Chiến dịch tấn công dịp lễ 2025: Botnet quy mô lớn đang càn quét các diễn đàn XenForo 2.2 cũ

[PVS]

Chiến dịch tấn công dịp lễ 2025: Botnet quy mô lớn đang càn quét các diễn đàn XenForo 2.2 cũ

Trung tâm giám sát an ninh mạng và cộng đồng XenForo Webmaster đang ghi nhận một đợt tăng đột biến lưu lượng truy cập bất thường (Traffic Spike) nhắm vào các cổng tìm kiếm (Search Endpoint) và File Upload của các diễn đàn chưa cập nhật. Đây không phải là DDoS thông thường, mà là một chiến dịch khai thác lỗ hổng RCE (Remote Code Execution) có chủ đích.

1. Phương thức tấn công: "Cú lừa" Deserialization​

Các hacker đang lợi dụng việc nhiều Admin vẫn chạy XenForo 2.2 trên nền tảng PHP 8.0/8.1 (vốn đã bị ngừng hỗ trợ bảo mật - EOL).

• Kỹ thuật: Botnet gửi các gói tin đặc biệt vào các Add-on cũ xử lý hình ảnh hoặc file đính kèm. Trên các phiên bản PHP cũ, cơ chế "Unsafe Deserialization" bị kích hoạt, cho phép hacker thực thi mã lệnh từ xa mà không cần tài khoản Admin.
• Mục tiêu: Không phải để xóa dữ liệu, mà để cài Backdoor (Cửa hậu). Chúng âm thầm chèn các file `.php` lạ vào thư mục `/internal_data` hoặc `/library`.

2. Hậu quả tàn khốc: SEO Injection (SEO Hijacking)​

Nếu diễn đàn của bạn bỗng nhiên có traffic tăng vọt từ nước ngoài, hãy cẩn thận!

• Triệu chứng: Khi người dùng thường truy cập, diễn đàn vẫn bình thường. Nhưng khi Googlebot truy cập, Backdoor sẽ điều hướng (Redirect) bot sang các trang web cờ bạc, cá độ hoặc web đen.
• Kết quả: Chỉ sau 24h, toàn bộ kết quả tìm kiếm của diễn đàn trên Google sẽ bị thay thế bằng tiếng Nhật hoặc tiếng Trung Quốc. Index bị hỏng vĩnh viễn và tên miền bị Google liệt vào danh sách đen (Blacklist).

3. Khuyến nghị hành động NGAY LẬP TỨC​

Đừng đợi qua lễ Giáng sinh mới xử lý. Hãy thực hiện ngay 3 bước sau:

1. Kiểm tra phiên bản: Nếu đang dùng XenForo 2.2.x trở xuống, hãy bật chế độ Maintenance Mode ngay.
2. Rà soát File: Sử dụng công cụ File Health Check trong AdminCP. Nếu thấy báo lỗi "Unexpected contents" ở các file hệ thống (.php), khả năng cao bạn đã bị nhiễm mã độc.
3. Nâng cấp khẩn cấp: Con đường duy nhất để vá lỗ hổng này triệt để là nâng cấp lên XenForo 2.3.7 và chuyển sang sử dụng PHP 8.3/8.4.

Lời khuyên từ chuyên gia​

"Hacker không nghỉ lễ". Các botnet được lập trình để tấn công mạnh nhất vào đúng đêm 24/12 và 31/12 khi đội ngũ kỹ thuật lơ là nhất. Hãy đảm bảo tường lửa (WAF/Cloudflare) của bạn đang bật chế độ "Under Attack" hoặc thiết lập các quy tắc chặn các User-Agent lạ ngay từ bây giờ.

 

Bài viết chỉ thể hiện quan điểm cá nhân của tác giả và mang tính tham khảo. Chúng tôi không chịu trách nhiệm cho bất kỳ rủi ro nào phát sinh từ việc sử dụng thông tin trong bài viết.