhắn, thực hiện cuộc gọi và hành động thay mặt nạn nhân. Lỗ hổng yêu cầu kẻ tấn công phải có tên trong danh sách bạn bè của nạn nhân, nhưng các nhà nghiên cứu cho rằng đây không phải rào cản quá lớn. Một tài khoản WeChat của người quen bị chiếm trước có thể được sử dụng để tiếp tục tiếp cận những người khác.
Đáng lo hơn, các nhà nghiên cứu cho biết khi kết hợp lỗ hổng này với những lỗi khác trên Android và iOS, WeWorm có thể dẫn tới việc kiểm soát hoàn toàn thiết bị.
Điều khiến mình chú ý nhất trong câu chuyện này không chỉ là một lỗ hổng của WeChat, mà là cách AI đang thay đổi tốc độ nghiên cứu và phát triển công cụ tấn công. Nhóm nghiên cứu cho rằng trước đây, việc nghiên cứu một loại sâu máy tính ở quy mô như vậy thường cần một đội ngũ lớn và mất nhiều tháng. Trong trường hợp này, AI đã có thể thực hiện phần lớn công việc, còn con người chủ yếu đưa ra quyết định về mục tiêu và cách thử nghiệm an toàn.
Nếu trước đây lời khuyên quen thuộc là đừng bấm vào link lạ, đừng mở file đáng ngờ thì những cuộc tấn công kiểu zero-click cho thấy người dùng đôi khi thậm chí không có cơ hội thực hiện một thao tác sai. Chỉ riêng việc ứng dụng tự động xử lý dữ liệu nhận được cũng có thể trở thành điểm yếu nếu bên trong tồn tại lỗ hổng.
Với người dùng WeChat, điều quan trọng nhất lúc này là cập nhật ứng dụng lên phiên bản đã được vá lỗi. Còn ở góc độ rộng hơn, WeWorm cho thấy cuộc chiến an ninh mạng đang thay đổi: khi AI có thể giúp tìm lỗ hổng và phát triển công cụ khai thác nhanh hơn, khoảng cách từ một lỗ hổng được phát hiện đến một công cụ có khả năng khai thác nó có thể ngày càng ngắn.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
