Giám đốc điều hành Vercel: Phạm vi tấn công vượt ra ngoài Context.ai, đã thông báo cho các nạn nhân nghi ngờ khác

Giám đốc điều hành Vercel Guillermo Rauch vào ngày 22 tháng 4 theo giờ Thái Bình Dương tại Mỹ đã đăng trên X về tiến độ điều tra an ninh, cho biết nhóm điều tra đã xử lý gần 1 PB nhật ký toàn bộ mạng lưới và API của Vercel, phạm vi điều tra còn vượt xa sự kiện xâm nhập của Context.ai. Rauch nói rằng kẻ tấn công đã đánh cắp khóa tài khoản Vercel bằng cách phát tán phần mềm độc hại lên máy tính và đã thông báo cho các nạn nhân.

Vector tấn công và mô hình hành vi: chi tiết điều tra

Theo trang điều tra an ninh của Vercel và bài đăng công khai của Guillermo Rauch trên X, sự cố này bắt nguồn từ việc ứng dụng Google Workspace OAuth của một công cụ AI bên thứ ba Context.ai mà một nhân viên Vercel sử dụng đã bị xâm nhập. Kẻ tấn công, thông qua quyền truy cập có được từ công cụ đó, từng bước lấy được tài khoản Google Workspace Vercel cá nhân của nhân viên và tài khoản Vercel, rồi sau khi đi vào môi trường Vercel đã liệt kê hệ thống một cách có hệ thống và giải mã các biến môi trường không nhạy cảm.

Trong bài đăng trên X, Rauch cho biết rằng các nhật ký cho thấy sau khi lấy được khóa, kẻ tấn công sẽ lập tức thực hiện các lệnh gọi API nhanh và toàn diện, tập trung liệt kê các biến môi trường không nhạy cảm, từ đó hình thành một mô hình hành vi có thể nhận diện lặp lại. Vercel đánh giá rằng kẻ tấn công có kiến thức sâu về giao diện API sản phẩm Vercel, với trình độ kỹ thuật rất cao.

Phát hiện mới sau khi mở rộng điều tra và phối hợp trong ngành

Theo bản cập nhật an ninh của Vercel ngày 22 tháng 4, sau khi mở rộng điều tra đã xác nhận hai phát hiện mới:

· Phát hiện một số lượng nhỏ các tài khoản khác trong sự cố này cũng bị xâm nhập; các khách hàng bị ảnh hưởng đã được thông báo

· Phát hiện một số lượng nhỏ tài khoản khách hàng có các bản ghi xâm nhập trước đó không liên quan đến sự cố này; suy đoán do kỹ thuật xã hội, phần mềm độc hại hoặc các cách khác; các khách hàng liên quan đã được thông báo

Vercel đã tăng cường hợp tác với các đối tác trong ngành như Microsoft, AWS và Wiz, và phối hợp điều tra cùng Google Mandiant và các cơ quan thực thi pháp luật.

Theo bản cập nhật an ninh của Vercel ngày 20 tháng 4, nhóm an ninh của Vercel cùng với GitHub, Microsoft, npm và Socket đã xác nhận rằng tất cả các gói npm do Vercel phát hành đều không bị ảnh hưởng, không có bằng chứng bị can thiệp/tampering, việc đánh giá bảo mật chuỗi cung ứng diễn ra bình thường. Vercel cũng đã công bố các chỉ số xâm nhập (IOC) để cộng đồng kiểm tra, bao gồm ID của ứng dụng OAuth liên quan: 110671459871-30f1spbu0hptbs60cb4vsmv79i7bbvqj.apps.googleusercontent.com; Vercel khuyến nghị các quản trị viên Google Workspace xác nhận xem họ có đang sử dụng ứng dụng nói trên hay không.

Câu hỏi thường gặp

Vector tấn công gốc rễ của sự cố an ninh lần này của Vercel là gì?

Theo trang điều tra an ninh của Vercel, sự cố bắt nguồn từ việc ứng dụng Google Workspace OAuth của một công cụ AI bên thứ ba Context.ai mà một nhân viên Vercel sử dụng đã bị xâm nhập; kẻ tấn công thông qua quyền truy cập có được từ công cụ đó đã từng bước lấy được tài khoản Vercel của nhân viên, sau đó đi vào môi trường Vercel để liệt kê và giải mã các biến môi trường không nhạy cảm.

Phạm vi tấn công đã được CEO Vercel xác nhận có vượt quá sự kiện xâm nhập ban đầu của Context.ai không?

Theo bài đăng công khai của Guillermo Rauch trên X vào ngày 22 tháng 4 theo giờ Thái Bình Dương tại Mỹ, thông tin tình báo mối đe dọa cho thấy hoạt động của kẻ tấn công đã vượt ra ngoài phạm vi xâm nhập đơn lẻ của Context.ai; bằng cách đánh cắp khóa truy cập của nhiều nhà cung cấp dịch vụ trên mạng rộng hơn thông qua phần mềm độc hại, các nghi ngờ nạn nhân khác đã được thông báo để luân phiên/thay đổi thông tin xác thực (credentials).

Các gói npm do Vercel phát hành có bị ảnh hưởng bởi sự cố an ninh lần này không?

Theo bản cập nhật an ninh của Vercel ngày 20 tháng 4, nhóm an ninh của Vercel cùng với GitHub, Microsoft, npm và Socket đã xác nhận rằng tất cả các gói npm do Vercel phát hành đều không bị ảnh hưởng, không có bằng chứng bị can thiệp/tampering, việc đánh giá bảo mật chuỗi cung ứng là bình thường.