Ban đầu, CyberZeist tiết lộ về lỗi bảo mật trên website của FBI vào ngày 22/12, cho FBI một thời gian để vá lỗi trước khi công khai dữ liệu.
Hacker đã khai thác lỗ hổng zero-day trong Plone CMS, một phần mềm quản trị nội dung nguồn mở mà FBI sử dụng cho website của họ. Sau khi đột nhập vào hệ thống, hacker đã làm rò rỉ dữ liệu cá nhân của 155 quan chức FBI, bao gồm tên, mật khẩu và các tài khoản email.
CyberZeist nhiều lần đăng ảnh chụp màn hình trên tài khoản Twitter để chứng minh tuyên bố của mình, cho thấy hacker này đã đột nhập vào máy chủ và các file cơ sở dữ liệu. Ngoài ra, hacker còn phát hiện ra website của FPBI được đặt trên một máy ảo chạy phiên bản tùy biến của hệ điều hành FreeBSD nguồn mở cũ.
Theo một lời tweet khác, lỗ hổng zero-day trên Plone CMS còn được ra bán trên một website “chợ đen” giấu tên.
Phần mềm Plone CMS được xem là một trong những phần mềm CMS bảo mật nhất hiện nay và được nhiều website lớn sử dụng như Google, và các cơ quan trọng yếu của Mỹ sử dụng, trong đó có FBI và CIA.
CyberZeist cũng khuyến cáo các cơ quan khác, gồm Cục An ninh Thông tin và Mạng lưới liên minh châu Âu, Trung tâm Điều phối quyền sở hữu trí tuệ, và Tổ chức Ân xá quốc tế, những đơn vị hiện đang dùng Plone CMS, rằng họ cũng nằm trong nhóm rất dễ bị tổn thương, có thể phải chịu đợt tấn công tương tự.
Trong khi đó, nhóm bảo mật phần mềm Plone Security vừa đưa ra một tư vấn bảo mật, nói rằng họ sẽ phát hành bản cập nhật bảo mật vào ngày 17/1 cho các khách hàng “để vá lỗi”.
Hiện nay, bản tư vấn này không bao gồm nhiều thông tin kỹ thuật về các lỗ hổng, song hỗ trợ các phiên bản Plone (4.x, 5.x). Các phiên bản Plone CMS trước có thể sẽ bị ảnh hưởng.
Đáng chú ý, nhóm Plone Security nói “chưa có bằng chứng cho thấy các vấn đề đã bị khai thác như tuyên bố của CyberZeist”, Matthew Wilkes, thuộc nhóm bảo mật của Plone nói.
“Mục đích của việc tung thông tin về một vụ tấn công là nhằm thuyết phục mọi người rằng các đơn vị thực sự đã bị tấn công. Những tuyên bố về một cuộc tấn công chỉ công khai những thông tin đã được công khai trước đó (như mã nguồn mở) hoặc không thể xác minh (như các mật khẩu)”, Matthew nói.
“Rất dễ tạo ra một vụ hack giả mạo như vậy, chỉ cần một vài kỹ năng photoshop hoặc dùng giao diện nhà phát triển của Chrome”, Nathan van Gheem, thuộc nhóm Plone Security, nói.
Đây không phải lần đầu tiên CyberZeist tuyên bố tấn công vào website của FBI. Năm 2011, hacker này đã từng thâm nhập vào website FBI dưới danh là một thành viên của nhóm hacker nổi tiếng Anomynous.
Theo Hacker News
