Kẻ tấn công xâm nhập môi trường vận hành Chainstack qua máy chủ MCP không xác thực

Ngày 29 tháng 10, một kẻ tấn công bên ngoài đã xâm nhập một phần môi trường vận hành của Chainstack, bắt đầu từ máy chủ phát triển còn dùng mật khẩu quản trị mặc định. Đường xâm nhập đi qua máy chủ công cụ MCP nội bộ không yêu cầu xác thực, rồi tới cơ sở dữ liệu chứa thông tin tài khoản khách hàng.

Ngày 10 tháng 11, Chainstack bổ sung chi tiết kỹ thuật vào báo cáo sự cố. Công ty cho biết kẻ tấn công vào môi trường phát triển ngày 26 tháng 10, đường xâm nhập bị chặn ngày 31 tháng 10 và cuộc điều tra kết thúc ngày 2 tháng 11.

Điểm xâm nhập đầu tiên là máy chủ thử nghiệm Grafana được cài trên cụm Kubernetes dành cho phát triển hồi tháng 7. Máy chủ này để lộ trên internet, vẫn giữ thông tin đăng nhập quản trị mặc định và không có biện pháp bảo vệ đăng nhập bổ sung như đăng nhập một lần (SSO) hay xác thực cơ bản.

Ngày 26 tháng 10, kẻ tấn công đăng nhập bằng tài khoản quản trị mặc định rồi dùng proxy nguồn dữ liệu của Grafana để tiếp cận các dịch vụ nội bộ. Proxy không có danh sách cho phép các đích kết nối, còn chính sách mạng cũng không giới hạn những nơi Grafana có thể truy cập. Chainstack cho biết kẻ tấn công đã kết nối tới hàng chục dịch vụ nội bộ liên quan đến xác thực danh tính, cơ sở dữ liệu, tự động hóa và giám sát.

Cùng ngày, kẻ tấn công tiếp cận máy chủ công cụ MCP nội bộ, nơi cung cấp thao tác Kubernetes cho các tác nhân AI. Máy chủ không yêu cầu xác thực và tài khoản của máy chủ có quyền quản trị cụm phát triển. Dựa trên luồng mạng, quyền truy cập và những thay đổi phát sinh sau đó, Chainstack nhận định máy chủ này đã được dùng để thực thi lệnh. Tuy nhiên, công ty không khôi phục được nhật ký của từng lần gọi công cụ.

Trong khoảng một giờ rưỡi tiếp theo, kẻ tấn công thử quyền ghi của bộ máy quy trình nội bộ và tạo người dùng quản trị trong hệ thống xác thực dành cho phát triển. Kẻ này triển khai một trang web thử nghiệm, gắn tệp của mình dưới dạng volume ConfigMap của Kubernetes rồi thay JavaScript mà ứng dụng web phát triển cung cấp. Ngày 27 tháng 10, kẻ tấn công dùng cách tương tự để thay đổi ứng dụng web thử nghiệm và Grafana dành cho phát triển. Chainstack không thu hồi được tập lệnh giai đoạn hai mà bộ nạp dẫn tới.

Ngày 29 tháng 10, kẻ tấn công sửa trực tiếp quy trình được lưu trong cơ sở dữ liệu của nền tảng tự động hóa để thực thi lệnh shell. Kẻ này chạy quy trình bằng mã thông báo webhook hợp lệ rồi khôi phục trạng thái ban đầu. Việc sửa thẳng cơ sở dữ liệu nền tảng đã giúp bỏ qua lịch sử thay đổi của chính nền tảng.

Trong quá trình này, kẻ tấn công lấy được biến môi trường của pod tự động hóa, mã thông báo tài khoản dịch vụ Kubernetes và thông tin nhận dạng máy dùng cho cổng truy cập hạ tầng. Cùng ngày, bằng cổng truy cập bị xâm nhập và tài khoản tự động triển khai, kẻ này liệt kê các bí mật trong cụm Kubernetes vận hành rồi đọc thông tin xác thực trên đám mây và hạ tầng.

Ngày 31 tháng 10, kẻ tấn công truy vấn hàng loạt kho bí mật đám mây của môi trường vận hành. Kẻ này tạo thêm khóa cho tài khoản tự động hóa hạ tầng và một tài khoản Kubernetes có mã thông báo dài hạn nhằm tạo đường quay lại. Kẻ tấn công cũng dùng khóa VPN lấy được để kết nối vào mạng cơ sở dữ liệu.

Cùng một danh tính ngang hàng VPN được hai máy khách đưa ra, khiến điểm kết nối của đường hầm thay đổi và gây lỗi trong quá trình sao chép cơ sở dữ liệu. Chainstack cho biết sự cố này khiến công ty bắt đầu điều tra vụ xâm nhập.

Kẻ tấn công đăng nhập vào cơ sở dữ liệu vận hành bằng tài khoản quản trị và lấy kết quả truy vấn. Chainstack cho biết tại một phiên bản cơ sở dữ liệu, khung nhìn pg_shadow của PostgreSQL cũng đã bị truy vấn; khung nhìn này chứa mã băm mật khẩu của các vai trò cơ sở dữ liệu.

Cơ sở dữ liệu bị truy cập có tên tổ chức, tên chủ tài khoản, địa chỉ email và mã băm mật khẩu của thành viên trong tổ chức. Kẻ tấn công cũng tiếp cận hệ thống lưu thông tin kết nối nút của khách hàng, nhưng Chainstack cho biết chưa có bằng chứng những thông tin này thực sự bị đọc. Để phòng ngừa, công ty vẫn xem thông tin kết nối nút là đã bị lộ.

Chainstack nhận định nhiều khả năng kẻ tấn công đã dùng ARTEX, một khung tấn công AI mã nguồn mở. Cơ sở cho nhận định này là dấu vết đặt tên trong tệp và tài khoản do kẻ tấn công tạo, cùng các công cụ và cách thức hành động. Vì nhiều nhóm có thể dùng cùng khung công cụ, công ty không xác định được thủ phạm. Chainstack cũng cho biết chưa tìm thấy bằng chứng về việc khai thác lỗ hổng phần mềm.

Chainstack cho biết các nút khách hàng, bảng điều khiển và API vẫn hoạt động bình thường trong thời gian xảy ra sự cố và không bị kẻ tấn công thay đổi. Đây là kết quả điều tra riêng với việc kẻ tấn công tiếp cận cơ sở dữ liệu tài khoản khách hàng và hệ thống lưu thông tin xác thực của nút.

MCP là quy chuẩn kết nối cho phép công cụ AI gọi dữ liệu và chức năng từ các hệ thống bên ngoài. Trong sự cố này, vấn đề nằm ở cấu hình máy chủ công cụ nội bộ không có xác thực nhưng lại được cấp quyền quản trị rộng. Trước đó, TokenPost đưa tin Radware đã công bố sản phẩm bảo mật giúp theo dõi hoạt động của máy chủ MCP và tác nhân AI trong doanh nghiệp.

Chainstack đề nghị khách hàng đổi mật khẩu, thay thông tin kết nối nút và cấp lại khóa API nền tảng. Công ty cho biết đang tăng cường xác thực và áp dụng quyền tối thiểu cho các công cụ MCP nội bộ, đồng thời tách biệt tài khoản và thông tin bí mật giữa môi trường phát triển và vận hành.