Một lỗ hổng nghiêm trọng trong hệ thống Oracle E-Business Suite (EBS) đang bị nhóm ransomware Clop khai thác, nhắm vào các doanh nghiệp và tổ chức lớn trên toàn cầu. Lỗ hổng này, CVE-2025-61882, cho phép tin tặc truy cập trái phép và điều khiển các chức năng cốt lõi của hệ thống ERP, bao gồm quản lý mua sắm, hậu cần và tài chính.

Chiến Dịch Clop Ransomware Nhắm Vào Oracle EBS

Chiến dịch của Clop bắt đầu từ tháng 6/2025, khi nhóm này phát hiện và khai thác lỗ hổng zero-day chưa được vá trong Oracle EBS. Oracle chỉ phát hành bản vá vào tháng 10/2025, nhưng mã khai thác đã lan truyền công khai, khiến các doanh nghiệp sử dụng nền tảng ERP của Oracle trở thành mục tiêu.

Hạ Tầng Máy Chủ Điều Khiển (C2) Của Clop

Clop vận hành hơn 90 máy chủ C2 tại nhiều quốc gia, bao gồm Đức, Brazil, Panama và Hồng Kông. Các máy chủ này sử dụng các IP và nhà cung cấp dịch vụ quen thuộc, cho thấy nhóm duy trì một mạng lưới lai giữa hạ tầng cũ và mới để né tránh truy vết.

Chi Tiết Lỗ Hổng CVE-2025-61882

Lỗ hổng này cho phép tin tặc gửi các yêu cầu đặc biệt vào hệ thống Oracle EBS, chèn mã độc vào quy trình xử lý XSLT và thực thi lệnh từ xa mà không cần xác thực. Khi xâm nhập thành công, Clop có thể:

• Tải tệp độc hại lên máy chủ

• Trích xuất dữ liệu nhạy cảm như hồ sơ khách hàng, hợp đồng và tài chính

• Gửi email đòi tiền chuộc, đe dọa công khai thông tin

Rủi Ro Khi Oracle EBS Bị Xâm Nhập

Việc bị chiếm quyền trong Oracle EBS có thể dẫn đến:

• Rò rỉ dữ liệu tài chính, hợp đồng, nhân sự hoặc khách hàng

• Gián đoạn chuỗi cung ứng, dừng sản xuất hoặc dịch vụ

• Mất uy tín doanh nghiệp

• Thiệt hại tài chính lớn để khắc phục hậu quả

Khuyến Nghị Bảo Vệ Hệ Thống

Các chuyên gia khuyến nghị doanh nghiệp:

• Cập nhật ngay bản vá Oracle EBS (CVE-2025-61882)

• Giới hạn truy cập Internet với máy chủ ERP

• Theo dõi các địa chỉ IP nghi vấn

• Giám sát hoạt động bất thường trong hệ thống ERP và mạng nội bộ

• Xây dựng quy trình phản ứng sự cố và sao lưu dữ liệu định kỳ

Sự Tinh Vi Và Nguy Hiểm Của Clop Ransomware

Sự trở lại của Clop cho thấy ransomware đang ngày càng tinh vi, có tổ chức và khai thác triệt để lỗ hổng zero-day để xâm nhập hệ thống lõi của doanh nghiệp. Chậm cập nhật bản vá đồng nghĩa với việc tự mở cửa cho tin tặc.
 

(Theo Whitehat)