Cảnh báo virus "tàng hình" GlassWorm tấn công chuỗi cung ứng phần mềm

Virus GlassWorm xâm nhập kho mã nguồn, tấn công chuỗi cung ứng phần mềm, đe dọa an ninh hệ thống của doanh nghiệp và lập trình viên.

Cảnh báo virus "tàng hình" GlassWorm tấn công chuỗi cung ứng phần mềm

Chiến dịch phát tán mã độc GlassWorm đã xâm nhập vào hơn 400 kho mã nguồn và tiện ích phần mềm trên nhiều nền tảng lập trình phổ biến như GitHub, npm, VSCode/OpenVSX…

Các chuyên gia Bkav ước tính hiện có khoảng hàng chục nghìn máy lập trình viên đã nhiễm GlassWorm. Cuộc tấn công tạo ra phản ứng dây chuyền: tin tặc biến các thiết bị này thành bàn đạp thọc sâu vào mạng nội bộ doanh nghiệp, thao túng mã nguồn, từ đó tự động nhân bản, phát tán virus theo cấp số nhân ra toàn bộ chuỗi cung ứng phần mềm toàn cầu, trong đó có Việt Nam.

Chiến dịch tấn công này không tập trung vào việc khai thác trực tiếp các lỗ hổng phần mềm. Hacker sử dụng các tài khoản, token truy cập đánh cắp được, chèn mã độc vào các bộ mã nguồn hợp pháp do lập trình viên đã chia sẻ trên các kho mã nguồn và tiện ích phần mềm.

Các thay đổi độc hại được thực hiện dưới danh nghĩa các tài khoản hợp lệ hoặc được ngụy trang với thông tin lịch sử cập nhật mã nguồn (commit) bao gồm tác giả, nội dung và thời gian đóng góp, tương tự các bản cập nhật hợp pháp, khiến chúng trông giống các cập nhật bình thường và khó bị phát hiện bằng mắt hay qua kiểm tra sơ bộ. Bên cạnh việc chèn mã độc vào các kho mã nguồn, trong một số hướng tấn công khác, GlassWorm còn sử dụng kỹ thuật chèn ký tự Unicode “vô hình” nhằm qua mặt các hệ thống kiểm tra tự động.

Thay vì dùng máy chủ thông thường dễ bị phát hiện và đánh sập, chiến dịch này lợi dụng mạng blockchain Solana để lưu trữ và truyền các lệnh điều khiển. Điều này giúp hệ thống của hacker trở nên phi tập trung và cực kỳ khó bị ngăn chặn. Đồng thời, mã độc luân phiên sử dụng ít nhất 6 địa chỉ IP máy chủ C2 nhằm duy trì liên lạc và che giấu hoạt động.

“Hacker nhúng trực tiếp các lệnh phá hoại vào những ký tự Unicode “vô hình” trong đoạn mã, biến những dòng chữ tưởng trống rỗng thành công cụ tấn công ngầm. Khi nhìn bằng mắt thường hoặc khi kiểm tra sơ bộ, đoạn mã vẫn trông hoàn toàn bình thường. Điều này khiến cả lập trình viên lẫn các công cụ kiểm tra truyền thống khó phát hiện ra dấu hiệu bất thường”, ông Nguyễn Đình Thủy, chuyên gia mã độc của Bkav, cho biết.

Khi được kích hoạt, mã độc đánh cắp các dữ liệu nhạy cảm như ví tiền điện tử, khóa bảo mật SSH, mã xác thực truy cập và thông tin hệ thống của lập trình viên… từ đó tiếp tục mở rộng xâm nhập sâu hơn vào hệ thống của tổ chức. Đặc biệt, phạm vi tấn công này đã lan rộng sang môi trường làm việc hàng ngày của giới lập trình, thông qua các công cụ phát triển, tiện ích mở rộng hoặc các đoạn mã phụ thuộc bị nhúng mã độc.

Tại Việt Nam, nhiều doanh nghiệp công nghệ và startup, cũng bắt nhịp với xu hướng chung của thế giới, phát triển phần mềm dựa trên mã nguồn mở và các thư viện miễn phí. Các nền tảng như GitHub hay npm được sử dụng rộng rãi trong quá trình phát triển sản phẩm, từ ứng dụng web, ứng dụng di động cho đến hệ thống doanh nghiệp. Nếu một thư viện phổ biến bị chèn mã độc, rủi ro có thể lan sang nhiều dự án phần mềm và hệ thống doanh nghiệp trong nước thông qua các phụ thuộc (dependencies) mà lập trình viên sử dụng.

“GlassWorm phản ánh xu hướng tấn công dịch chuyển từ việc nhắm trực tiếp vào người dùng sang các nền tảng và công cụ phát triển phần mềm. Khi một thành phần trong chuỗi cung ứng bị nhiễm virus, hậu quả có thể lan rộng tới hàng nghìn hoặc hàng triệu người dùng cuối. Mức độ thiệt hại là không thể đo đếm.

Người dùng và doanh nghiệp nên chủ động triển khai các giải pháp bảo mật chuyên sâu và phần mềm chống mã độc toàn diện, thay vì chỉ dựa vào công cụ mặc định của hệ điều hành vốn chỉ đáp ứng nhu cầu bảo vệ cơ bản và khó phát hiện các mối đe dọa tinh vi, ẩn mình lâu dài trong hệ thống”, ông Lê Tiến Thịnh, Giám đốc Sản phẩm An ninh mạng của Bkav, nhận định.

Trước nguy cơ trên, Bkav khuyến cáo các lập trình viên và tổ chức công nghệ cần ghim phiên bản và tắt cập nhật tự động đối với các thư viện và tiện ích mở rộng để ngăn mã độc lây nhiễm chéo qua các bản cập nhật mới.

Tích hợp công cụ quét mã tự động ngay trên IDE hoặc luồng CI/CD để rà quét liên tục, phát hiện sớm các đoạn mã bị làm rối (obfuscate) hoặc chứa ký tự tàng hình.

Đối với các kho mã nguồn, bắt buộc áp dụng xác thực đa yếu tố (MFA) và nguyên tắc phân quyền tối thiểu; khóa tính năng force-push trên các nhánh quan trọng.

Bảo đảm 100% thiết bị đầu cuối (endpoint) được cài đặt phần mềm diệt virus chuyên nghiệp, đồng thời kết hợp giải pháp nâng cao EDR/XDR để tạo lớp phòng thủ kép, chuyên trị các loại mã độc tàng hình hoặc không lưu file.

Khi có dấu hiệu bất thường, cần ngay lập tức đổi mật khẩu, thu hồi token truy cập và kiểm tra lại toàn bộ hoạt động của kho mã nguồn.

Có thể bạn quan tâm

[Video] Nâng giá trị cây rau má từ vùng nguyên liệu địa phương

[Video] Nâng giá trị cây rau má từ vùng nguyên liệu địa phương

Rau má từ lâu được biết đến không chỉ là loại rau quen thuộc trong bữa ăn, mà còn là cây dược liệu dân gian có nhiều giá trị đối với sức khỏe. Tuy nhiên, tại Quảng Trị, các nghiên cứu và mô hình chế biến sâu đối với rau má vẫn chưa nhiều, khiến giá trị kinh tế của cây rau má chưa được khai thác tương xứng với tiềm năng.

Phó Giáo sư, Tiến sĩ Nguyễn Đức Minh trình bày tham luận tại Phiên toàn thể quốc tế. (Ảnh: Viện Hàn lâm)

Đoàn công tác của Viện Hàn lâm Khoa học xã hội Việt Nam tham dự Hội nghị Khoa học-Thực tiễn quốc tế lần thứ III tại Nga

Hội nghị Khoa học-Thực tiễn quốc tế lần thứ III do Học viện Kinh tế quốc dân và Hành chính công trực thuộc Tổng thống Liên bang Nga (Học viện Tổng thống-RANEPA) tổ chức tại Thủ đô Moskva, Liên bang Nga trong hai ngày 22 và 23/10 với chủ đề “Khoa học cho quản trị nhà nước tại Nga”.

Đề xuất bãi bỏ điều kiện kinh doanh dịch vụ giám định sở hữu trí tuệ

Đề xuất bãi bỏ điều kiện kinh doanh dịch vụ giám định sở hữu trí tuệ

Chính phủ đề xuất bỏ điều kiện kinh doanh dịch vụ giám định sở hữu trí tuệ đối với tổ chức và cá nhân, chỉ quy định nghĩa vụ thông báo của tổ chức, cá nhân giám định khi hoạt động cung cấp dịch vụ và dự kiến quy định tại văn bản dưới luật quyền và nghĩa vụ trong việc thực hiện hoạt động này.

Quốc hội làm việc tại hội trường nghe Tờ trình và Báo cáo thẩm tra về Dự án Luật sửa đổi, bổ sung một số điều của Luật Bảo vệ môi trường. (Ảnh: THỦY NGUYÊN)

Sửa đổi Luật Bảo vệ môi trường: Tăng cường hậu kiểm, thúc đẩy chuyển đổi xanh

Dự án Luật hướng tới cải cách mạnh mẽ thủ tục hành chính, chuyển từ tiền kiểm sang tăng cường hậu kiểm, đẩy mạnh phân cấp, phân quyền. Đồng thời, đổi mới quản trị môi trường dựa trên dữ liệu, thúc đẩy chuyển đổi xanh, tháo gỡ các điểm nghẽn, huy động nguồn lực cho bảo vệ môi trường.

Các đại biểu tham dự hội nghị. (Ảnh: VŨ TÂN)

Khánh Hòa đẩy mạnh chuyển đổi số từ cấp cơ sở

Ngày 23/10, tại Nha Trang, Ủy ban nhân dân tỉnh Khánh Hòa tổ chức hội nghị về giải pháp chuyển đổi số tại địa phương, với chủ đề “Chuyển đổi số cấp cơ sở tỉnh Khánh Hòa-Từ khung kiến trúc, nền tảng và dữ liệu số đến quản trị địa phương, nâng cao hiệu quả phục vụ người dân”.

Hội thảo “Giải pháp phát huy vai trò của Liên hiệp Hội Việt Nam là cầu nối giữa các hội thành viên, đội ngũ trí thức khoa học và công nghệ với cơ quan Đảng, Nhà nước và Mặt trận Tổ quốc trong các hoạt động tư vấn, phản biện và giám định xã hội”. (Ảnh: BÍCH LIÊN)

Phát huy hiệu quả công tác tư vấn, phản biện và giám định xã hội

Ngày 23/10, tại Hà Nội, Liên hiệp các Hội Khoa học và Kỹ thuật Việt Nam tổ chức Hội thảo “Giải pháp phát huy vai trò của Liên hiệp Hội Việt Nam là cầu nối giữa các hội thành viên, đội ngũ trí thức khoa học và công nghệ với cơ quan Đảng, Nhà nước và Mặt trận Tổ quốc trong các hoạt động tư vấn, phản biện và giám định xã hội”.

Công nghệ viễn thám và UAV hỗ trợ khoanh vùng phạm vi dữ liệu. (Ảnh: VNPT)

Ứng dụng công nghệ viễn thám và GeoAI: Đột phá làm sạch cơ sở dữ liệu đất đai

Xây dựng cơ sở dữ liệu đất đai "đúng, đủ, sạch, sống" đang là nhiệm vụ trọng tâm. Sự kết hợp giữa công nghệ viễn thám, thiết bị bay không người lái (UAV) và trí tuệ nhân tạo không gian địa lý (GeoAI) đang trở thành "chìa khóa" giúp ngành chức năng tối ưu hóa công tác kiểm tra, đối soát và làm sạch dữ liệu trên phạm vi toàn quốc.

Các đại biểu tham quan SHTP ATP Lab. (Ảnh: SHTP)

Khánh thành Xưởng thực hành Đóng gói và Kiểm thử vi mạch

SHTP ATP Lab được kỳ vọng sẽ góp phần giải bài toán cốt lõi: thu hẹp khoảng cách giữa đào tạo lý thuyết và yêu cầu kỹ thuật thực tế tại doanh nghiệp. Sinh viên, học viên và kỹ sư từ đây có cơ hội rèn luyện kỹ năng thao tác, tuân thủ quy trình an toàn và vận hành máy móc đúng tiêu chuẩn công nghiệp.

Nhân viên lắp pin, chuẩn bị vận hành UAV phục vụ vận chuyển nông sản tại xã Mường Ảng, tỉnh Điện Biên. (Ảnh: VIETNAM POST)

Tập trung nguồn lực phát triển công nghệ dùng chung

Qua rà soát 113 đề xuất nhiệm vụ phát triển công nghệ chiến lược của 30 địa phương, Bộ Khoa học và Công nghệ nhận thấy nhiều nội dung có nội dung, nền tảng công nghệ tương đồng ở các nhóm đề xuất như trợ lý ảo, camera trí tuệ nhân tạo, thiết bị bay không người lái, dữ liệu y tế và bản sao số...

Ông Phùng Văn Thành - Tham tán Thương mại Việt Nam tại Malaysia (đứng giữa), Tiến sĩ Frederick Yap - Chủ tịch IBF (thứ 2 từ trái sang), bà Đặng Minh Anh - Chủ tịch IBF Vietnam-Singapore (thứ 3 từ phải sang) tại sự kiện. (Ảnh: IBF Vietnam-Singapore)

Ra mắt nền tảng kết nối doanh nghiệp trên môi trường số IBF Business Hub

Nền tảng kết nối doanh nghiệp trên môi trường số IBF Business Hub vừa chính thức ra mắt, đánh dấu bước chuyển dịch quan trọng trong việc ứng dụng trí tuệ nhân tạo (AI) và dữ liệu lớn (Big Data) làm "hạ tầng vận hành lõi" dùng chung cho hoạt động xúc tiến thương mại và kết nối đầu tư doanh nghiệp đến doanh nghiệp (B2B) quốc tế.

Học sinh cần học trí tuệ nhân tạo để biết AI trả lời đúng hay sai. (Ảnh: Viettel Solutions)

Đưa trí tuệ nhân tạo từ trang sách vào trải nghiệm học tập

Học sinh có thể đọc sách để biết trí tuệ nhân tạo (AI) học từ dữ liệu, hoặc hỏi một chatbot và nhận câu trả lời trong vài giây. Nhưng để thực sự hiểu biết máy học thế nào, vì sao có thể sai, kết quả ấy ảnh hưởng tới con người ra sao và con người phải chịu trách nhiệm thế nào khi sử dụng công nghệ, các em phải được tự tay thử.