Kaspersky vừa công bố phát hiện PhantomRPC, một lỗ hổng liên quan cơ chế giao tiếp từ xa RPC trên Windows. Vấn đề này có thể bị tin tặc khai thác để giả mạo máy chủ, leo thang đặc quyền và chiếm quyền kiểm soát hệ thống.
Kết quả nghiên cứu về PhantomRPC đã được Kaspersky trình bày tại sự kiện Black Hat Asia 2026.
Lỗ hổng xuất phát từ thiết kế hệ thống
Theo Kaspersky, PhantomRPC không bắt nguồn từ một lỗi phần mềm cụ thể, mà liên quan đến cách cơ chế Remote Procedure Call (RPC) trên Windows vận hành.
RPC là thành phần cho phép các tiến trình giao tiếp và thực thi chức năng của nhau, kể cả khi hoạt động trong các môi trường riêng biệt. Đây cũng là nền tảng cho nhiều công nghệ giao tiếp cấp cao hơn trên Windows.
Các chuyên gia cho biết, trong trường hợp một tiến trình có quyền giả mạo, tin tặc có thể lợi dụng cơ chế này để nâng quyền truy cập ngay trên hệ thống. Nếu khai thác thành công, kẻ tấn công có thể giả mạo máy chủ RPC và giành quyền kiểm soát ở cấp hệ thống.
Có thể tạo ra nhiều kịch bản tấn công
Kaspersky đã phân tích 5 kịch bản khai thác khác nhau. Kết quả cho thấy tin tặc có thể nâng quyền từ các dịch vụ cục bộ hoặc dịch vụ liên quan kết nối mạng lên mức cao hơn.
Do vấn đề nằm ở thiết kế, PhantomRPC có thể tạo ra nhiều hướng tấn công khác nhau. Bất kỳ tiến trình hoặc dịch vụ mới nào sử dụng RPC đều có khả năng trở thành điểm khai thác mới nếu không được kiểm soát phù hợp.
Ông Haidar Kabibo, chuyên viên bảo mật ứng dụng tại Kaspersky, cho biết cách khai thác cụ thể có thể thay đổi tùy hệ thống. Các yếu tố như phần mềm đã cài đặt, thư viện DLL tham gia giao tiếp RPC và tình trạng sẵn có của máy chủ RPC đều có thể ảnh hưởng đến mức độ rủi ro.
Doanh nghiệp cần rà soát quyền và giám sát hệ thống
Kaspersky khuyến nghị các tổ chức tăng cường giám sát hoạt động RPC bằng ETW để phát hiện các dấu hiệu bất thường, đặc biệt là yêu cầu kết nối đến máy chủ không tồn tại hoặc không khả dụng. Việc theo dõi các tín hiệu này giúp đội ngũ bảo mật nhận diện sớm nguy cơ máy chủ giả mạo được dựng lên trong hệ thống.
Bên cạnh đó, doanh nghiệp cần hạn chế cấp quyền SeImpersonatePrivilege cho các tiến trình không thực sự cần thiết. Đây là quyền có thể bị lợi dụng trong một số kịch bản leo thang đặc quyền, nhất là khi được cấp cho ứng dụng tùy chỉnh hoặc phần mềm bên thứ ba.
Theo Kaspersky, việc đánh giá lại quyền truy cập, rà soát dịch vụ sử dụng RPC và duy trì giám sát liên tục là những bước quan trọng để giảm nguy cơ bị khai thác từ PhantomRPC.
Hiệp Nguyễn
