CyStack Blog

Nơi CyStack cung cấp cho bạn những tin tức, xu hướng và cảnh báo mới nhất về ngành công nghệ bảo mật và các sản phẩm, dịch vụ của chúng tôi.

Hacker sử dụng ba lỗ hổng Microsoft Office phát tán mã độc Zyklon

Trang chủ BlogHacker sử dụng ba lỗ hổng...

Hacker sử dụng ba lỗ hổng Microsoft Office phát tán mã độc Zyklon

4 phút đọc12/02/2018

Trung Nguyen

Hacker. Builder. Educator. On a mission to make the internet safer.

0 lượt xem

Các nhà nghiên cứu bảo mật đã phát hiện ra một chiến dịch phần mềm độc hại mới trong mạng máy tính, chiến dịch này phát tán một botnet độc hại tiên tiến bằng cách tận dụng ba lỗ hổng Microsoft Office phát tán mã độc Zyklon về bảo mật trong thời gian gần đây.
Được biết đến với tên Zyklon, phần mềm độc hại nhiều tính năng này đã nổi lên sau gần hai năm và mục tiêu chủ yếu chúng nhắm tới là các dịch vụ viễn thông, bảo hiểm và tài chính.
Hoạt động từ đầu năm 2016, Zyklon là một botnet HTTP độc hại, chúng liên lạc với các máy chủ điều khiển và kiểm soát qua mạng ẩn danh Tor và cho phép kẻ tấn công từ xa lấy keylog, dữ liệu nhạy cảm, như mật khẩu được lưu trữ trong các trình duyệt web và các ứng dụng email.
Zyklon Malware cũng có khả năng chạy các phần mềm bổ trợ khác, bao gồm bí mật sử dụng các hệ thống bị nhiễm độc cho các cuộc tấn công DDoS và khai thác tiền tệ kỹ thuật số.
Các phiên bản khác nhau đã được tìm thấy trước đây của phần mềm độc hại Zyklon đang được quảng cáo trên một thị trường ngầm phổ biến với giá 75 đô la (bản thường) và 125 đô la (bản được tích hợp Tor).
Theo một báo cáo mới đây của FireEye, những kẻ tấn công đằng sau chiến dịch đang sử dụng ba lỗ hổng trong Microsoft Office để thực hiện kịch bản PowerShell trên các máy tính mục tiêu để tải xuống các dữ liệu cuối cùng từ máy chủ C&C.

ba lỗ hổng của Microsoft Office — **Ba lỗ hổng của Microsoft Office**

NET Framework RCE Vulnerability (CVE-2017-8759) – lỗ hổng này xảy ra khi Microsoft .NET Framework xử lý các luồng tin không đáng tin cậy, cho phép kẻ tấn công kiểm soát được một hệ thống bị ảnh hưởng bằng cách lừa nạn nhân mở một tài liệu độc hại đặc chủng được gửi qua email. Microsoft đã phát hành một phần bảo mật bổ sung cho lỗ hổng này trong bản cập nhật tháng 9.
Microsoft Office RCE Vulnerability (CVE-2017-11882) – đó là lỗ hổng về lỗi bộ nhớ “17 năm tuổi” mà Microsoft đã sửa trong bản cập nhật sửa lỗi tháng 11, lỗ hổng này cho phép kẻ tấn công từ xa phát tán mã độc trên các hệ thống mục tiêu mà không cần bất kỳ sự tương tác nào của người dùng sau khi mở một tài liệu độc.
Giao thức trao đổi dữ liệu động (DDE Exploit) – kỹ thuật này cho phép kẻ tấn công sử dụng tính năng tích hợp của Microsoft Office, được gọi là DDE, để thực thi mã trên thiết bị đích mà không yêu cầu Macro được kích hoạt hay đánh cắp bộ nhớ.

Theo các nhà nghiên cứu giải thích, hacker đang tích cực khai thác ba lỗ hổng này để phân tán phần mềm độc hại Zyklon bằng cách sử dụng email lừa đảo giả mạo, thường đi kèm với một tệp ZIP có chứa tệp tin văn bản Office độc.
Sau khi được mở, tệp tinđộc đã được trang bị một trong những lỗ hổng này ngay lập tức chạy một tập lệnh PowerShell, dùng để tải dữ liệu cuối cùng, tức là phần mềm độc hại Zyklon HTTP, vào máy tính bị nhiễm.
“Trong tất cả các kỹ thuật này, cùng một tên miền được sử dụng để tải dữ liệu mức tiếp theo (Pause.ps1), đây là một tập lệnh PowerShell khác được mã hóa Base64“, các nhà nghiên cứu của FireEye cho biết. “Tập lệnh Pause.ps1 có trách nhiệm giải quyết các API cần thiết cho việc chèn mã. Nó cũng chứa các các đoạn mã khai thác lỗ hổng bảo mật”
“Đoạn mã khai thác lỗ hổng chịu trách nhiệm tải dữ liệu cuối cùng từ máy chủ. Tệp tải giai đoạn cuối là tệp PE được biên soạn với .Net framework“.
Thật thú vị là tập lệnh PowerShell kết nối đến một địa chỉ IP không có dấu chấm (ví dụ: http:// 3627732942) để tải dữ liệu cuối cùng.
Địa chỉ IP Dotless là gì? Nếu bạn không biết, các địa chỉ IP không có dấu chấm, đôi khi được gọi là ‘Địa chỉ thập phân’, là các giá trị thập phân của địa chỉ IPv4 (được biểu thị bằng ký hiệu chấm chấm). Hầu như tất cả các trình duyệt web hiện đại đều giải quyết địa chỉ IP thập phân sang địa chỉ IPV4 tương đương của nó khi mở “http://” theo giá trị thập phân.
Ví dụ: địa chỉ IP của Google 216.58.207.206 cũng có thể được biểu diễn dưới dạng http:// 3627732942 theo các giá trị thập phân.
Cách tốt nhất để bảo vệ bản thân và tổ chức của bạn khỏi các cuộc tấn công phần mềm độc hại như vậy là luôn luôn cảnh giác với bất kỳ tài liệu lạ nào đó được gửi qua email và không bao giờ nhấp vào liên kết bên trong các tài liệu đó trừ khi đã xác minh đầy đủ nguồn tin.
Quan trọng hơn nhất là hãy luôn cập nhật phần mềm và hệ thống của bạn, vì các tác nhân nguy hiểm được tìm thấy gần đây dù đã được vá lỗ hổng trong các phần mềm cũ như trường hợp của Microsoft Office vẫn có khả năng làm tăng khả năng lây lan thành công.

Về tác giả

Trung NguyenHacker. Builder. Educator. On a mission to make the internet safer.

Hacker. Builder. Educator. On a mission to make the internet safer.

Cập nhật thông tin mới nhấtNhận các thông tin mới nhất về mối đe dọa, báo cáo an ninh mạng từ CyStack về hòm thư điện tử của bạn

Thảo luận (0)

Đăng nhập để thảo luận

Bài viết liên quan

{"success":true,"head":"<title>Hacker sử dụng ba lỗ hổng Microsoft Office phát tán mã độc Zyklon</title>\n<meta name=\"description\" content=\"Các nhà nghiên cứu bảo mật đã phát hiện ra một chiến dịch phần mềm độc hại mới trong mạng máy tính, chiến dịch này phát tán một botnet độc hại tiên tiến bằng cách tận dụng ba lỗ hổng Microsoft Office phát tán mã độc Zyklon gần đây.\"/>\n<meta name=\"robots\" content=\"nofollow, noindex\"/>\n<meta property=\"og:locale\" content=\"en_US\" />\n<meta property=\"og:type\" content=\"article\" />\n<meta property=\"og:title\" content=\"Hacker sử dụng ba lỗ hổng Microsoft Office phát tán mã độc Zyklon\" />\n<meta property=\"og:description\" content=\"Các nhà nghiên cứu bảo mật đã phát hiện ra một chiến dịch phần mềm độc hại mới trong mạng máy tính, chiến dịch này phát tán một botnet độc hại tiên tiến bằng cách tận dụng ba lỗ hổng Microsoft Office phát tán mã độc Zyklon gần đây.\" />\n<meta property=\"og:url\" content=\"https://blog.cystack.org/vi/blog/2018/02/12/hacker-su-dung-ba-lo-hong-cua-microsoft-office-phat-tan-ma-doc-zyklon/\" />\n<meta property=\"og:site_name\" content=\"CyStack Blog\" />\n<meta property=\"article:author\" content=\"CEO@CyStack\" />\n<meta property=\"article:tag\" content=\"ba lỗ hổng microsoft office\" />\n<meta property=\"article:tag\" content=\"DDE Exploit\" />\n<meta property=\"article:tag\" content=\"lỗ hổng office\" />\n<meta property=\"article:tag\" content=\"Office độc\" />\n<meta property=\"article:tag\" content=\"RCE Vulneribility\" />\n<meta property=\"article:tag\" content=\"vi\" />\n<meta property=\"article:tag\" content=\"Zyklon\" />\n<meta property=\"article:tag\" content=\"Zyklon Malware\" />\n<meta property=\"article:section\" content=\"An toàn vận hành\" />\n<meta property=\"og:updated_time\" content=\"2026-06-23T20:09:36+07:00\" />\n<meta property=\"og:image\" content=\"https://s.cystack.net/resource/home/content/05143836/anh1.png\" />\n<meta property=\"og:image:secure_url\" content=\"https://s.cystack.net/resource/home/content/05143836/anh1.png\" />\n<meta property=\"og:image:width\" content=\"728\" />\n<meta property=\"og:image:height\" content=\"380\" />\n<meta property=\"og:image:alt\" content=\"Microsoft Office phát tán mã độc Zyklon\" />\n<meta property=\"og:image:type\" content=\"image/png\" />\n<meta property=\"article:published_time\" content=\"2018-02-12T10:48:00+07:00\" />\n<meta property=\"article:modified_time\" content=\"2026-06-23T20:09:36+07:00\" />\n<meta name=\"twitter:card\" content=\"summary_large_image\" />\n<meta name=\"twitter:title\" content=\"Hacker sử dụng ba lỗ hổng Microsoft Office phát tán mã độc Zyklon\" />\n<meta name=\"twitter:description\" content=\"Các nhà nghiên cứu bảo mật đã phát hiện ra một chiến dịch phần mềm độc hại mới trong mạng máy tính, chiến dịch này phát tán một botnet độc hại tiên tiến bằng cách tận dụng ba lỗ hổng Microsoft Office phát tán mã độc Zyklon gần đây.\" />\n<meta name=\"twitter:image\" content=\"https://s.cystack.net/resource/home/content/05143836/anh1.png\" />\n<meta name=\"twitter:label1\" content=\"Written by\" />\n<meta name=\"twitter:data1\" content=\"Trung Nguyen\" />\n<meta name=\"twitter:label2\" content=\"Time to read\" />\n<meta name=\"twitter:data2\" content=\"4 minutes\" />\n<script type=\"application/ld+json\" class=\"rank-math-schema\">{\"@context\":\"https://schema.org\",\"@graph\":[{\"@type\":\"Organization\",\"@id\":\"https://blog.cystack.org/#organization\",\"name\":\"CyStack\",\"url\":\"https://blog.cystack.org\"},{\"@type\":\"WebSite\",\"@id\":\"https://blog.cystack.org/#website\",\"url\":\"https://blog.cystack.org\",\"name\":\"CyStack\",\"publisher\":{\"@id\":\"https://blog.cystack.org/#organization\"},\"inLanguage\":\"en-US\"},{\"@type\":\"ImageObject\",\"@id\":\"https://s.cystack.net/resource/home/content/05143836/anh1.png\",\"url\":\"https://s.cystack.net/resource/home/content/05143836/anh1.png\",\"width\":\"728\",\"height\":\"380\",\"inLanguage\":\"en-US\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https://blog.cystack.org/vi/blog/2018/02/12/hacker-su-dung-ba-lo-hong-cua-microsoft-office-phat-tan-ma-doc-zyklon/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":\"1\",\"item\":{\"@id\":\"https://blog.cystack.org\",\"name\":\"Home\"}},{\"@type\":\"ListItem\",\"position\":\"2\",\"item\":{\"@id\":\"https://blog.cystack.org/vi/blog/2018/02/12/hacker-su-dung-ba-lo-hong-cua-microsoft-office-phat-tan-ma-doc-zyklon/\",\"name\":\"Hacker s\\u1eed d\\u1ee5ng ba l\\u1ed7 h\\u1ed5ng Microsoft Office ph\\u00e1t t\\u00e1n m\\u00e3 \\u0111\\u1ed9c Zyklon\"}}]},{\"@type\":\"WebPage\",\"@id\":\"https://blog.cystack.org/vi/blog/2018/02/12/hacker-su-dung-ba-lo-hong-cua-microsoft-office-phat-tan-ma-doc-zyklon/#webpage\",\"url\":\"https://blog.cystack.org/vi/blog/2018/02/12/hacker-su-dung-ba-lo-hong-cua-microsoft-office-phat-tan-ma-doc-zyklon/\",\"name\":\"Hacker s\\u1eed d\\u1ee5ng ba l\\u1ed7 h\\u1ed5ng Microsoft Office ph\\u00e1t t\\u00e1n m\\u00e3 \\u0111\\u1ed9c Zyklon\",\"datePublished\":\"2018-02-12T10:48:00+07:00\",\"dateModified\":\"2026-06-23T20:09:36+07:00\",\"isPartOf\":{\"@id\":\"https://blog.cystack.org/#website\"},\"primaryImageOfPage\":{\"@id\":\"https://s.cystack.net/resource/home/content/05143836/anh1.png\"},\"inLanguage\":\"en-US\",\"breadcrumb\":{\"@id\":\"https://blog.cystack.org/vi/blog/2018/02/12/hacker-su-dung-ba-lo-hong-cua-microsoft-office-phat-tan-ma-doc-zyklon/#breadcrumb\"}},{\"@type\":\"Person\",\"@id\":\"https://blog.cystack.org/author/trungnh/\",\"name\":\"Trung Nguyen\",\"url\":\"https://blog.cystack.org/author/trungnh/\",\"image\":{\"@type\":\"ImageObject\",\"@id\":\"https://secure.gravatar.com/avatar/5e1e19d9b81295eeafdbc4175f18cc5b99a688411b0b5a2189c63881dff568b1?s=96&d=mm&r=g\",\"url\":\"https://secure.gravatar.com/avatar/5e1e19d9b81295eeafdbc4175f18cc5b99a688411b0b5a2189c63881dff568b1?s=96&d=mm&r=g\",\"caption\":\"Trung Nguyen\",\"inLanguage\":\"en-US\"},\"sameAs\":[\"CEO@CyStack\"],\"worksFor\":{\"@id\":\"https://blog.cystack.org/#organization\"}},{\"@type\":\"BlogPosting\",\"headline\":\"Hacker s\\u1eed d\\u1ee5ng ba l\\u1ed7 h\\u1ed5ng Microsoft Office ph\\u00e1t t\\u00e1n m\\u00e3 \\u0111\\u1ed9c Zyklon\",\"keywords\":\"Microsoft Office ph\\u00e1t t\\u00e1n m\\u00e3 \\u0111\\u1ed9c Zyklon\",\"datePublished\":\"2018-02-12T10:48:00+07:00\",\"dateModified\":\"2026-06-23T20:09:36+07:00\",\"author\":{\"@id\":\"https://blog.cystack.org/author/trungnh/\",\"name\":\"Trung Nguyen\"},\"publisher\":{\"@id\":\"https://blog.cystack.org/#organization\"},\"description\":\"C\\u00e1c nh\\u00e0 nghi\\u00ean c\\u1ee9u b\\u1ea3o m\\u1eadt \\u0111\\u00e3 ph\\u00e1t hi\\u1ec7n ra m\\u1ed9t chi\\u1ebfn d\\u1ecbch ph\\u1ea7n m\\u1ec1m \\u0111\\u1ed9c h\\u1ea1i m\\u1edbi trong m\\u1ea1ng m\\u00e1y t\\u00ednh, chi\\u1ebfn d\\u1ecbch n\\u00e0y ph\\u00e1t t\\u00e1n m\\u1ed9t botnet \\u0111\\u1ed9c h\\u1ea1i ti\\u00ean ti\\u1ebfn b\\u1eb1ng c\\u00e1ch t\\u1eadn d\\u1ee5ng ba l\\u1ed7 h\\u1ed5ng Microsoft Office ph\\u00e1t t\\u00e1n m\\u00e3 \\u0111\\u1ed9c Zyklon g\\u1ea7n \\u0111\\u00e2y.\",\"name\":\"Hacker s\\u1eed d\\u1ee5ng ba l\\u1ed7 h\\u1ed5ng Microsoft Office ph\\u00e1t t\\u00e1n m\\u00e3 \\u0111\\u1ed9c Zyklon\",\"@id\":\"https://blog.cystack.org/vi/blog/2018/02/12/hacker-su-dung-ba-lo-hong-cua-microsoft-office-phat-tan-ma-doc-zyklon/#richSnippet\",\"isPartOf\":{\"@id\":\"https://blog.cystack.org/vi/blog/2018/02/12/hacker-su-dung-ba-lo-hong-cua-microsoft-office-phat-tan-ma-doc-zyklon/#webpage\"},\"image\":{\"@id\":\"https://s.cystack.net/resource/home/content/05143836/anh1.png\"},\"inLanguage\":\"en-US\",\"mainEntityOfPage\":{\"@id\":\"https://blog.cystack.org/vi/blog/2018/02/12/hacker-su-dung-ba-lo-hong-cua-microsoft-office-phat-tan-ma-doc-zyklon/#webpage\"}}]}</script>\n"}

NET Framework RCE Vulnerability (CVE-2017-8759) – lỗ hổng này xảy ra khi Microsoft .NET Framework xử lý các luồng tin không đáng tin cậy, cho phép kẻ tấn công kiểm soát được một hệ thống bị ảnh hưởng bằng cách lừa nạn nhân mở một tài liệu độc hại đặc chủng được gửi qua email. Microsoft đã phát hành một phần bảo mật bổ sung cho lỗ hổng này trong bản cập nhật tháng 9.
Microsoft Office RCE Vulnerability (CVE-2017-11882) – đó là lỗ hổng về lỗi bộ nhớ “17 năm tuổi” mà Microsoft đã sửa trong bản cập nhật sửa lỗi tháng 11, lỗ hổng này cho phép kẻ tấn công từ xa phát tán mã độc trên các hệ thống mục tiêu mà không cần bất kỳ sự tương tác nào của người dùng sau khi mở một tài liệu độc.
Giao thức trao đổi dữ liệu động (DDE Exploit) – kỹ thuật này cho phép kẻ tấn công sử dụng tính năng tích hợp của Microsoft Office, được gọi là DDE, để thực thi mã trên thiết bị đích mà không yêu cầu Macro được kích hoạt hay đánh cắp bộ nhớ.