Công cụ exploit mua bán trên web đen nhắm vào lỗ hổng zero-day chưa được khắc phục

Trong khoảng thời gian từ tháng 1/2023 đến tháng 9/2024, các chuyên gia của Kaspersky Digital Footprint Intelligence đã phát hiện 547 tin đăng quảng cáo mua bán công cụ exploit. Những mẩu tin quảng cáo được đăng trên nhiều diễn đàn web đen và các kênh ẩn danh trên ứng dụng Telegram. Khoảng một nửa số tin rao bán này nhắm đến lỗ hổng zero-day và lỗ hổng one-day. Kaspersky cũng ghi nhận mức giá trung bình mua bán exploit cho các cuộc tấn công từ xa lên tới 100.000 đô la.

Exploit là công cụ mà tội phạm mạng sử dụng để khai thác lỗ hổng phần mềm, ví dụ như phần mềm của Microsoft, nhằm thực hiện các hành vi bất hợp pháp như truy cập trái phép hoặc đánh cắp dữ liệu. Hơn một nửa các bài đăng trên web đen (51%) đều rao bán hoặc tìm mua exploit nhắm vào lỗ hổng zero-day hoặc lỗ hổng one-day. Zero-day exploit nhắm vào các lỗ hổng chưa được nhà cung cấp phần mềm phát hiện và khắc phục, trong khi one-day exploit nhắm vào lỗ hổng đã được phát hiện và khắc phục, nhưng hệ thống chưa cài đặt bản cập nhật vá lỗi.

Thống kê số lượng tin đăng mua bán exploit giai đoạn 2023-2024 (Nguồn: Kaspersky Digital Footprint Intelligence)

Bà Anna Pavlovskaya, chuyên gia phân tích cấp cao tại Kaspersky Digital Footprint Intelligence cho hay: “Exploit có thể nhắm đến bất kỳ chương trình, phần mềm nào, nhưng công cụ này được săn lùng nhiều nhất và có giá cao thường nhắm đến các phần mềm dành cho doanh nghiệp. Tội phạm mạng có thể sử dụng exploit để đánh cắp thông tin doanh nghiệp hoặc theo dõi một tổ chức mà không bị phát hiện để đạt được mục đích. Tuy nhiên, một số exploit được rao bán trên web đen có thể là “hàng giả” hoặc chưa hoàn chỉnh, và không hoạt động hiệu quả giống như quảng cáo. Hơn nữa, phần lớn giao dịch diễn ra dưới dạng giao dịch ngầm. Hai yếu tố kể trên khiến việc đánh giá quy mô thực sự của thị trường này trở nên vô cùng khó khăn”.

Trong năm nay, hoạt động mua bán exploit đạt đỉnh vào tháng 5 với 50 giao dịch, cao hơn đáng kể so với mức trung bình 26 bài hàng tháng trước đó. Biến động của thị trường exploit thường không thể đoán trước và rất khó liên kết với các sự kiện cụ thể. Tháng 5 cũng chứng kiến giao dịch một exploit zero-day của Microsoft Outlook với giá gần 2 triệu đô la, đây là một trong những giao dịch có giá trị cao nhất trong thời gian khảo sát. Mặc dù có những biến động, nhìn chung thị trường exploit vẫn luôn tồn tại và mối đe dọa luôn hiện hữu. Vì vậy, việc thực hiện các biện pháp rà soát an ninh mạng là rất cần thiết, ví dụ như thường xuyên cập nhật bản vá và giám sát tài sản kỹ thuật số trên web đen.

Thị trường web đen cung cấp rất nhiều loại exploit khác nhau, trong đó hai loại phổ biến nhất là loại công cụ nhắm đến lỗ hổng cho phép tấn công từ xa (RCE – Remote Code Execution) và nhắm đến lỗ hổng nâng cấp quyền (LPE – Local Privilege Escalation). Theo phân tích hơn 20 tin quảng cáo, giá trung bình của exploit nhắm đến RCE rơi vào khoảng 100.000 USD, trong khi mã khai thác LPE thường có giá khoảng 60.000 USD. Exploit nhắm đến lỗ hổng RCE được đánh giá là nguy hiểm hơn vì kẻ tấn công có thể chiếm quyền điều khiển một phần hoặc toàn bộ hệ thống hay truy cập dữ liệu bảo mật.