Vụ tấn công cửa sau thư viện xz-utils: Bài học cảnh tỉnh về bảo mật chuỗi cung ứng mã nguồn mở toàn cầu
Cách một kẻ tấn công kiên trì xây dựng lòng tin suốt 3 năm để cài cắm mã độc cửa sau (Backdoor) vào thư viện nén dữ liệu cốt lõi của Linux suýt chút nữa đã trao quyền kiểm soát máy chủ toàn cầu cho thế lực ngầm.
Điểm nhấn then chốt (Key Takeaways)
- Kẻ tấn công mang bí danh "Jia Tan" đã kiên nhẫn đóng góp các bản vá lỗi nhỏ cho dự án xz-utils suốt gần 3 năm để chiếm quyền Maintainer.
- Mã độc cửa sau được giấu tinh vi bên trong các tệp nén kiểm thử (test files) vô hại, chỉ được giải nén và chèn vào tệp nhị phân trong quá trình build.
- Mục tiêu là làm suy yếu giao thức SSH (OpenSSH) trên các bản phân phối Linux như Debian và Red Hat để cho phép kẻ tấn công đăng nhập từ xa mà không cần mật khẩu.
- Sự cố được phát hiện tình cờ bởi một kỹ sư Microsoft (Andres Freund) khi anh nhận thấy máy tính của mình bị chậm 0.5 giây trong quá trình chạy benchmark.
1. Chiến dịch tình báo mạng kiên trì nhất lịch sử công nghệ
Vào cuối tháng 3 năm 2024, thế giới công nghệ đã thoát khỏi một thảm họa an ninh mạng trong gang tấc. Một lỗ hổng cửa sau (CVE-2024-3094) với điểm số nguy hiểm tuyệt đối 10/10 đã được phát hiện trong thư viện nén dữ liệu phổ biến `xz-utils` – một thành phần nền tảng có mặt trong hầu hết các bản phân phối hệ điều hành Linux vận hành các máy chủ ngân hàng, điện toán đám mây và cơ sở hạ tầng mạng viễn thông toàn cầu.
Điều khiến giới tình báo mạng kinh ngạc là sự kiên nhẫn đến rợn người của kẻ tấn công. Sử dụng danh tính giả mang tên "Jia Tan", kẻ này đã bắt đầu gửi những bản vá lỗi nhỏ, hữu ích cho dự án xz-utils từ năm 2021. Bằng cách lợi dụng sự kiệt sức (burnout) và các vấn đề sức khỏe của nhà phát triển duy nhất bảo trì dự án là Lasse Collin, Jia Tan đã dần dần chiếm được lòng tin và được trao quyền quản trị dự án (Maintainer).
"Đây không phải là một trò đùa của những thiếu niên thích nghịch ngợm. Đây là một chiến dịch tấn công chuỗi cung ứng được tài trợ bởi một cơ quan tình báo cấp nhà nước với sự kiên nhẫn và kỹ nghệ tinh vi chưa từng thấy trong lịch sử mã nguồn mở."
2. Thủ đoạn giấu mã độc ma quỷ và phát hiện tình cờ của Andres Freund
Jia Tan không trực tiếp sửa mã nguồn C công khai trên GitHub vì các kỹ sư khác sẽ dễ dàng phát hiện. Thay vào đó, mã độc cửa sau được chia nhỏ và giấu tinh vi bên trong hai tệp dữ liệu kiểm thử nén (M4 test files) trông hoàn toàn vô hại. Chỉ khi các bản phân phối Linux như Fedora hay Debian thực hiện quá trình đóng gói phần mềm (release build), một đoạn mã script ẩn mới kích hoạt, bóc tách mã độc và tiêm nhiễm vào thư viện `liblzma.so`.
Mã độc này được thiết kế để hook trực tiếp vào tiến trình bảo mật OpenSSH, cho phép bất kỳ ai sở hữu một khóa mã hóa bí mật riêng có thể đăng nhập thẳng vào máy chủ với quyền quản trị viên cao nhất (root) mà không để lại bất kỳ dấu vết nào trong nhật ký hệ thống. May mắn thay, Andres Freund – một kỹ sư Microsoft tại Đức – khi đang đo kiểm hiệu năng cơ sở dữ liệu PostgreSQL đã nhận thấy tiến trình SSH tiêu tốn nhiều CPU hơn bình thường 500 mili-giây. Sự tò mò nghề nghiệp đã thúc đẩy anh mổ xẻ mã nhị phân và vạch trần âm mưu thế kỷ trước khi các bản Linux nhiễm độc kịp phát hành rộng rãi.
3. Hồi chuông cảnh tỉnh về sự mong manh của chuỗi cung ứng mã nguồn mở
Vụ việc xz-utils đã phơi bày một sự thật trần trụi và đáng sợ: toàn bộ hạ tầng kỹ thuật số trị giá hàng nghìn tỷ USD của nền kinh tế toàn cầu đang được gánh vác bởi những dự án mã nguồn mở do các tình nguyện viên đơn độc bảo trì trong thời gian rảnh rỗi mà không nhận được bất kỳ khoản tài trợ nào.
Sau sự cố, các tổ chức công nghệ lớn như OpenSSF (Open Source Security Foundation), Google và Linux Foundation đã khởi động các chương trình tài trợ khẩn cấp, đồng thời áp dụng quy trình xác thực danh tính hai người ký duyệt (Two-Person Rule) cho mọi bản cập nhật phần mềm quan trọng, nhằm bảo đảm rằng không một mắt xích yếu nào có thể bị kẻ xấu thao túng trong tương lai.
Nguồn tin & Tài liệu tham khảo chính thống
Bài viết được tổng hợp, đối chiếu và biên dịch từ các ấn phẩm và báo cáo kỹ thuật:
- [1]The xz-utils backdoor: Inside the malicious attack that almost broke the internet— (Ars Technica Security In-Depth)
- [2]CISA Alert: OpenSSH Compromise in Linux Distributions Utilizing xz-utils (CVE-2024-3094)— (Cybersecurity and Infrastructure Security Agency)
Ban biên tập Công nghệ Oloka.net
Bài viết được biên soạn và kiểm chứng độc lập bởi đội ngũ phóng viên công nghệ Oloka.net. Chúng tôi tuân thủ các nguyên tắc minh bạch dữ liệu và trích dẫn nguồn tin gốc. Mọi phản hồi xin vui lòng liên hệ tòa soạn.
