Bị xuyên thủng ngay cả khi không có lỗ hổng — bản chất của cuộc tấn công 'dựa trên niềm tin' nhắm vào các nhà phát triển mã nguồn mở
(cybersecuritynews.com)Các nhà phát triển mã nguồn mở đang đối mặt với một kiểu đe dọa mới. Đây không phải là một cuộc tấn công social engineering sử dụng các exploit phức tạp hay lỗ hổng zero-day, mà lấy chính "niềm tin" trong cộng đồng nhà phát triển làm vũ khí.
Kẻ tấn công hiện đang triển khai một chiến dịch trên Slack, giả mạo người có thật của Linux Foundation để dụ nạn nhân cài đặt tệp độc hại.
Diễn biến vụ việc
Cuộc tấn công này lần đầu được công khai vào ngày 7 tháng 4 năm 2026, khi Christopher "CRob" Robinson, CTO và kiến trúc sư bảo mật trưởng của OpenSSF (Open Source Security Foundation), đăng một cảnh báo rủi ro cao lên mailing list OpenSSF Siren.
Mặt trận của cuộc tấn công là workspace Slack của TODO Group, một nhóm công tác trực thuộc Linux Foundation, cùng các cộng đồng mã nguồn mở liên quan. TODO Group là nơi tập hợp các chuyên gia thực hành thuộc các văn phòng chương trình mã nguồn mở (OSPO).
Kẻ tấn công đã tinh vi xây dựng một danh tính giả của một lãnh đạo Linux Foundation nổi tiếng, rồi gửi Slack DM cho nạn nhân kèm liên kết phishing được lưu trữ trên Google Sites, một nền tảng mà nhiều nhà phát triển tin cậy.
Nhóm phân tích của Socket.dev là bên đầu tiên điều tra cuộc tấn công này và ghi lại cơ chế hoạt động kỹ thuật của nó. Kết quả điều tra xác nhận đây không chỉ là một nỗ lực phishing đơn thuần, mà là một chiến dịch nhiều giai đoạn được thiết kế để khai thác sự tin cậy sâu sắc hình thành tự nhiên trong cộng đồng mã nguồn mở.
Mồi nhử: "Bạn có thể biết trước PR của mình có được merge hay không"
Thông điệp của kẻ tấn công được thiết kế rất tinh vi. Kẻ giả mạo lãnh đạo Linux Foundation giới thiệu một công cụ AI độc quyền có thể phân tích động lực của dự án mã nguồn mở và dự đoán contribution mã nào (PR) sẽ được merge trước cả khi reviewer xem xét.
Thông điệp nhấn mạnh tính khan hiếm rằng "hiện chỉ chia sẻ cho một số ít người", đồng thời cung cấp địa chỉ email và khóa truy cập giả cùng với liên kết phishing để làm cho workspace giả trông như thật.
Phân tích theo từng giai đoạn của cuộc tấn công
Cuộc tấn công diễn ra qua tổng cộng 4 giai đoạn:
Giai đoạn 1 — Mạo danh (Impersonation)
Sao chép hồ sơ Slack của một người có thật thuộc Linux Foundation để xây dựng lòng tin.
Giai đoạn 2 — Phishing
Dụ nạn nhân nhấp vào liên kết phishing được lưu trữ trên Google Sites. Một trang giả được ngụy trang như luồng xác thực hợp lệ sẽ đánh cắp địa chỉ email và mã xác thực.
Giai đoạn 3 — Thu thập thông tin đăng nhập (Credential Harvesting)
Sau khi đánh cắp thông tin đăng nhập, trang phishing tiếp tục dụ nạn nhân cài đặt chứng chỉ gốc độc hại được ngụy trang thành "chứng chỉ Google".
Giai đoạn 4 — Phát tán mã độc (Malware Delivery)
Khi chứng chỉ gốc được cài đặt, kẻ tấn công sẽ có thể âm thầm chặn toàn bộ lưu lượng đã mã hóa giữa thiết bị nạn nhân và mọi website.
Cơ chế lây nhiễm theo từng nền tảng
macOS
Sau khi cài đặt chứng chỉ gốc độc hại, một script sẽ tự động tải xuống rồi thực thi binary có tên gapi từ IP từ xa (2.26.97.61). Binary này trao cho kẻ tấn công quyền kiểm soát hoàn toàn thiết bị, bao gồm truy cập tệp, đánh cắp thêm thông tin đăng nhập và thực thi lệnh từ xa.
Windows
Nạn nhân bị dụ cài chứng chỉ độc hại thông qua hộp thoại tin cậy của trình duyệt, và sau khi cài đặt xong, kẻ tấn công tương tự có thể chặn lưu lượng mã hóa.
Khuyến nghị của OpenSSF
OpenSSF đã đưa ra các khuyến nghị sau cho các nhà phát triển đang hoạt động trong cộng đồng Slack mã nguồn mở:
- Xác minh danh tính qua kênh ngoài băng (out-of-band): Không tin danh tính chỉ dựa vào tên hiển thị hoặc ảnh hồ sơ trên Slack; hãy xác minh qua một kênh riêng đã biết trước
- Từ chối yêu cầu cài đặt chứng chỉ gốc: Tuyệt đối không cài chứng chỉ gốc từ các liên kết được gửi qua chat hoặc email. Các dịch vụ hợp lệ sẽ không yêu cầu điều này
- Bật MFA: Ngay cả khi thông tin đăng nhập bị đánh cắp, vẫn có thể giảm thiểu thiệt hại
Hàm ý
Điểm đáng chú ý của cuộc tấn công lần này là nó không nhắm vào lỗ hổng kỹ thuật mà lấy chính cấu trúc niềm tin của cộng đồng làm vector tấn công. Với những cộng đồng gắn kết chặt chẽ như hệ sinh thái mã nguồn mở, cảm giác cảnh giác về bảo mật có thể bị giảm đi trước những cái tên quen thuộc và các đề nghị nghe có vẻ hợp lý.
Mồi nhử kiểu "dự đoán bằng AI liệu PR có được merge hay không" cũng cho thấy mức độ tinh vi của cuộc tấn công, vì đây là lời mời đặc biệt hấp dẫn với các nhà phát triển. Trước các liên kết lạ và yêu cầu cài đặt chứng chỉ gốc, cần giữ thói quen nghi ngờ thêm một lần nữa, ngay cả khi nguồn phát ra trông có vẻ đáng tin cậy đến đâu.
Bài viết này được dịch và biên tập từ nguyên tác của Cyber Security News.
3 bình luận
Do AI mà hacker ngày càng lộng hành hơn.
IT là lá chắn không thắng nổi mũi giáo
AI đúng là đang giúp đỡ các hacker rất nhiều.